企業を取り巻くサイバー攻撃は急速に高度化・巧妙化しており、特にランサムウェアは事業継続に大きな影響を与える脅威となっています。近年のランサムウェア攻撃では、データを暗号化して身代金を要求するだけでなく、復旧作業を妨げるためにバックアップデータなどを削除するケースも確認されています[i]。
バックアップデータを使用できない場合、システム復旧が長期化し、事業停止が長引くおそれがあります。また、マルウェアや改ざんされたデータを含むバックアップから復旧することで、侵害された状態を再び復元してしまう可能性もあります。
さらに、事業停止が長期化すると、自社だけでなく、取引先や社会インフラにまで影響が及びかねません。
こうした状況を背景に、「サイバーリカバリー」という考え方が注目されています。本連載では、以下のテーマに沿って、サイバーリカバリーについて全4回に分けて解説します。
第1回：サイバーリカバリーとは？DRとの違いと復旧の重要性（本稿）
第2回：サイバーリカバリーのバックアップ対策｜データ保護と取得設計のポイント
第3回：サイバーリカバリーで重要な侵害検知と早期復旧のポイント
第4回：クラウド環境のサイバーリカバリー｜バックアップ設計の考え方
まず第1回では、サイバーリカバリーの概要と、従来の災害復旧（DR）との違いについてご紹介します。
[i]警察庁サイバー警察局「令和7年上半期におけるサイバー空間をめぐる脅威の情勢等について」（令和7年9月）によると、ランサムウェアグループが、侵入の痕跡を消したり復旧作業を妨げたりする目的で、被害企業のログやバックアップを消去している例が確認されています。
サイバーリカバリーとは、サイバー攻撃によって生じたシステム停止、業務停止、データ損失などの影響から、迅速かつ安全に復旧し、システムや業務を健全な状態に戻すための考え方やプロセスを指します。
関連する概念に「サイバーレジリエンス」があります。サイバーレジリエンスとは、サイバー攻撃への予防、対応、復旧を通じて、事業を継続するための総合的な能力を指します。そのため、復旧に焦点を当てたサイバーリカバリーは、サイバーレジリエンスを構成する要素の一つであるといえるでしょう。
サイバー攻撃の防止を目的に、多くの企業で様々なセキュリティ対策が進んでいますが、昨今においては、すべてのサイバー攻撃を防ぎ切ることは現実的ではありません。このため、企業としては「攻撃を防ぐこと」に加え、「攻撃後の速やかな復旧」も考慮することが求められ、サイバーリカバリーの考え方が重要となります。
サイバーリカバリー戦略を策定し、必要な仕組みやプロセスを整備することで、サイバー攻撃を受けた場合の事業停止期間の短縮や、迅速な業務再開につながります。
災害やシステム障害などによるシステムの停止・損壊に備え、災害復旧（DR）の観点から、バックアップを取得し、遠隔地に保管するなどの対策を行っている企業は多いでしょう。
一方、従来のDR対策に加え、サイバー攻撃を想定した事業継続・復旧の観点も検討する必要がありますが、こうした取り組みはまだ十分に普及しているとは言えない状況です[ii]。
サイバーリカバリーと災害復旧（DR）との大きな違いは、想定している脅威の種類です。災害復旧（DR）には、サイバー攻撃からの復旧に有効な側面もありますが、主な脅威としては自然災害やシステム障害などの悪意のない事象に焦点が当てられています。それに対し、サイバーリカバリーにおいては、サイバー攻撃という悪意のある事象に焦点を当てて対策を検討する必要があります。
具体的には、ランサムウェア攻撃では、保管しているバックアップデータが攻撃者に意図的に狙われるケースが多く[iii]、バックアップデータ自体を攻撃から保護するための対策が求められます。ただし、サイバーリカバリーを考慮しても従来の災害復旧（DR）が不要になるわけではありません。両方の脅威に対応できる体制を整え、維持することが重要です。
|
災害復旧（DR） |
サイバーリカバリー |
|
|
想定脅威 |
自然災害やシステム障害など、悪意のない事象 |
ランサムウェア攻撃による暗号化・改ざん・削除など、悪意のある事象 |
|
バックアップデータの前提 |
バックアップデータは通常利用できることを前提とする（意図的な攻撃は主な想定に含めない） |
バックアップデータ自体が攻撃対象となり得るため、安全性・完全性を確認するまでは、復旧に使えるとみなさない |
|
主な対策 |
DRサイトの整備や、バックアップデータの遠隔地保管など |
バックアップデータ自体の保護、復旧プロセスの整備など |
[ii]警察庁サイバー警察局「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（令和8年3月）によると、ランサムウェア被害を受けた企業・団体へのアンケートで、サイバー攻撃を想定した事業継続計画（BCP）を策定済みと回答したのは、有効回答111件中20件（約18％）でした。
[iii]同資料によると、ランサムウェア攻撃では復旧を妨害するためにバックアップも一緒に暗号化される場合が多いとされています。また、バックアップから復元できなかった被害組織に理由を尋ねた調査では、有効回答72件中48件（約67％）が「バックアップデータの暗号化」と回答しました。
前述のとおり、サイバーリカバリーにおいては、攻撃者が悪意を持ってバックアップデータを標的にすることや、システム自体への侵害がバックアップデータにも影響を及ぼすことを前提に、対策を検討する必要があります。
本稿では、安全なバックアップデータの確保と侵害からの早期復旧に向けた主な検討事項を、次の4つの構成要素に整理します。
攻撃者がシステムや管理者権限を侵害した場合でも、バックアップデータを保護し、利用可能な状態で保持することが重要です。
代表的な対策として、一度取得したバックアップデータを書き換え・削除できない状態で保管する「イミュータブル化」や、従来の遠隔地保管に加え、バックアップデータをバックアップ元から物理的または論理的に隔離する「エアギャップ」の実装が挙げられます。
バックアップデータを保護していても、取得元となる本番環境がすでに侵害されている場合には、マルウェアや改ざんされたデータを含むバックアップを取得し続けてしまう可能性があります。そのため、通常の障害や災害だけでなく、マルウェアの長期潜伏なども考慮してバックアップを設計する必要があります。
代表的な対策として、システムの重要性やデータの更新頻度に応じたバックアップの取得範囲・方式（フル・差分・増分バックアップなど）の設計や、侵害前のデータを保持するための取得頻度・保持期間・世代数の設計が挙げられます。実際の設計では、対象システムの特性やデータ量、バックアップに必要なリソースなどを踏まえ、現実的な取得・保持方法を検討します。
バックアップデータに対する侵害を早期に把握することは、被害の拡大を抑えるうえで非常に重要です。バックアップ処理が正常に完了していることを確認するだけでなく、取得・保管しているバックアップデータに暗号化や改ざんなどの異常が発生していないかを継続的に確認する必要があります。
代表的な対策として、バックアップデータに対するマルウェアスキャンや、ファイルの変更率・更新量・変更内容などの傾向を分析して平時と異なる挙動を検知する仕組みが挙げられます。
侵害が発生した場合は、保管しているバックアップデータの中から、攻撃の影響を受けていないデータを特定し、迅速かつ安全にシステムを復旧する必要があります。侵害されたバックアップデータを使用すると、マルウェアや改ざんされたデータを含む環境を再び復元してしまう可能性があるため、災害復旧のように単に最新のバックアップを使用すればよいとは限りません。
代表的な対策として、保管している複数のバックアップから、侵害されていないクリーンな復旧ポイントを世代単位またはファイル単位で特定する仕組みが挙げられます。安全なバックアップデータを速やかに選定できるようにすることで、復旧作業の効率化と再侵害のリスク低減につながります。
図：サイバーリカバリーの4つの構成要素
ここまで、サイバーリカバリーに関する説明や災害復旧との違い、構成要素についてご紹介しました。
すべてのサイバー攻撃を防ぎ切ることが難しい現在、企業には「侵害を防ぐための能力」だけでなく、「侵害された後に復旧するための能力」が求められています。特にランサムウェア攻撃ではバックアップデータそのものが標的となる場合があるため、従来のDR対策だけでは十分とは言えません。
サイバーリカバリーは、事業継続性を高めるうえで欠かせない取り組みの一つです。
次回は、サイバーリカバリーの4つの構成要素のうち、「バックアップデータの保護」と「バックアップデータの取得設計」について、具体的な対策を交えながら詳しく解説しますので、ぜひご覧ください。