バックアップと復旧

解説（テキスト版）

はじめに

情シスには、こんな相談が届きます。バックアップは毎晩取っています。でも、本当に戻せるのかと聞かれると、答えられません。

あるいは、ランサムウェアの記事を読んだ上司から、うちのバックアップは大丈夫なのか、と聞かれた。

今日は、バックアップと、戻す練習についてお話しします。

一言で言うと

先に、一言でまとめます。バックアップは、取ることよりも、戻せることが大事です。

そして、ランサムウェアに備えるなら、ふだんのネットワークから切り離した控えを、一つ持っておく。この二つを押さえてください。

地図のどこか

運用編の中でいうと、止まったときに戻すための準備です。第10回の障害の初動や、第11回の電源とも、つながっています。

ネットワーク編の三層でいうと、LGWAN接続系でも、業務に必要なファイルやメールの定期的なバックアップが、対策として挙げられています。

マイナンバー利用事務系は、ほかの層とは通信しないので、バックアップも、その層の中で取る形が多いです。層をまたぐ持ち出し方は、団体のルールで決まっています。

何を取るのか

バックアップと聞くと、データだけを思い浮かべがちです。業務システムのデータベース、ファイルサーバーの中身、メールなどがその代表です。

ただし、ガイドラインの解説では、対象のデータだけでなく、システムのバックアップも取ることで、素早い復旧につながると説明されています。

サーバーの設定や、入れ直しに必要な情報がないと、データだけあっても、動かすまでに時間がかかります。

どこに・何世代取るのか

次に、どこに置くのか。同じ機器の中に置くと、その機器が壊れたとき、一緒に失われます。別の機器、できれば別の場所に置くのが基本です。

よく紹介される考え方に、3-2-1ルールがあります。データを3つ持ち、2種類の媒体に入れ、1つは離れた場所に置く、というものです。

何世代残すかも大事です。感染や誤操作に気づくまでに日がたつと、直前のバックアップは、すでに壊れた状態かもしれません。少し前の時点に戻せることが、安心につながります。

ランサムウェアとバックアップ

ランサムウェアは、ファイルを暗号化して、元に戻す代わりにお金を要求する攻撃です。

ガイドラインの解説には、こう書かれています。バックアップの保存先が、感染した端末からアクセスできる場所にあると、バックアップごと暗号化されてしまうことがある。

そのため、端末のOSからアクセスできない、ネットワークから切り離された、オフラインのディスクや媒体にも保管することを、検討する必要がある、とされています。

切り離した控えの例

切り離した控えの作り方には、いくつか種類があります。一般的な例として、使うときだけつなぐ外付けのディスクや、テープなどの媒体があります。

あるいは、書き換えや削除ができない設定を持つ、バックアップ用の保存先を使う方法もあります。

どれにも、手間や費用がかかります。どこまでやるかは、データの重要度と、止まったときの影響で、団体ごとに決めることになります。

病院などで起きたこと

病院などで、ランサムウェアにより、電子カルテを含む基幹システムのサーバーの大部分が暗号化され、診療に制限が出た例があります。

ある病院の調査報告書の概要では、基幹システムのサーバーの再稼働に43日、診療システム全体の復旧に73日かかったと報告されています。

この例からは、復旧は、データを戻すだけで終わらず、サーバーや端末を入れ直す作業も含めて、長い時間がかかることがある、と分かります。

戻す練習

ガイドラインの解説では、有事に早く対応できるよう、バックアップから復旧できることと、復旧の手順を、定期的に確認しておくこととされています。

戻すときは、感染する前の時点を見つけること。そして、戻したバックアップに、マルウェアが残っていないかを確かめること。この2つを、手順に含めることが大切だと書かれています。

練習は、一部のフォルダを別の場所に戻してみるところから始められます。何分かかったか、誰が何をしたかを、手順書に書き足していきます。

現場でよくある誤解

現場でよくある誤解を、3つ挙げます。

一つ目。バックアップを取っているから、安心という誤解です。戻せるかどうかを試していなければ、戻せるかどうかは、分かりません。

二つ目。同じ建物の別のサーバーに取っているから十分、という誤解です。火災や停電、そして感染は、同じ建物の中の機器に、まとめて影響します。

三つ目。クラウドに置いているから、ランサムウェアは関係ない、という誤解です。同期の設定によっては、暗号化されたファイルが、そのまま同期されることもあります。

異動してきたら最初に確かめること

では、異動してきたら、まず何を確かめればいいでしょうか。

一つ目。バックアップの一覧です。何を、どこに、何世代、誰が管理しているのか。表になっていなければ、まず表にします。

二つ目。切り離した控えがあるかどうかです。あるなら、どう切り離しているのか、なければ、団体として必要か、上司と相談します。

三つ目。最後に戻した日です。戻す練習をしたことがあるのか、あるなら、いつ、何を戻したのかを、確かめます。