防御を固めても、すり抜けはゼロにならない
セキュリティソフト、UTM（統合脅威管理）、WindowsやOfficeのアップデート、管理者権限の制限。こうした基本的な対策は当然やるべきで、やっていなければまずやる。
ただ、これらは脅威を「減らす」ための仕組みであって「なくす」ための仕組みではない。
たとえばランサムウェア。社内のファイルを暗号化して使えなくし、復号と引き換えに身代金を要求する攻撃になる。UTMがブロックする。セキュリティソフトが検知する。それで大半は防げる。しかし新種の攻撃や、社員が不審なメールを開いてしまうケースまで、すべてを防ぐことは構造的に不可能になる。
どれだけ防御を固めても、すり抜ける可能性はゼロにならない。この前提に立つと、セキュリティの本丸は防御ではなく、すり抜けたあとにどう戻すかになる。
バックアップが唯一の確実な復旧手段
ランサムウェアに感染した場合、現実的な復旧手段はバックアップからの復元しかない。
身代金を払っても復号キーが送られてくる保証はない。セキュリティベンダーが復号ツールを出すこともあるが、対応できるのは既知の型だけで、タイミングも読めない。
結局、自分のデータを自分で持っている状態——つまりバックアップ——が、唯一コントロール可能な復旧手段になる。これは以前の記事でデータの主権について書いたことと同じ構造で、自分で持っていないものは、自分では取り戻せない。
ただし「バックアップがある」だけでは足りない
ここで重要なのは、バックアップの「ある・なし」ではなく、どこにあるかになる。
ランサムウェアはネットワーク上のドライブを片っ端から暗号化する。社内のNASに毎日バックアップを取っていても、そのNASがネットワークに繋がっていれば、本体と一緒に暗号化される。バックアップがあるのに復元できない、という最悪のケースが起きる。
バックアップが有効であるためには、ランサムウェアの影響が及ばない、切り離された環境に保管する必要がある。
具体的には：
- 外付けHDDに取って、物理的に外しておく。 最もシンプルで確実。バックアップ時だけ接続し、終わったら外す
- クラウドストレージに世代管理付きで保管する。 暗号化されたファイルが同期されても、過去の世代に戻せる
- テープバックアップ。 大げさに聞こえるが、オフラインメディアとしては今でも有効
方法は会社の規模やデータ量に合わせて選べばいい。原則は一つ。バックアップの保管先が、本番環境と同じネットワーク上にないこと。
「業者に任せてあるから大丈夫」が一番危ない
以前、あるソフトウェアの導入にあたって、サーバーのハードウェア選定から環境構築、バックアップ設定までを一括で業者に依頼したことがある。専門業者だから安心だろうと思っていた。
しかし、そのサーバーが壊れたとき、バックアップイメージからの復旧がうまくいかなかった。どうやらイメージの作り方に問題があったようで、結果として復旧に数週間かかった。中小製造業にとって、サーバーが数週間止まるというのは業務が止まるということになる。
この経験で痛感したのは、専門業者に任せたからといって、バックアップが正しく機能するとは限らないということ。業者の技術力にもばらつきはあるし、構築時の設定の問題は納品時点では表面化しない。問題がわかるのは実際に壊れたとき——つまり検証していなければ、何年も気づかないまま「使えないバックアップ」を取り続けることになる。
復旧手順を自分たちで理解しておく
この問題の根っこは、バックアップの技術的な話ではなく、復旧の知識が社内になかったことにある。
以前の記事で、DXにおいて「知識がベンダー側に偏る」ことの危険性を書いた。セキュリティのバックアップと復旧でも、まったく同じ構造が起きる。
→ 中小製造業の内製DXと外注の線引き ──「自社固有」か「汎用」かで決める
- バックアップの設計を業者に任せる
- バックアップが毎日動いているのを確認して安心する
- いざ壊れたときに「業者に連絡して復旧してもらおう」と思う
- 業者がすぐ来るとは限らない。来ても、数年前に構築した環境の詳細を業者側が覚えているとも限らない
以前の記事でDXの丸投げについて書いたが、構造としては同じことが起きている。
→ 中小製造業の内製DXと外注の線引き ──「自社固有」か「汎用」かで決める
最低限、以下は社内で把握しておいたほうがいいと思っている。
- 何のバックアップが、どこに、どの頻度で取られているか
- バックアップからの復元手順。 実際に復元テストをやったことがあるか
- 復旧にどのくらいの時間がかかるかの見積もり
- 業者に連絡がつかない場合、自分たちだけでどこまで復旧できるか
完璧に理解する必要はない。しかし「バックアップは業者に任せてあるので大丈夫です」という状態は、「システムはベンダーに任せてあるので大丈夫です」と同じレベルの危うさがある。
見落とされがちな個人PCのバックアップ
ここまでサーバーやNASの話を書いてきたが、中小製造業で意外と盲点になるのが個人PCになる。
見積データをExcelで管理している。過去の図面修正履歴がローカルに残っている。取引先とのメールのやり取りが業務の証跡になっている。こうしたデータが個人PCにしか存在しないケースは珍しくない。そしてそのPCのバックアップを取っている人は、ほとんどいない。
PCが壊れたとき、OSの再インストールやソフトの設定は時間さえかければ戻せる。しかしデータは戻せない。ハードディスクの物理故障であれば、復旧業者に出しても取り戻せないことがある。
対策はシンプルで、BunBackupのようなフリーソフトで十分。指定したフォルダを外付けHDDやNASに定期コピーするだけのソフトで、設定も10分もかからない。毎日自動で差分バックアップを取る設定にしておけば、意識しなくてもデータが残る。
理想を言えば、業務データはサーバーに集約すべきだろう。しかし現実には個人PCにしかないデータが必ず存在する。その現実を前提にして、まず「今あるデータを失わない仕組み」を入れておく。サーバーへの集約はその後でいい。
セキュリティも「自分で持つ」
このシリーズを通じて、データの主権、ツールの選択権、知識の所在——「自分で持つ」ことの重要性を繰り返し書いてきた。セキュリティも同じだと思っている。
セキュリティ製品を導入することと、セキュリティを「持っている」ことは同じではない。UTMを置いてセキュリティソフトを入れることは大事だが、それは防御の道具を揃えた段階であって、いざというときに事業を継続できる力があるかどうかは、また別の話になる。
防御は製品に任せていい。ただ、復旧については自分たちでも動ける状態にしておく。バックアップを切り離された場所に持ち、復旧手順を理解し、定期的に検証する。地味で面倒な作業だが、これが中小製造業にとって最も現実的で、最も確実なセキュリティになる。
高価な製品を積み上げるよりも、「壊れても月曜日には出荷できる」状態を作ること。それがこの規模の会社にとってのセキュリティの本質だと考えている。
このシリーズの他の記事：