ランサムウェア被害後の明暗を分ける、バックアップ対策と復旧オペレーションを総合的に強化する手段とは？

復旧手順は検証できているか？ 復旧テストは十分か？

　ただし、バックアップシステムやイミュータブルストレージを導入しただけでは、そのポテンシャルを活かし切れないことを押さえておこう。重要なのは、技術的対策とあわせて復旧手順を整備することだ。手順の確認・検証ができていなければ、インシデント発生時に混乱やイレギュラーが発生することは容易に想像でき、結局、業務再開まで時間を要することになる。

　皆さんの組織では、復旧マニュアルが整備されているだろうか。また、定期的な復旧テストは実施しているだろうか。できていない場合、有事の際に必要な作業や判断の順序を把握できず、対応の初動が遅れる可能性が高い。システムの復旧は、最初の数時間～数日がその後の業務・事業再開の行方を左右する。

　たとえば、先述したCRSのようなRPSから分離した保管先のバックアップを利用する場合は、RPSの復旧または再構築、データストアのインポート、対象システムのリストアといった手順を想定しておく必要がある。自社の環境でどこまで復旧可能か、誰がどの作業を担うのかを、平時から確認しておこう。

　なお、本番運用中に復旧テストを行うことには不安を感じる方もいるだろう。そこで、Arcserve UDP 10.0以降では、既存のデータストアを読み取り専用のデータストアとしてインポート・マウントする機能が搭載されている。元の書き込み可能なデータストアを変更することなく、リストアやバックアップデータの確認に利用できるため、通常のバックアップ運用への影響を抑えながら復旧手順を検証できる。読み取り専用でインポートしたデータストアでは、バックアップ、マージ、パージの各ジョブは実行されない。

　もちろん、技術面のテストとあわせて、組織としての対応手順も確認しておきたい。福田氏は、IPA（情報処理推進機構）が無料公開している「セキュリティインシデント対応机上演習教材」の活用を推奨した。同教材では、ランサムウェア感染を想定したシナリオをもとに、受講者がグループで対応方針や方法を検討し、発表する一連のプログラムを学べる。報告、意思決定、復旧方針の検討に必要な連携を、机上で確認できる。

　さらにArcserveは、バックアップと復旧の操作を実機で体験できる無償ハンズオントレーニングや、Web上でも学べるオンラインによるトレーニングも提供している。こうした材料を活用しながら、復旧の技術手順とインシデント対応の役割分担を繰り返し確認する習慣を育てていこう。

4つの復旧対策を分断させずに設計・運用せよ

　ここまでの話を総括する。ランサムウェア被害からの早期復旧に向けては、バックアップを取得するだけでは十分ではない。①感染前の復旧ポイントを確実に残す多世代バックアップ、②復旧候補を見極めるインスタントVMやマルウェアスキャン、③バックアップそのものを守るイミュータブルストレージ、④有事の初動対応を確実なものとする復旧テストと訓練──この4つを組み合わせることで、総合的な復旧能力を高めていくことが重要だ。

　忘れてはいけないのは、これらを個別の対策として導入するのではなく、一連の復旧プロセスとして設計・運用することだ。平時から復旧に使えるデータを確保し、その健全性を確認し、バックアップを攻撃から守り、想定した手順で復旧できるかを繰り返し検証する。こうした備えが、ランサムウェア攻撃時の被害を最小限に抑え、事業再開までの時間を短縮するサイバーレジリエンスの強靭化につながる。