ランサムウェア対策とバックアップ｜復元テスト・RPO・RTOで復旧を考える

ランサムウェアは業務を止めるだけでなく、情報を持ち出す被害につながる場合もあります。復元できれば全て解決とは限りません。本記事はBCPの用語の暗記ではなく、保存したデータから実際に業務を再開するまでの確認に焦点を当てます。

毎日「バックアップ成功」と通知されていても、復元権限が分からない、設定が不足する、必要な鍵が失われる、外部の接続先が復旧していないと、仕事は再開できません。保存容量や実行回数だけでなく、誰がどこへ何を戻せるのかを検証します。

復元以外の報告と役割分担は事故対応の机上訓練、着手する順序は中小企業の対策計画で整理できます。

具体的な判断へ進むには復旧の依存関係と順序を確認してください。

同期は変更を別の場所へ反映します。便利ですが、誤削除や暗号化された状態も反映される設計なら、元に戻せるとは限りません。バックアップは復元に使う保存であり、世代、保存期間、改変防止、アクセス権が重要です。復旧は、その保存を利用して安全に業務を再開する一連の作業です。

別の場所にコピーしているだけでも、同じ管理者アカウントで全てを消せるなら権限上の分離は弱いままです。オフライン保管や変更できない保存方式を検討するときも、名前だけで判断せず、誰が保存期間を変えられるか、削除できるか、復元できるかを確認します。

架空の受注システムで、最後に正常なデータを保存したのが10時、障害が分かったのが12時、再開が15時だったとします。10時の状態までしか戻せなければ、10〜12時の2時間分の更新が失われる可能性があります。一方、12〜15時の3時間は停止から再開までにかかった時間です。

RPOは許容するデータ損失の時間的な範囲、RTOは復旧に許容する時間の目標です。実測の2時間・3時間を、そのまま組織の目標と呼んではいけません。仮にRPOが1時間、RTOが2時間なら、この例はどちらも目標を満たしていません。目標は業務の影響と費用を踏まえて決めます。

調査に時間がかかり、安全が確認できない環境へ急いで戻すと再感染や証拠の消失につながります。目標時間だけを優先せず、再開の判断条件と、代替手段で継続する条件も用意しておきます。

訓練では、対象の世代を選べるか、実際に読み出せるか、必要な設定や鍵が揃うか、利用者が正しく処理できるか、所要時間が目標内かを確認します。本番データを使う必要がある場合は、機密性と権限にも配慮し、担当者が許可した隔離環境で行います。

成功の判定を「ファイルが開けた」で終わらせないことも重要です。受注なら件数と状態、会計なら整合性、認証なら利用者の権限を、業務担当者と確認します。失敗した項目と修正後の再検証を記録すれば、訓練を次の改善に使えます。

架空の会社で、受注画面だけを先に復元しても、認証サービスと商品マスターが利用できなければ受注はできません。システムの名前を並べた復旧順序ではなく、その業務に必要なデータと接続先を確認します。外部の委託先や通信の復旧も、自社の計画だけでは決められない条件です。

業務側が優先する処理と、技術側が先に戻す必要のある基盤をすり合わせます。訓練で一部が戻らなかった場合に、代替手段を使えるか、その間の情報を後で整合させられるかも検討します。復旧を速くする目標と、誤ったデータで業務を進めない条件を一緒に決めることが大切です。

依存関係を記録しておけば、担当者が変わっても同じ順序と根拠を確認できます。実際の訓練結果と手順書が違う場合は、手順を修正して再確認します。

侵入の疑いがあるときは、組織の事故対応手順に沿って連絡し、影響範囲、侵入経路、持ち出しの可能性を調べます。ログや端末を自己判断で消してから復元すると、原因が分からなくなることがあります。初期化・隔離・証拠保全の順序は担当者と調整してください。

再開前には、侵入に使われた認証情報や脆弱性、外部連携なども確認します。バックアップは被害を小さくする重要な手段ですが、漏えい対応、侵入防止、関係者への連絡の代わりではありません。日常の点検と事故時の対応を両方準備します。

本記事のケース・図解は当サイト独自の学習用です。公表事例と架空の練習例を区別し、実際の試験問題や過去問を再現していません。時事情報がそのまま出題されるという意味ではありません。

学習範囲を確認するなら情報・サイバーセキュリティ管理士の概要、理解を確かめるなら登録不要の無料お試し20問へ。収録内容と料金は管理士のコースページで確認できます。

外部の制度・事例は2026年10月14日時点で確認しました。事件の評価や製品の対応状況は更新されるため、実務判断では末尾の一次資料も再確認してください。