ランサムウェアで注目されるサイバーレジリエンスとバックアップ／リカバリー
今回は「ランサムウェアで注目されるサイバーレジリエンスとバックアップ／リカバリー」についてご紹介します。
関連ワード （セキュリティ等） についても参考にしながら、ぜひ本記事について議論していってくださいね。
本記事は、ZDNet Japan様で掲載されている内容を参考にしておりますので、より詳しく内容を知りたい方は、ページ下の元記事リンクより参照ください。
Oracleは、2022年に開催した年次イベントの「Oracle CloudWorld」で、マネージド型データバックアップ／リカバリーサービス「Oracle Zero Data Loss Autonomous Recovery Service」（ZRCV）を発表した。「Zero Data Loss（データ損失なし）」をうたう同サービスの狙いなどについて日本オラクルに聞いた。
ZRCVは、同社のクラウドサービス「Oracle Cloud Infrastructure」（OCI）で提供され、OCIでユーザーが利用している「Database Cloud Service」や「Exadata Database Service」などのデータのバックアップとリカバリーを行う機能になる。例えば、何か問題が起きてリカバリーを実行する場合、発生直前の状態にまでを高精度に復旧できるという。以前からオンプレミス向けに専用機で提供する「Oracle Database Zero Data Loss Recovery Appliance」のクラウドサービス版という位置づけだ。
日本でZRCVを担当する日本オラクル 事業戦略統括 事業開発本部シニアマネジャーの大澤清吾氏は、「近年多発するランサムウェア被害からデータ保護の重要性が高まっており、万一被害に遭っても速やかにビジネスを取り戻せるサイバーレジリエンシー（サイバー回復力）が求められている」と話す。
その背景として同氏は、警察庁が3月16日に発表した報告書「令和4年（2022年）におけるサイバー空間をめぐる脅威の情勢等について」の中で触れられているランサムウェア被害の実態とデータバックアップの課題を挙げた。
報告書によれば、警察にランサムウェア被害を届け出た組織のうち、バックアップを取得していたのは83％（警察の調査に回答した139件中116件）だが、19％（同111件中21件）は取得していたバックアップからデータを復元できなかった。復元できなかった理由は、「暗号化されていた」が72％（同99件中62件）、「データが古い、欠損など」が19％（同16件）、「その他」が9％（同8件）だった。多くの組織がバックアップを取得していたものの、バックアップデータ自体が古かったり欠けたりしていたほか、攻撃者がバックアップデータを侵害（不正な暗号化など）していたことになる。
大澤氏が先述した「サイバーレジリエンス」は、2010年頃に欧米のサイバーセキュリティ業界で提唱され始めた。2000年代までおおむね無差別だったサイバー攻撃に、少数の企業や組織を狙う攻撃やスパイ活動が出現し、「Advanced Persistent Threat」（ATP、日本では「持続的な標的型サイバー攻撃などと訳される）と呼ばれた。
APTへの対応は、サイバーセキュリティの文脈では「APTを防ぐ」などと解釈されるだろう。しかし、手法などが高度で複雑なAPTのサイバー攻撃やスパイ活動を防ぐのは難しく、情報漏えいなどの被害が多発した。そこで「防御」だけでなく被害や損害からの「復旧」も重視する「サイバーレジリエンス」の考え方が提唱されたわけだ。
「レジリエンシス」の直訳は「回復力、復元力」だが、実質的な意味では「事業継続」とした方が理解しやすいかもしれない。そう捉えると「サイバーレジリエンス」は、事業継続性のためのITの取り組み（技術、人員、体制、ポリシーなど）であり、さらには「資産」としてのハードウェアやソフトウェア、サービス、システム、データなどの可用性や完全性、機密性などを担保することも意味するだろう。バックアップ／リカバリーは、IT運用では当たり前だが、昨今では「サイバーレジリエンス」の具体的で基本的な方法の一つになる。
近年、ランサムウェアが世界中の企業や組織に甚大な被害をもたらしていることから、「サイバーレジリエンス」の重要性が提起されるようになった。ランサムウェアへの対策は、主にサイバーセキュリティとデータ保護の両面から多面的、多層的な方策を講じる必要があり、サイバーセキュリティ対策については各種記事に譲るとして、データ保護の観点からその方策の1つとなるバックアップ／リカバリーについて触れる。
前述したようにバックアップ／リカバリーは、IT運用の基本であり、多くの企業や組織がランサムウェアを含むサイバー攻撃の、あるいは自然災害や突発的なシステム障害などの事業リスクに備えて日々取り組んでいる。ただ、そうしたリスクが顕在化する機会が頻繁にあるわけではなく、あらゆる企業や組織が確実にバックアップを実行しているわけではない。
日本オラクルも参加しているデータベースセキュリティコンソーシアムの調査によると、自社の本番データベースのバックアップを行っている組織は66％で、確実にリカバリーを実施するための訓練を行っているのは52％だった。また、ストレージベンダーやバックアップベンダーが提唱する「3-2-1ルール」（最低でもバックアップを3つ取得し、2つは異なるデバイスに保管し、1つは物理的に別の場所に保存する方法）を実践しているのは58％だった。
バックアップは「万一に備える」という性質上どうしても業務の優先度が低く、リカバリー作業も頻繁に行うものではないことから、リカバリーの訓練は余裕のあるタイミングでの実施に限られてしまいがちだ。上記の調査で、回答者の44.5％はリカバリーする目標時間（RTO）を10分以内とし、15％はリカバリーする目標ポイント（RPO）を障害発生時点とした。理想は、障害が発生する直前の状態にすぐ復旧したいところだが、日々の運用業務ではなかなかその理想をかなえづらいのが実態だといえる。
大澤氏は、「ランサムウェア対策の視点でもリカバリーは時間との勝負になる。ただ、バックアップを取得していることが前提で、リカバリー時もバックアップが正しい状態である検証して確実に戻さなければいけない。特に重要なデータを格納するデータベースは、金銭を狙うサイバー攻撃者の標的になる。日本ではセキュリティ対策でマルウェアを防ぐことに力点が置かれがちだが、欧米ではデータの保護を重視している。データを保護し、速やかに事業を正常な状態に戻すことが重要になる」と指摘する。
ZRCVについて同氏は、ランサムウェア対策も含め、事業継続を脅かす各種リスクから世界中のミッションクリティカルシステムで稼働する「Oracle Database」を守るための長年の取り組みと顧客の要請に基づいて提供するものだと話す。
「オラクルとして2010年頃からサイバーレジリエンスに取り組み、データの損失時点（PPO）を可能な限りゼロに近づけること、極限の可用性を提供すること、極限のセキュリティを確保することに努めてきた。ZRCVは、これまでの積み重ねをクラウドで提供するものになる」（大澤氏）
大澤氏によると、ZRCVはOCIをベースとしているため、まずOCIで講じているセキュリティ対策を生かし脅威の侵入を防御する。OSからZRCVの環境は参照できないため、ランサムウェア攻撃者がバックアップデータの所在を把握できないという。また、OCI上のデータはデフォルトで暗号化されるため、万一バックアップデータが搾取されても攻撃者が解読するのは極めて困難という。その上で職掌分掌を図り、データベースの管理者権限ではZRCVの操作が不可能となっている。