データのレジリエンスの重要性を理解する

近年、サイバー攻撃の頻度と巧妙さは急増しており、世界中の組織にとって大きな課題となっています。相互接続デバイスの普及、クラウドサービスへの依存度の増加、さまざまな環境の変化で新たな脆弱性が生じ、サイバー犯罪者に悪用される機会が増えています。

Veeamの年次調査「2024 Data Protection Trends レポート」によると、75％の組織がサイバー攻撃を経験しており、そのほとんどが複数回標的にされています。この事実を踏まえると、企業は、これらの攻撃が自社の評判、生産性、保険コスト、および財務健全性に与える影響を懸念する必要があります。

これらは、データ損失につながり、最終的には利害関係者からの信頼を失う結果となります。これらの脅威が進化するにつれ、企業は、重要な情報を保護し、業務の整合性を維持するために、データのレジリエンス戦略を優先する必要があると考えられます。

第1回は、事業継続におけるデータレジリエンスの役割および企業文化に根付かせるために何をするべきかについて考察します。

事業継続におけるデータレジリエンスの役割

データレジリエンスとは、データ関連の混乱や障害に耐え、そこから回復し、適応する組織の能力を指し、重要なデータがアクセス可能で損なわれない状態を維持することを意味します。

データバックアップとリカバリを主な目的とする従来のデータ保護対策とは異なり、データレジリエンスは、普段からのデータ損失の防止、ダウンタイムの最小化、データの完全性の維持、回復プロセスの明確化など、より広範なアプローチを包含しています。

データのレジリエンスを事業継続計画に組み込むことで、企業はデータ侵害に備えるとともに、サイバー攻撃だけではなく、ハードウェアの故障、自然災害、人的ミスなど、その他のさまざまな障害に対処する体制を整えることができます。 レジリエントなデータ戦略により、企業は不測の事態に直面しても業務を継続し、組織の評判を守り、財務上の損失を減らせます。

現在のデータレジリエンス能力の評価指標

効果的にデータレジリエンス能力を高めるには、組織はまず現在の能力を評価する必要があります。これには、既存のデータ保護対策の評価、潜在的な脆弱性の特定、データ関連のインシデントからの回復能力の定期的な訓練と確認が含まれます。この評価の主なステップは次のとおりです。

（1）リスク想定の評価の実施

サイバー攻撃、あるいは何らかのサイトダウンに対する、準備、運用、対応が事前に想定でき、発覚から業務復旧までの間に、部門やベンダーを超えたオペレーションが成立するかを評価します。

（2）データマネージメント環境の見直し

ゼロトラストデータレジリエンスと言われる、バックアップソフトウェアとバックアップストレージが分離され、セグメンテーションとエアギャップを採用しているかを評価します。

（3）データガバナンスの実践の評価

データ品質、セキュリティ、コンプライアンスを管理するためのデータガバナンス方針が適切に実施されていることを確認します。具体的には、データの管理だけではなく、オフサイト保管、不変性、暗号化されているか、万が一に備えてパスワードをかけているか、暗号化キーを適切に保管しているかを確認します。

（4）データレジリエンスに対する継続的な対応の評価

脆弱性に対応するためのソフトウェアの最新パッチを当てるプロセスや、各コンポーネントやサービスをセキュアに保つための対応など、日々進化しているサイバー攻撃に対して、最新の情報をキャッチアップできていて、かつ、正しく適用できるかどうかを評価します。マルウェア検知をするためのシグネイチャ更新の頻度を確認することも含まれます。

（5）災害復旧計画の評価

サイバー攻撃を受けた場合の全体の復帰プロセスが実行できるかを評価します。単純なリカバリテストだけではなく、攻撃手法の封鎖修復、影響範囲、本当にリカバリが行える状況なのかという判断、ランサムウェア攻撃者との交渉プロセスの確認を含みます。

データレジリエンスレベルの主要指標

組織の現在のデータレジリエンスレベルを把握することは、改善が必要な領域を特定する上で極めて重要です。

また起こりうる事象と対処は、ある程度想定、定義をしておく必要があります。RPO(目標復旧時点)と目標復旧時間(RTO)を定めたシステム設計があるとは思いますが、通常の障害時、災害の場合、ランサムウェアのような一部の組織だけが被害に遭い、同時多発的に損害が大きくなる事象が発生すると想定が変わってきます。

例えば、データセンターの自然災害を想定し、またサイバー攻撃、ランサムウェアも含めた被害の想定をした際、両方に共通している事象は、現在の環境が使えなくなることですが、二つの対応には大きく乖離があります。これらの起こりうる災害に対して準備をしておくことが必要です。

データがどこに保管されていて、どこに回復できるか、その一連の必要なプロセスを組織全体で想定をして、準備をしておくことにより対応ができるようになります。つまり、データレジリエンスは、個々のオペレーションについてではなく、全体的な準備、運用、災害想定、予行演習の全てを行う企業習慣にすることが必要不可欠です。

持続可能なデータレジリエンスのための長期戦略

持続可能なデータレジリエンスを構築するには、継続的な改善と適応に対する長期的な取り組みが必要です。これを達成するための主な戦略には、ゼロトラストの考え方に準拠したデータとそのマネージメント環境の隔離、脆弱性情報やソフトウェアの更新情報の入手と対策、プロアクティブな防御の考え方、そして、データのリカバリだけではなく、ランサムウェア攻撃を受けた際の復旧に必要となる、判断や手順を含む全体的な投資が含まれます。

また、安全を確保するための多層防御、定期的な脆弱性評価、および包括的な従業員トレーニングプログラムを含む、強固なサイバーセキュリティ対策の実施も不可欠です。

マルチクラウドのアプローチを採用することも、重要な戦略の一つです。サイバー攻撃を受けた場合に、まず、その環境にリストアをするということは多くは不可能です。攻撃を受けた環境以外に、ディザスタリカバリ環境としてクラウドにデータを安全に保護しておき、さらに、クラウド環境で事業を再開できるようにしておくことにより、サイバー攻撃からの回復の時間を早めることができます。

なおクラウド環境は、平常時のコストを低く抑えることが可能です。ただし、クラウド環境にバックアップデータがあるからといって、リストアテストを怠ると、クラウド特有の仕様やリソース制限に引っかかってしまう場合もあるので、定期的なテストを怠るのは禁物です。

実際にランサムウェアの攻撃を受けた場合、最終手段は「復旧」となりますが、この「復旧」というフェーズは、単純にリカバリをすればいいというわけではありません。

「復旧」をしなければならない状況を考えると、周りの環境は、すでに攻撃者の手に落ちている、つまり、防御手段はすでに突破されている、攻撃者からは、身代金交渉の連絡が来ているという状態が想定できます。この状態で単に復旧をしても安全ではありません。また、復旧をするための最後の望みとして、バックアップデータファイルは少なくとも生存している必要があります。

「復旧」をするためには、次の6つのステップを踏みます。

（1）攻撃の把握：攻撃に利用された経路、脆弱性の把握と一時対応と恒久的な対応
（2）攻撃による影響範囲の把握：どのようなデータが流出したか、攻撃を受けたか、範囲や状況の把握
（３）攻撃者への対応：攻撃者とのコミュニケーション、流出データの確認等に対して、冷静に的確な対応ができるか
（4）バックアップ環境全体の確認：必要なバックアップデータはどこに、どれくらいの期間で保存されているか
（5）復旧に向けての操作判断：リストアや復号化が安全に実施できるか、リストア先を確保してあるか、あるいは新たにに投資して確保できるか
（6）リストア操作：適切な場所にあるデータをランサムウェアの攻撃の影響がない場所に安全にリストアができて、リストアの影響を考慮して事業再開ができるようになっているか

仮に復旧が可能という判断に至った場合でもリストアを行うまでに多くのことを行う必要があります。また、それらは、単純にインフラ担当者側で行うことができず、経営層やセキュリティ部門など全社的に動く必要があります。

データレジリエンスは、組織全体が取り組むべき戦略で、常に情報を取得し、環境への適用、行動への適用、想定やガイドラインへの適用を続ける必要があります。その対策を怠ると、全く行っていなかった状態に後戻りします。常に継続することによって長期的な成功と持続性を手に入れることができます。