ランサムウェア対策のバックアップは？一緒に暗号化されない取り方を解説

ランサムウェアに備えるバックアップは、普段つながない保管先に複数の世代を残し、実際に戻せるか試すところまでを指します。同じネットワークにつながり、同じ管理者アカウントで消せる保存先だけでは、本体のデータと一緒に暗号化される恐れがあります。

今日やることは、止まると困る業務を3つ選び、1枚⁠の表に次の5つ⁠を書くことです。

• バックアップの保管先
• 保管先が普段つながっているか
• 本番と同じアカウントで消せるか
• 何世代前まで残るか
• 最後に戻す試験をした日

埋まらない欄が、見直す場所です。

なぜ取っていても戻せないのか？

警察庁の2026年上半期の統計⁠を見ると、バックアップを取っていた組織の多くが戻せていません。

この数字は、被害を報告し、アンケートのその項目に答えた組織のものです。無事に戻せて届け出なかった会社は含まれないので、世の中全体の成功率としては読めません。とはいえ、2025年の統計でも復元できたのは99件中20件で、傾向は同じです。

原因は攻撃の順序にあります。警察庁の2026年上半期の資料は、攻撃者が管理者権限の奪取を試みながら、内部を探索して重要なデータとバックアップを探す流れを説明しています。2025年の資料には、復旧を妨げるためにバックアップも一緒に暗号化される場合が多い、とあります。

つまり、バックアップは偶然巻き込まれるだけではなく、探される対象です。手が届く場所にある限り、残ると期待できません。米国のCISAのガイドも、多くのランサムウェアが届く範囲のバックアップを探して消すか暗号化しようとするとして、オフラインでの保管を求めています。

8件⁠の「運用の不備」⁠も見逃せません。取っていたのに戻せなかった理由が、攻撃者ではなく自社の運用にあったということです。

分離はどう設計する？

大事なのは保管の場所より、攻撃者の手が届くかどうかです。IPAの手引きは、バックアップの装置や媒体を複数用意し、取るときだけパソコンと接続するか、1つ⁠を社外に保管する方法を示しています。警察庁も、なるべくこまめに取り、ネットワークから切り離してオフラインで保管するよう案内しています。

保管先ごとの違いは次のとおりです。

この表の評価は、仕組みから見た私たちの整理です。特定の製品の性能を示すものではありません。

1つ⁠に絞らず、組み合わせます。日々の小さな復元には近くのNASが便利で、攻撃への備えにはオフラインが効くからです。役割が違います。

同じ管理者で消せないようにする

ネットワークを分けても、本番の管理者アカウントでバックアップを消せるなら、分離は半分です。攻撃者が管理者権限を狙う以上、バックアップの管理には別のアカウントを使い、多要素認証を付け、ふだん使うパソコンにはそのパスワードを保存しません。

クラウドなら安全とは言えない

ファイルを自動で同期するだけの仕組みは、暗号化されたファイルまで同期してしまう可能性があります。過去の版に戻せるか、どこまで戻せるかは、契約しているサービスごとに確かめてください。

CISAのガイドは、書き換えできない保存の機能に触れつつ、規制への適合や設定ミスによる費用に注意するよう述べています。同じ事業者の複数のアカウントが影響を受ける場合に備えて、別のクラウドへ控える案も示しています。機能の名前だけで判断せず、消す権限を誰が持つかまで確かめます。

世代はいくつ残す？

世代数に公的な決まりはありません。業務から決めます。2つ⁠の問いに答えると決めやすくなります。

1つ目は、何日分のデータを失っても許容できるかです。これが取る間隔を決めます。毎日の受注を手で入れ直せるなら日次で足りるかもしれません。夜間に大量のデータが更新される生産管理なら、もっと短い間隔が要る場合もあります。

2つ目は、どこまで古い時点へ戻る可能性があるかです。これが残す期間を決めます。CISAのガイドは、ランサムウェアの発生が以前からの未解決の侵害を示している場合があるとし、バックアップから再構築する前に、先に入り込んだ不正プログラムを確認するよう求めています。新しいバックアップに問題があれば、さらに前へ戻ることになります。

世代の持ち方の例を挙げます。日次を7つ⁠、週次を4つ⁠、月次を3つ残す形です。公的な基準ではなく、間隔を変えると少ない容量で長い期間を残せるという一例です。

自動の上書きには注意が要ります。JPCERT/CCのFAQは、自動でファイルをバックアップする仕組みでは、無事だったバックアップが上書きされて消える恐れがあるとしています。被害が疑われたときに、自動処理を誰が止めるかも決めておきます。

また、警察庁の2024年の資料には、金曜の営業終了後に侵入して月曜の朝までに暗号化する例が載っています。週末の間に世代が入れ替わる設定では、気づいた月曜には残したい世代が消えていないかも見ておきます。

製造業では何を対象にする？

ファイルサーバーだけでは足りないことがあります。たとえば、受託で金属部品を作る会社の場合、次のようなものが止まると生産に響きます。

• 図面、CADのデータ、検査成績書
• NC工作機械のプログラムと工具の設定
• 生産管理と受発注のデータベース
• 設備につながるパソコンの設定、専用ソフトのインストーラー

見落としやすいのは最後の行です。データだけ戻せても、専用ソフトの媒体やライセンス情報がないと動かせません。CISAのガイドも、ソフトの実行ファイルやライセンス契約をオフラインのバックアップと一緒に保管するよう挙げています。古い機器だと、同じイメージが新しい機器に入らない場合があるとも指摘しています。

機械のメーカーに控えがあるか、取引先から図面を再入手できるかも、確かめる価値があります。再入手できるものは後回しにでき、自社にしかないものから手を付けられます。

戻す試験では何を確かめる？

バックアップの価値は、戻せることにあります。政府広報オンラインも、日頃から復旧の手順を確認するよう求めています。試験は3段階に分けると続けやすくなります。

1. 毎月：ファイルを数個、本番とは別の場所に戻して開く
2. 半年ごと：サーバー1台分を、切り離した環境に戻して動かす
3. 年1回：止まると困る業務を、実際に使える状態まで戻す

どの段階でも、かかった時間を記録します。この時間が、復旧にかかる期間と費用の見積もり⁠の材料になります。

試験で確かめる点は4つです。

• 戻す手順書が、社内のシステムが止まっても読めるか
• 暗号化したバックアップの鍵やパスワードを、社内のサーバー以外にも控えているか
• 担当者が休みの日でも、代理が戻せるか
• 戻す先の機器を用意できるか

暗号化そのものは有効です。CISAのガイドも暗号化したオフラインのバックアップを求めています。ただし鍵を失えば、自分でも開けません。

バックアップで解決しないことは？

データが盗まれている場合、バックアップから戻しても情報は取り返せません。警察庁によると、盗んだデータの公開を脅す二重恐喝が被害の多くを占めます。重要なファイルを暗号化しておく対策は、これとは別に検討します。ファイル暗号化の製品比較で、対象の範囲と運用の手間を比べられます。

もう一つは再侵入です。JPCERT/CCのFAQは、復旧の前に侵入経路として考えられる原因をすべて対処するよう求めています。戻す前に経路をふさがないと、また被害を受ける可能性があるからです。業務のサーバーを守る手段はサーバーセキュリティの比較で見られます。

IPAは、第4.0版へ改訂した中小企業向けガイドラインで、最初に取り組む項目に「バックアップを取ろう!」⁠を加え、情報セキュリティ6か条としました。対策の全体の順番はランサムウェア対策のカテゴリに、対策ソフトとの役割の違いは入れても残る穴と足す手順⁠にあります。

製品を選ぶときは、法人向けバックアップの製品比較で、保管先の分離、世代の管理、戻す速さを同じ条件で並べてください。手元の5項目⁠の表が、そのまま比べる物差しになります。被害が起きたときに社員がどう気づくかは、感染画面と社員が気づく兆候⁠を読むと、連絡の手順まで合わせて整えられます。