同業がランサムウェアで業務停止……その時、会社を止めないための「復旧」の入門書

中小企業で孤軍奮闘する総務部の佐藤さん。ニチレイグループでも発生したランサムウェア被害を知り、自社のバックアップが感染時に機能しない可能性に気付く。どれだけ防御を固めても侵入をゼロにできない今、本当に必要なのは？

[名須川竜太，キーマンズネット]

　本連載では、架空の中小企業「愛提興産」（あいていこうさん）で情報システム担当を兼務する総務部係長・佐藤さんを主人公に、明日から実践できる現実的なセキュリティ対策の立て直しプロセスを追ってきた。

　最終回となる今回は、どれほど対策を講じてもサイバー攻撃による侵入を完全に防ぐことはできないという侵入前提の考え方に立ち、インシデント発生時でも事業を継続できる現実的な復旧体制の構築方法を解説する。併せて、その実現に必要な予算や社内リソースを確保するため、経営層に効果的に説明・提案するポイントも紹介する。

本連載について

架空の中小企業「愛提興産（あいていこうさん）」を舞台に、情報システム担当を兼務する総務部係長・佐藤さんの視点から、限られた人員でも実践できる現実的なセキュリティ対策の立て直しを考える。

同業の被害で膨らむ不安　「もし、うちもやられたら……」

　「同業の喜伊万産業さん、ランサムウェアにやられて業務停止らしいですよ……」

　同僚の一言で、フロアの空気が少し重くなった。最近、取引先や同業他社がサイバー攻撃の被害に遭ったという知らせが後を絶たない。

　「うちはバックアップを取っているから、万一のときも大丈夫だよね……？」

　佐藤は自席のPCから、社内サーバのバックアップ設定画面を開いた。毎日深夜に、外付けのHDDへ自動的にデータがコピーされる設定になっている。

　「よしよし、ちゃんと取れてるな」

　安心しかけた佐藤だったが、ふと先月に読んだランサムウェア攻撃の脅威を報じる記事を思い出した。それによれば、最近のランサムウェアはネットワークにつながっているバックアップデータも一緒に暗号化して破壊してしまうのだという。

　佐藤はオフィスの片隅にあるサーバラックに視線を移した。バックアップ用のHDDは、サーバに常時接続されたままだ。

　「もしサーバが感染したら、このHDDも一緒にやられちゃうってこと？」

※イメージ画像（Nano Bananaで生成）

　不安はそれだけではない。

　「そもそも、このバックアップデータを使って、どうやってシステムを復旧させればいいんだっけ？　手順書なんて見たことないし、復旧のテストも一度もやったことがないな……」

　佐藤は、これまで「バックアップは取っているから大丈夫」と思い込んでいた。だが、それで本当に大丈夫かを確認したことは一度もなかった。

　「防ぐことばかり気にしていたけど、入られた後のことは何も考えてなかったじゃないか……」

　もし社内ネットワークに侵入されてしまったら、誰に連絡すればよいのか。どのシステムから優先して復旧するのか。業務はどうやって継続するのか。パッと思い付くこれらのことについて、何も決めていないことに気付く。

　「防ぐだけじゃダメだ。やられた後にどうするかを決めておかないと、万一のときに会社が立ち行かなくなるぞ……」

アンチウイルスだけでは、なぜ足りないのか？

　従来のセキュリティ対策では、既知のマルウェアの特徴（シグネチャ）を定義し、アンチウイルスソフトで一致するシグネチャを検知して侵入を防ぐ手法が主流だった。病気に例えれば、流行しているウイルスの検体を収集・分析し、それに対応するワクチン（シグネチャ）を作成して感染を防ぐアプローチに近い。

　だが、サイバー攻撃の主流が不特定多数を狙うマス攻撃から、特定の企業や組織を狙い撃ちにする標的型攻撃へと移ると、この手法だけでは十分な防御が難しくなった。攻撃ごとにカスタマイズされた未知のマルウェアが使われるケースが増え、事前に検体を集めてシグネチャを作成する従来型の対策では対応が追い付かなくなったためだ。

　こうした状況を受け、2010年代半ばから「サイバーレジリエンス」（サイバー復元力）という考え方が広く浸透し始めた。これは、「ネットワークへの侵入を完全に防ぐことはできない」という前提に立ち、自然災害への防災・事業継続計画（BCP）のように、被害を受けても迅速に業務を復旧・継続できる体制を整えるという考え方だ。

　現在では、侵入を防ぐための対策に加え、EDR（Endpoint Detection and Response）などを活用して侵入後の挙動を検知・対応し、被害を最小限に抑えながら速やかに復旧することを重視するアプローチが、セキュリティ対策の標準となっている。以降の解説は、フォーティネットジャパンでフィールドCISOを務める登坂恒夫氏の話を参考にしている。

著者プロフィール：登坂 恒夫（とさか つねお）

2021年9月、フォーティネットジャパンにマーケティング本部 Field CISOとして入社。情報セキュリティ全般を通して、ユーザー企業の情報セキュリティ責任者に対して技術や脅威などの動向をお伝えするとともに、情報セキュリティ責任者との意見交換を通じて課題解決に向けた取り組みを支援する。フォーティネットジャパン入社前は、IDC Japanにおいて10年以上国内のセキュリティ市場調査アナリストに従事。国内のセキュリティ市場全般に深い洞察を持つ。これまでに、SE業務、コンサルティング業務、サポート業務と幅広くIT業務を20年以上にわたり経験。

感染からデータを隔離する「オフライン保管」の鉄則

　侵入を前提としたセキュリティ対策において、事業継続の要となるのがバックアップだ。だが、バックアップを取得していても、インシデント発生時に復旧できるとは限らない。

　その大きな要因が、ランサムウェアに特有の「ラテラルムーブメント」（横展開）だ。ランサムウェアは侵入直後にデータを暗号化するのではなく、まずネットワーク内を探索し、接続された端末やサーバ、共有ストレージなどを把握する。その結果、社内ネットワークに常時接続されたバックアップサーバやオンラインストレージも本番データと同様に攻撃対象となり、一緒に暗号化されてしまう。

　さらに注意すべきなのは、暗号化されたデータを復号できたとしても、安全性が保証されるわけではない点だ。復旧したシステムにマルウェアが残存していたり、攻撃者が再侵入するためのバックドア（裏口）が設置されていたりする可能性がある。その状態でシステムを復旧すれば、再び感染や情報漏えいを招きかねない。つまり、データの完全性や信頼性を確認できなければ、バックアップが存在していても安心して復元に利用することはできないということだ。

　万一の事態でも確実に復旧できるクリーンなデータを確保するには、第4回で紹介したIT資産管理台帳を基に、自社にとって重要なデータを洗い出し、バックアップ対象や取得頻度を明確に定めることが重要だ。その上で、ランサムウェアの影響を受けないよう、バックアップデータはネットワークから物理的または論理的に切り離したオフライン環境に保管する運用へ見直すことが求められる。

担当者の頭の中にしかない設定……悩む「初期化からの再構築」

　オフライン環境にバックアップを保管していれば、データそのものは保護できる。だが、それだけで直ちに業務を再開できるわけではない。ランサムウェアや高度なサイバー攻撃の被害を受けた場合、感染したサーバやPCについて、ストレージ初期化やOSの再インストール、システムの再構築が必要になることもある。

　このとき、バックアップデータを書き戻すだけでは元の環境は復元できない。OSのセットアップに始まり、業務アプリケーションのインストールからネットワーク設定、自社独自のカスタマイズ内容の反映まで、一連の構築作業をやり直す必要がある。だが、こうした設定や構築手順が担当者の経験や記憶に依存し、文書化されていない企業はある。手順書がなければ担当者の不在時に復旧作業が滞るだけでなく、外部の復旧ベンダーが対応する場合でも自社固有の設定を再現できず、復旧の長期化を招く恐れがある。

　そのため、侵入後も事業を継続するには、平時から復旧手順を整備しておくことが欠かせない。OSや各種ソフトウェアのインストール手順、設定内容、ライセンス情報などを文書化するとともに、業務への影響度を踏まえてシステムの復旧優先順位を定めておくことが重要だ。

　ただし、手順書は作成して終わりではない。金融機関などでは、BCPの一環として、年1回以上の復旧訓練を実施する例もある。中小企業でも、手順書に沿って実際にシステムを復元し、業務再開までに要する時間や手順上の課題を定期的に検証することが望ましい。訓練を通じて改善点を洗い出し、手順書を継続的に更新していくことが、有事における迅速かつ確実な復旧につながる。

「電源オフ」はNG？　知っておくべき「初動対応のルール」

　インシデント発生時の初動対応についても、平時から手順を定めておく必要がある。感染が疑われる端末を発見した場合は、被害の拡大を防ぐため、LANケーブルを抜く、あるいは無線LANを切断してネットワークから速やかに隔離することが重要だ。一方で、電源を切ることは避けなければならない。電源を落とすと、メモリに残っていた通信情報や実行中のプロセスなどの揮発性データが失われ、後のデジタルフォレンジック（証拠保全・調査）に必要な重要な証拠を消してしまう恐れがある。

　初動対応後は、原因究明や被害範囲の特定、関係機関への報告、復旧作業など、多岐にわたる対応が必要となる。だが、これらを情報システム担当者だけで担うことは現実的ではない。中小企業では、日頃から付き合いのあるベンダーやSIerへ相談するケースが多いものの、システムの構築・運用に強い事業者であっても、インシデント対応やデジタルフォレンジックの専門知識まで備えているとは限らない。

　そのため、平時からインシデント対応の責任者や体制を明確にし、必要に応じて外部の専門家と連携できる準備を整えておくことが重要である。専任のCSIRT（Computer Security Incident Response Team）を設置できない中小企業であっても、対応責任者を定め、セキュリティ専門会社や法務部門、弁護士などと速やかに連携できる体制を構築しておきたい。

　自社だけで専門家を確保することが難しい場合は、国家資格である「情報処理安全確保支援士」（登録セキスペ）や、独立行政法人情報処理推進機構（IPA）が提供する「サイバーセキュリティお助け隊サービス」など、外部の支援制度をあらかじめ活用できるようにしておくと安心だ。

・情報処理安全確保支援士（登録セキスペ）検索サービス

・サイバーセキュリティお助け隊サービス ユーザー向けサイト

　さらに、経営層と相談の上で、保険会社が提供するサイバー保険（企業向けサイバーリスク保険）への加入を検討するのも有効な選択肢だ。サイバー保険は、インシデント発生時の損害を補償するだけでなく、フォレンジック調査会社の手配や、サイバーセキュリティに精通した弁護士・専門家の紹介など、初動対応を支援するサービスを付帯している商品も少なくない。自社だけで対応体制を整えることが難しい中小企業にとっては、専門家の支援を迅速に受けられる点も大きなメリットとなる。

経営層から予算を獲得する説明のコツ

　こうした復旧体制の構築や事前の備えには、相応の予算や社内リソースが必要となる。これに経営層から理解を得る際、セキュリティ対策を“投資”と表現するのは避けるべきかもしれない。投資と聞くと「そこからどれだけの利益（ROI）が得られるか」が焦点となり、経営層が本質を見誤る恐れがあるからだ。

　セキュリティ対策を単なる“コスト”と捉えさせないためには、自社の信頼性を確保し、取引先とのビジネスを継続するための必須要件として説明する視点が求められる。実際、セキュリティ投資は直接的な売り上げを生むものではなく、ROIという指標だけで評価するのは難しい。

　だが、ランサムウェアの被害による業務停止は、自社だけでなくサプライチェーン全体の操業を止める事態へと発展しかねない。第3回でも触れたように、現在は政府主導で「サプライチェーン強化に向けたセキュリティ対策評価制度」の構築が進むなど、企業間の取引で十分なセキュリティ対策を講じていることが、ビジネスを継続する上での前提条件となりつつある。対策を怠ってセキュリティ侵害で事業が停止するようなことがあれば、サプライチェーン全体の操業に影響を及ぼし、取引を打ち切られる恐れがある。

インシデント発生に備えて、今すぐやるべき3カ条

　最後に、サイバー攻撃による被害を最小限に抑え、事業継続につなげるために、明日から取り組める実践的なアクションを3つ紹介する。

1. バックアップと復旧手順を見直す

　バックアップの対象範囲や保存先を確認するとともに、OSや業務ソフトの再構築、各種設定の復元手順まで含めてドキュメント化する。

2. 復旧訓練を定期的に実施する

　作成した手順書に沿ってシステムを実際に復元し、目標時間内に業務を再開できるかを検証する。訓練を通じて課題を洗い出し、手順書や運用を継続的に改善する。

3. インシデント対応体制を整備する

　インシデント対応の責任者を明確にし、経営層への報告フローや外部専門家との連携体制を平時から整備する。必要に応じてサイバー保険を活用し、有事に迅速な支援を受けられる環境を構築する。