大阪公立大学ランサムウェア事件からの教訓：いますぐ経営者はエアギャップ・バックアップがあるか情シスに訊け！

不正侵入・情報漏洩事件告白週間となっている。個人情報の漏洩による信頼失墜どころか復旧の目処が立たず、業務継続自体が困難になったところが出ている。大阪公立大学だ。紙の資料が残っていなければ、卒業証明書を出せない事態に追い込まれるかも知れない。まともな復旧方法はとれない惨状だ。

1年前にも^*1、10ヶ月前にも^*2、3ヶ月前にも^*3同じことを指摘したが、エアギャップ・バックアップがあれば事態はずっとマシだった。他山の石としよう。ITが分からない経営陣は、いますぐ意味が分からなくてもエアギャップ・バックアップはとっているか情シスに問い合わせよう。基幹業務のシステムに、何世代前かのバックアップを残す世代管理されたエアギャップ・バックアップは用意されているのか？

エアギャップ・バックアップはWeb 2.0のようなバズワードでも、ゼロトラストのような小難しいく誤解が多い概念でもない。ネットワークから隔離されたストレージデバイスにあるバックアップのことを指す。典型的にはドライブから取り出されたテープの中のバックアップだ。USBケーブルが外された外付けHDDでもよい。何世代とるべきか差分バックアップにすべきか選択肢は色々とあるが、物理的に切り離されたデバイスに保存するわけでコンセプトは明瞭だ。なお、復旧訓練されていないバックアップは往々にして役立たないので、実際にリストアしたことはあるかもチェックポイントだ。

悪意のある遠隔攻撃からは鉄壁の防御となる。説明は不要であろう。サーバーと隔離した場所に保管すれば災害対策にもなる。クラウドサービスにあるデータも不正アクセスやミサイル攻撃で消失することはある。フランスと韓国では大きなデータセンター火災があった。ドバイとロシアのデータセンターは戦災にあった。日本の㈱IDCフロンティアのIDCFクラウドの東日本リージョン1は…利用企業・団体が他にバックアップがあることを祈る。欠点としてはテープやドライブの盗難による情報漏えいリスクがあるが、それはドライブ暗号化で対策できる。古臭い技術を組み合わせれば実現可能なので、妙なソリューションを買わなくても済む。物理的な手間が増えるので情シスは嫌がると思うが、現実的な業務継続策だ。

どこの組織もトップの明瞭な支持は有耶無耶にしづらい。経営者がエアギャップ・バックアップをとっているか聞くだけで、話が進むようになる。クラッカーに事業存続を不可能にされる前に、ぜひ行動を。

*1関連記事：昔ながらのランサムウェア対策の復習

*2関連記事：アスクルRansomhouse事件からの教訓：エアギャップ・バックアップをとろう

*3関連記事：ニチレイRansomhouse事件からの教訓：エアギャップ・バックアップは役立つ