中小企業のバックアップ対策｜ランサムウェアから業務を守る基本

バックアップがあっても復旧できない3つの理由

中小企業でよく見かけるのは、「バックアップの仕組みはあるのに、実際には戻せない」という状態です。原因はたいてい、次の3つのどれかに当てはまります。

1. バックアップ先が同じネットワークにつながったまま

事務所のNAS（ネットワークにつなぐファイル保存用の機器）や、サーバーに挿しっぱなしの外付けハードディスクにバックアップを取っている形です。日常の誤削除や故障にはこれで十分役立ちますが、ランサムウェアは感染したパソコンやサーバーから見えている場所を手当たり次第に暗号化することがあります。共有フォルダとして普段からつながっているNASは、本体のデータと一緒に暗号化されてしまうおそれがあります。

2. 誰も「戻す」練習をしていない

バックアップソフトの画面に「成功」と出ていても、実際に戻してみると「必要なファイルが対象に入っていなかった」「業務システムのデータベースが壊れた状態で保存されていた」「戻し方を知っている人が退職していた」ということがあります。バックアップは戻せて初めて意味があるものですが、復元を試したことがない会社は少なくありません。

3. 古い状態に戻れない

毎晩同じ場所に上書き保存しているだけだと、暗号化された後のデータで正常なバックアップが上書きされてしまいます。ランサムウェアは感染してからすぐに動き出すとは限らないため、数日前・数週間前の状態に戻れるかどうかが復旧の分かれ目になります。

基本の考え方「3-2-1」をやさしく言うと

バックアップの考え方として広く知られているのが「3-2-1ルール」です。難しく考える必要はなく、次のような意味です。

数字	意味	中小企業での例
3	データを3つ持つ（元データ＋コピー2つ）	サーバー上の本体、社内NASのコピー、もう1つ別のコピー
2	コピーは2種類の異なる保存先に置く	NASと外付けハードディスク、NASとクラウドバックアップなど
1	うち1つは社外（または普段つながっていない場所）に置く	クラウドバックアップサービス、社長が持ち帰る外付けディスク、別拠点

ねらいは、一つの出来事で全部のコピーが同時にダメになる状態を避けることです。火災や水害なら社内にあるものは全部やられますし、ランサムウェアならネットワークでつながっているものは全部やられる可能性があります。保存先の「種類」と「場所」を分けておけば、どれか一つは生き残ります。

最近は、ランサムウェア対策として「1つは書き換えできない状態で保管する（オフラインや変更不可の設定）」ことを加えた考え方も紹介されています。次の章で、その具体的な方法を説明します。

何をバックアップするか：対象の洗い出し

意外と抜けやすいのが、「そもそも何を守るべきか」の整理です。共有フォルダだけを対象にしていて、業務システムのデータベースが入っていなかった、という例はよくあります。まずは次の表を参考に、自社に当てはまるものを書き出してください。

対象	中身の例	抜けやすい点
業務システムのデータベース	販売管理、生産管理、顧客管理などの中身	動いている最中にファイルをコピーしても正しく戻せないことがある。システムの正しいバックアップ手順を保守会社に確認する
共有フォルダ	見積書、図面、契約書、Excelの台帳	個人のデスクトップやPC内の「ドキュメント」に置かれたままの重要ファイル
会計・給与ソフト	仕訳、決算データ、給与・社会保険の情報	ソフト独自のバックアップ機能があり、保存先がPCの中のままになっている
メール	取引先とのやり取り、添付ファイル	PCのメールソフトに保存していると、PC故障でまとめて失う
設定・管理情報	ルーターやNASの設定、業務システムの接続設定、ライセンス情報、管理者アカウントの保管場所	データは戻っても、設定が分からず業務システムが再開できない

ランサムウェアに強い保管：切り離しと世代管理

ランサムウェア対策としてのバックアップで大事なのは、「普段はつながっていない」ことと、「複数の時点に戻れる」ことの2つです。

オフライン（切り離し）で保管する

もっとも分かりやすいのは、外付けハードディスクを使い、バックアップを取るときだけつないで、終わったら外して保管する方法です。複数台を用意して交互に使えば、片方が手元にない状態を常に作れます。手作業になるので、担当者と曜日を決めておくことが続けるコツです。

手作業が難しい場合は、クラウドバックアップサービスを検討します。選ぶときは、社内のパソコンから簡単に削除・上書きできない仕組み（一定期間は消せない設定や、管理画面の別アカウント管理など）があるかを確認してください。単なるファイル同期サービスとは別物だと考えるのが安全です。

世代管理で「過去の時点」を残す

世代管理とは、バックアップを上書きせず、日ごと・週ごとなど複数の時点の状態を残しておくことです。一般的な目安としては、次のような組み合わせがよく使われます。

• 毎日のバックアップを1〜2週間分
• 週1回のバックアップを1〜2か月分
• 月1回のバックアップを数か月〜1年分

どれだけ残すかは、データ量と保存先の容量、費用とのバランスで決めます。感染に気づくまで時間がかかる場合を考えると、少なくとも数週間前の状態には戻れるようにしておくと安心です。

バックアップ用のアカウントを分ける

NASやバックアップソフトの管理者パスワードが、普段使っているパソコンのパスワードと同じ、あるいは付箋に貼ってある、という状態では、侵入者にバックアップごと消されるおそれがあります。管理用のアカウントは普段使いと分け、パスワードを使い回さないようにしましょう。

「本当に戻せるか」を確かめる復元テスト

復元テストは、バックアップ対策の中でいちばん後回しにされやすく、いちばん大事な作業です。本番のデータを上書きしないよう、別のフォルダや別のパソコンに戻して確認します。

1. ファイルの復元：共有フォルダから任意のファイルを数個選び、バックアップから取り出して開けるか確認する。
2. 過去の時点への復元：1週間前・1か月前など、古い世代から取り出せるか確認する。
3. 業務システムの復元：データベースを検証用の環境に戻し、画面を開いて直近の伝票が見られるか確認する。これは保守会社と一緒に行うのが現実的です。
4. かかった時間を記録する：全体を戻すのに何時間かかったかを記録しておくと、被害時に「いつ業務を再開できるか」の見通しが立てられます。

頻度の目安としては、ファイルの復元は数か月に1回、業務システムを含めた復元は年に1回程度、またシステムの入れ替えや保守会社の変更があったときに行うとよいでしょう。手順は、担当者以外が読んでも実行できるように紙1〜2枚にまとめておくと、担当者が不在のときにも困りません。

誰が・いつやるか：運用チェックリスト

バックアップは仕組みを作った後の「続け方」で差がつきます。担当者が一人だけだと、その人の異動や退職で止まってしまうため、正副2名を決めておくのが理想です。次のチェックリストを、自社の担当者名と曜日に置き換えて使ってください。

経営者の役割は、作業そのものよりも「確認した記録を見る」ことです。月に一度、チェック表に記録が残っているかを見るだけでも、形だけのバックアップになるのを防げます。

感染が疑われたときの初動

画面に身代金を要求するメッセージが表示された、ファイルの拡張子が見慣れないものに変わって開けない、といった症状があれば、ランサムウェア感染を疑います。慌てて自己流で操作すると被害が広がったり、原因調査に必要な記録が消えたりするため、次の順で動いてください。

最初の1時間でやること

1. ネットワークから切り離す：LANケーブルを抜く、Wi-Fiを切る。被害が他のパソコンやNASに広がるのを防ぎます。電源をすぐに切るかどうかは状況によって判断が分かれるため、一般的には電源は入れたまま切り離し、専門家の指示を待つのがよいとされています。
2. 外付けのバックアップを絶対につながない：無事なバックアップまで暗号化されるおそれがあります。
3. 画面を写真に撮る：表示されたメッセージ、気づいた時刻、どのパソコンかを記録します。
4. 社内に連絡し、他の端末も確認する：同じ症状のパソコンがないか確認し、あればそれも切り離します。
5. 保守会社・システム会社に連絡する：普段の保守会社がいれば、まず状況を伝えます。

相談・届出先

サイバー攻撃の被害は、都道府県警察のサイバー犯罪相談窓口に相談・届出ができます。また、IPA（情報処理推進機構）も情報セキュリティに関する相談窓口を設けています。連絡先は変わることがあるため、各機関の公式サイトで最新の情報を確認してください。サイバー保険に加入している場合は、保険会社への連絡も早めに行います。保険によっては、調査会社の手配を支援してくれることがあります。

顧客や従業員の個人情報が漏えいしたおそれがある場合は、個人情報保護委員会への報告や本人への通知が必要になることがあります。判断に迷う場合は、弁護士などの専門家に相談してください。

復旧の際は、感染したパソコンやサーバーをそのまま使い続けず、初期化や入れ替えを行ってから、感染前の時点のバックアップを戻すのが基本です。どの時点のバックアップが安全かの見極めには専門知識が必要なため、保守会社や専門の調査会社と相談しながら進めてください。