ランサムウェア対策としてのバックアップ戦略：3-2-1ルールの実践

なぜ「普通のバックアップ」では足りないのか

結論から言えば、ランサムウェアは「つながっているデータ」をすべて狙うため、本番と同じネットワークに常時接続されたバックアップは一緒にやられるからです。ここが従来の災害対策（地震・火災向け）と決定的に違う点です。

火災や地震は、物理的に離れた場所にコピーがあれば守れました。ところがランサムウェアは、ネットワーク経由で「つながっている先」へ侵入を広げる。本番サーバーが感染すれば、そこからアクセスできるNAS、マウントされた外付けHDD、共有フォルダ――手の届く範囲をまとめて暗号化していきます。

つまり対策の発想を、「物理的に離す」だけでなく「ネットワーク的に切り離す」「書き換えできなくする」へと広げる必要がある。この発想を整理した、世界的に使われる指針が3-2-1ルールです。

3-2-1ルールとは ― 3つのコピー・2種類の媒体・1つは離れた場所

3-2-1ルールは、データを失わないためのバックアップの黄金律です。意味はシンプル。

なぜこの形が強いのか。3つあれば、1つや2つが同時にやられても最後の1つが残る。2種類の媒体に分ければ、特定の方式を狙う障害やウイルスで全滅しにくい。1つを離れた場所に置けば、オフィスごと被災しても遠隔のコピーが生き残る。3つの数字が、それぞれ別のリスクをカバーしています。

3-2-1に「もう1つ」足す ― 3-2-1-1-0という発展形

ランサムウェアの脅威を受け、近年は3-2-1に条件を足した「3-2-1-1-0」も提唱されています。後ろの「1」はオフライン（またはイミュータブル＝書き換え不可）のコピーを1つ、最後の「0」は復旧テストでエラーがゼロであること。つまり「ネットワークから切り離した最後の砦を1つ持ち、それが本当に復元できると検証しておく」までを含む考え方です。

規模別・3-2-1の組み方

「言いたいことはわかるが、うちでどう組むのか」。ここが実践の山です。企業規模・予算別に、現実的な組み合わせの例を示します。

小規模（〜10名程度）― まず最小構成で

ポイントは、外付けHDDを常時つなぎっぱなしにしないこと。バックアップが終わったら物理的に外す。この一手間が、ランサムウェアからの最後の砦になります。

中規模（10〜50名程度）― NASを中核に

NASを共有の中核に据えつつ、そのデータを外付けHDDとクラウドの2方向へ逃がす形です。NASのスナップショット（ある時点を丸ごと保存し戻せる機能）を併用すると、誤削除やランサムウェアからの復元力が上がります。

ランサムウェアに「特に効く」3つの守り

3-2-1を組んだうえで、ランサムウェアにさらに効く守りが3つあります。

（1） オフライン保管 ― 物理的に切り離す

もっとも確実で、もっとも安価な対策です。バックアップ済みの外付けHDDをネットワークから物理的に外し、保管庫にしまう。つながっていなければ、攻撃者の手は届きません。世代ごとに複数本をローテーションすれば、感染前のクリーンな状態に戻せる可能性が高まります。

（2） イミュータブルストレージ ― 「書き換えられない」設定

イミュータブル（immutable＝書き換え不可）とは、一度書き込んだデータを一定期間、変更も削除もできないようにする仕組みです。たとえ攻撃者が管理者権限を奪っても、保護期間中のバックアップは暗号化も削除もできない。クラウドや一部のNASがこの機能に対応しています。オフライン保管が「物理的に切る」守りなら、イミュータブルは「論理的に固める」守りです。

（3） 世代管理（バージョニング）― 感染前に巻き戻す

ランサムウェアは、感染してすぐ気づけるとは限りません。気づいたときには最新のバックアップも暗号化済み、というケースがある。複数世代を保持しておけば、「暗号化される前の日」まで遡って復元できます。日次で数世代、週次で数世代――と段階的に残すのが実用的です。

「バックアップがあるのに復旧できない」を防ぐ運用

3-2-1を組んでも、運用が伴わなければ机上の空論です。実際に戻せる状態を保つための要点を挙げます。

• 復旧テストを定期的に行う

  3-2-1-1-0の「0」が示すとおり、バックアップは「戻せて初めて完成」です。半年に一度は、実際にデータを復元してみる。手順書どおりに、担当者以外でも戻せるかまで確認できれば理想です。

• 手順を属人化させない

  復旧手順・保存先・パスワードを文書化し、複数人で共有しておく。被災時に「あの人しかわからない」では、せっかくのバックアップが活きません。

• 感染を「広げない」前提も併せ持つ

  バックアップは最後の砦ですが、そもそも感染を防ぐ・広げない対策（端末のウイルス対策、不審メール対策、ネットワーク分離）も並行して必要です。バックアップは万一に備える保険であって、入口対策の代わりではありません。この多層の考え方は、BCPのIT環境整備の記事でも扱います。

エレコムのストレージ／NAS製品で3-2-1を組む

エレコムは、外付けHDD・SSDからスナップショットや自動バックアップに対応するNASまで、3-2-1ルールの各コピーを担えるストレージを取り揃えています。「どの製品を、どう組み合わせれば3-2-1になるのか」を、用途に合わせてご相談いただけます。

製品の機能対応や最適な組み方は、扱うデータ量と運用体制で変わります。「うちの規模で現実的な3-2-1は」を、構成のご相談からどうぞ。

よくある質問

• Q1. 身代金を払えばデータは戻りますか。

  戻る保証はありません。払っても復号鍵が渡されない、一部しか戻らない、再び狙われるといった事例があります。攻撃者への資金供与にもなるため、関係機関も支払わない方針を推奨しています。だからこそ「払わずに自力で戻せるバックアップ」が決定的に重要です。

• Q2. クラウドにバックアップしていれば、ランサムウェアは怖くないですか。

  設定によります。クラウドでも、本番と常時同期しているだけだと、暗号化されたファイルがそのまま同期されて上書きされることがあります。世代管理やイミュータブル設定を有効にして、「感染前に戻せる」状態にしてはじめて安心です。

• Q3. 小さい会社でも狙われますか。

  狙われます。むしろ対策の手薄な中小企業のほうが侵入されやすく、取引先（大企業）への踏み台にされるケースもあります。規模の大小は、狙われない理由になりません。

まとめ ― 「払わずに戻せる」状態を、いまのうちに

• ランサムウェアは「つながっているバックアップ」も狙う。普通のバックアップだけでは生き残れない
• 守りの黄金律が3-2-1ルール。3つのコピー・2種類の媒体・1つは離れた場所。さらに「オフライン1つ」「復旧テストでエラー0」を足すと万全に近づく
• 規模に応じてNAS＋外付けHDD＋クラウドで組む。鍵はオフライン保管・イミュータブル・世代管理
• バックアップは「戻せて初めて完成」。定期的な復旧テストと手順の共有を忘れずに

身代金を払うかどうかで悩む日を迎えないために、いま「払わずに戻せる」状態を作る。3-2-1を組むストレージ選びから、お気軽にご相談ください。

• バックアップ向けストレージ・NAS製品を見る
• 3-2-1構成のご相談・お問い合わせ