概要

新規システムを発注する際は、「毎日バックアップを取得する」だけでなく、どの業務をいつまでに戻し、どこまでのデータ損失を許容するかを決めます。取得できたことと、必要な業務を再開できることは別々に確認します。NISTの復旧計画ガイド

この記事は、事業責任者と発注担当者が復旧の条件を整理し、開発・運用担当者と保存方式や試験内容を相談するためのガイドです。

確認された事実：バックアップも被害を受けた例

アスクルの2025年の事例では、同社は2025年12月12日の第13報で、物流システムに加え、同じデータセンター内のバックアップファイルも暗号化され、復旧に時間を要したと説明しました。物流システムの停止により出荷業務が全面停止したことも報告しています。第13報3ページ

ここから「バックアップがなかった」とは言えません。また、特定の保存製品を使っていれば防げたとも判断しません。以下は同社の構成を評価するものではなく、自社の本番環境と復旧経路が同時に失われる条件を検討するための一般論です。

一般化したリスク：複製先も同時に使えなくなる

本番とバックアップに同じ管理アカウントを使い、その権限で両方を削除できると、一つの侵害が両方へ及ぶ可能性があります。別の場所へ保存していても、ネットワークや認証のつながりは別に点検する必要があります。カナダCyber Centreも、オンラインやクラウドのバックアップがランサムウェアの影響を受け得ることと、ネットワークから切り離した保存を示しています。公的playbook

データだけ残っていても、認証基盤、設定、暗号鍵、起動手順が失われれば復旧を進められません。復旧計画ではシステムを構成する資源と依存関係を確認し、優先順位を定めます。NISTの復旧計画ガイド

推奨する設計：再開したい業務から逆算する

以下は公的資料の考え方を、Webサービス・業務システムの発注と設計に具体化した案です。

1. 停止時間とデータ損失を別々に決める

RTOは復旧に許容する時間、RPOはデータをどの時点まで戻す必要があるかを表す目標です。NISTは、これらを業務の影響に基づいて決める考え方を示しています。NIST本文17ページ

たとえば「注文受付を4時間で戻し、注文データの損失は15分以内に抑えたい」は、両者を分けた要件の例です。すべての会社に勧める数値ではありません。担当者は、失った注文の再確認や手作業の処理量も考慮して目標を決め、開発側は費用と実現条件を説明します。

データの復元が速くても、決済や在庫との照合に時間がかかれば業務再開は遅れます。システムの復旧目標に加え、再開の判断や滞留分の処理に必要な時間を見込んでください。

2. 保存方式と管理権限を組み合わせる

オフライン保存は攻撃経路から切り離しやすい一方、媒体の交換や持ち出し、取り寄せに手間がかかります。クラウドの保存は自動化しやすい一方、設定と権限を含めて確認が必要です。どちらも取得・保存・復元の試験を省けません。公的playbookの保存方式

設計では、本番アカウントからバックアップを削除できるか、保存期間を短縮できるかを試験します。変更・削除を一定期間制限する機能を使う場合も、管理者の例外操作や設定変更の条件を製品資料で確認します。保存期間中の削除制限は誤設定したデータの削除や費用にも影響するため、期間と対象を業務側と決めます。

暗号化する場合は、復旧担当者が必要な鍵を利用できる経路も守ります。鍵が本番とともに失われる構成では復号できません。鍵や復旧用の認証情報を、暗号化したデータと同じ場所へ無条件に複製することも避けます。公的playbookの保護・復旧計画

3. データと構成を一緒に復元する

データベース、アップロードファイル、設定、実行するプログラムの版を対応付けます。注文データだけ古く、決済情報は新しい場合などを想定し、不一致を照合して重複処理を防ぐ手順も作ります。復旧順は、認証やネットワークなど前提となる機能から業務機能へ進めます。NISTの資源・復旧優先順位

バックアップの正常終了通知に加え、隔離した環境で実際に復元し、所要時間とデータの整合性を確認します。ファイルが開くことだけでなく、担当者がログインし、必要な業務操作まで行えることを試験します。手順書と連絡先は、本番システムが停止していても参照できる形にします。公的playbookの試験・復旧計画

4. 侵害後にそのまま戻さない

復旧用データも侵害前から影響を受けている可能性を考え、使用する世代と安全性を確認します。攻撃経路の封じ込め、必要な認証情報の変更、隔離環境での確認を含め、業務の再開を誰が判断するか決めます。復旧を急ぐことと、再侵入を避けることの両方を扱います。公的playbookのRecovery process

バックアップは業務再開を助けますが、既に持ち出された情報を取り戻す機能ではありません。漏えい範囲の調査や対象者への対応は、復元作業と並行して検討します。