IPAの言うセキュリティ対策の基本を見ていきましょう！　その7

2024年11月27日 16:07

皆様、こんにちは！
株式会社カチカにおけるリモート（遠隔地）バックアップ担当の村島です！これ、そろそろリモート＆オフラインバックアップ担当に変えてもいいですか？
うーん、どっちの方がわかりやすいだろう？
まあ検討して決めます。喫緊の課題というわけでもなし。

さて資料を見ていきましょう！

昨日は1日小休止を挟みましたが、IPAの資料を見ていきましょうシリーズはまだまだ続きます。
念のために再度掲載しておきますが、この↓資料です。

IPA「セキュリティ対策の基本と共通対策情報セキュリティ10大脅威2024版」より
https://www.ipa.go.jp/security/10threats/nq6ept000000g23w-att/kihontokyoutsuu_2024.pdf
（以降特に注記なき場合同資料からの引用とします）

この資料のこの↓ページです。

表紙をちょっと見てみましょう

というわけなんですが、いきなりの余談になりますけど表紙のイラストってよく見たらカオスですね。
まあ、何らかの会社的なものの飲み会なんでしょうけど、女性ふたりはにこやかに語り合ってますけど肴らしいものが何もない、お箸も手をつけられたような形跡がないように見えます。でも、グラスは空。
男性がひとり潰れていますが突き出しだけでビールをジョッキ4杯開けたようです。まあ、弱い人なら潰れるかも…。
奥の男性ふたりはビールと鍋？かサラダ？みたいなものを注文しようとしているようですがそれがオーダー通らないんですね。オーダーシステムがサイバー攻撃受けちゃってますから。男性ふたりはもうやばい状態レベルで飲み物と食べ物を欲してるようです。
一番手前の男性は、引き戸の外にいる男性に何ものかを手渡しています。USBメモリを意図しているのかも知れませんが、私にはヒゲ用の剃刀に見えます。
店員さんたちはNO ORDERであることに疑問を抱いているようですが、もっと具体的に動かなくていいんだろうか？各部屋回って「ご注文ございませんか」って聞いて回るとか。
そして持ち出し禁止ファイル、極秘資料、USBメモリが持ち出されているようですね。
廊下には他にふたり男性がいて、部屋の内部の様子を盗み見たり聞き耳を立てたりしているようです。
こんな小規模な飲み会にこんなに情報事故につながりかねないインシデントがてんこ盛りになるというのもなかなかないことだとは思いますが、まあIPA的には危ない要素を全部入れ込んだイラストってことでこういうものを作ったんだと思います。
NTTDoCoMoのモバイル社会研究所のデータ（外部リンク）によると、2024年のスマートフォン普及率は97％に上るそうです。

NTTDoCoMo　モバイル社会研究所サイトより
https://www.moba-ken.jp/project/mobile/20240415.html

つまり、道行く人に無作為に声をかけてスマートフォンを持ってない人にあたる可能性はほとんどないということです。
あまりにも身近なデバイスですので気楽に考えてしまいがちですが、スマートフォンというのも立派な情報端末です。サイバー攻撃の標的になることは十分に考えられます。
あなたの所持しているスマートフォン自体がターゲットになることはあまりないとは思うのですが、一旦あなたのスマートフォンを経由させることによって大規模なサイバー攻撃の実行犯を特定させないようにするといったような使い方を考えるなら攻撃者にとって個人の所有するスマートフォンも十分悪用可能なのです。
「個人だから大丈夫」はもう通用しないと考えた方がいいでしょう。

さて本文に入りましょう

まだ見ていないのはここからということになると思います。

・取得方法や取得日時、間隔を検討する
サーバーの稼働要件に併せてオフライン、オンラインバックアップのどちらか検討する。
対象のデータごとに適切な取得日時、間隔を検討する。例えば、業務データは週に１回フルバックアップ、その他の日に差分バックアップをする。プログラムファイルはシステム改修が無い限り変更はないためリリース時のみバックアップをする。設定ファイルは随時変更があるため週に１回取得する等のように検討する。

う～ん、あくまでもサンプルのプランとして例が出されてるってことなんでしょうけど、バックアップを推す文章だけあってかなり頻繁にバックアップを取ることが推奨されているなって感じがします。
弊社で行っているオフラインバックアップ業務をご説明申し上げる際に、しばしばお客様が比較対象として思い描かれるのがBOX（外部リンク）なのですが、このBOXは毎日の利用がそのままオンラインバックアップになるという形式なので取得日時と間隔とかいう概念がそもそもないと思うんです。Microsoft365（外部リンク）と併用されている会社様も多くいらっしゃるんですけれども、そういう状態だともう何度も申し上げているバックアップの「3-2-1ルール」で必要とされる3コピー（1つのオリジナルと2つのバックアップ）のうちの2つはもう決まってしまうってことになるわけですね。
残りのもう1つのバックアップに弊社をご利用いただきたいというのが希望なわけですけど、オンラインバックアップの使い勝手を考えると、オフラインバックアップをお預かりする弊社としましては週1でフルバックアップをお願いしますというのは正直申し上げにくい頻度です。ダウンタイムを設けなければいけないことを考えると、やっぱり月に1回というのが限度かなというところになります。

いつバックアップを行うか

弊社のおすすめと致しましては、会社が立ち上がった、プロジェクトが開始した、要するにまだ業務データと言うべきものは（初期状態から既に必要なものとして用意されているものを除けば）特に発生していないという状態、そこにオフラインバックアップツールだけインストールして、まさにこれからという状態を1回バックアップしていただきたいなというのがございます。
個人所有のPCに例えていただければわかりやすいかなと思います。私こと村島は個人的にPCを買おうと考える際、自分で組み立てることを前提に考えますのであまり「初期状態」というのを気にしないんですけれども、家電量販店なんかでPCをお買い求めになろうという皆様は、OSとブラウザとメーラーとオフィススイートと、その程度のものがインストールされたものを「初期状態」としてお買い求めになると思うんですね。
実は私はそういう普通の形でPCを購入するという経験がないため、あまり自信を持ってこうだ！とはちょっと言えないんですけども、メーカー製のPCについてくるリカバリー用メディアというのは今日日普通のPCユーザーなら普通に使うだろうというようなオフィススイートとかブラウザとかメーラーはもうインストールされた状態に戻すものではないかと思います。
これまでやって参りました仕事の経験上、メーカーではなく販売店がその他のソフトウェアもパッケージにして販売していることも多いということは弁えております。
そういうような商品は、メーカーが正式に添付したリカバリー用メディアの他に店がパッケージ化したソフトウェアのインストールメディアもついてくると思いますので、それもインストールしたのが「初期状態」ですよね。
もう手のつけようがないぐらいにグッチャグチャになった場合、やはり一番手っ取り早いのは初期状態に戻すことだと思うんですよ。
ですので、これから取りかかる業務に必要なソフトウェアはインストールしました、初期状態で必要なデータもしかるべきところに保存しました、ネットワークの設定も終わりました、クラウドストレージサービス利用の設定もしました、そういう状態をバックアップしていただだければ複雑になりすぎた場面になったようなときには一個一個解きほぐすより手っ取り早くスッキリすることが可能だと思います。

昨日も出しましたこの図ですけれども、いろんな人がいろんな形で手を加えてしまってもはや何がどうなったのかも良くわからないというような状態になったときに、オフラインバックアップでもう初期状態に戻してしまうわけですね。その状態から、各種データは「いま」こうあるべきだという観点から戻していく。グチャグチャのものを何とかするよりおそらく早いと思います。
なお余談ですが（今日余談多すぎですかね…？）家電量販店でPCを買おうというときには「オリジナルモデルはありますか？」と尋ねるのが安く買うコツだと聞いています。家電量販店のオリジナルモデルというのは、PCのメーカーが製造して、必要なソフトをプリインストールして量販店に納めていますね。そこに量販店の判断でいくつかのソフトが付け加えられているものですけれども、これらのハードもソフトも全部量販店の買い切りで、売れ残ったからメーカーに戻すってわけにはいかないらしいんですね。だから叩き売りでもいいので売り切ってしまいたいと店側が考えていて、ゆえに安く買える、とこういうことだそうです。ゆえに連休の最終日や日曜の夕方に行くのがコツらしいですよ。

フル・差分・増分の使い分け

本題に戻りますが、世の中の至る所で利用されるデータがどんどん大きくなっている現状と、バックアップにかかる時間を考えますと、やっぱり週1でオフラインバックアップでフルバックアップをして下さいとはちょっとご提案はできません。
だいたい、こんなことを申し上げるのも変かも知れませんが、リモートバックアップかつオフラインバックアップのサービスをご提供させていただいている弊社のみをご利用になる会社様や個人様はほとんどいらっしゃらないんです。ほとんどの方はオンラインバックアップの方もご利用で、必然的にハイブリッドバックアップという形でご利用いただいています。
となりますと、会社様のデータがどれぐらいのサイクルで発生してどれぐらいのサイクルで破棄されるのかということにもよるんですが、オフラインのフルバックアップは1ヶ月から2ヶ月に1回、それに加えて週1の差分バックアップ、それより細かい単位に関しましてはオンラインバックアップから復旧していただくというのが、まあザックリしたところ平均的ということになります。
以前より申し上げていますが、増分バックアップは原則的にお断り申し上げております。やはり作業中に失われてしまったものが出て来たら復旧が難しいというのと、正直に申し上げて手間の問題もございます。
元々増分バックアップはいかにストレージの容量を節約するかという制約のもとあみ出された方法のようなものですので、ストレージがさほど高価なものではなくなった現在どうしても増分でなければならないというシーンもおそらく減っているかと思われます。強いご希望がございましたらご相談下さい。
そして忘れてはいけないのが、システムに大きな変更を加えたとき。このタイミングではフルバックアップをやっぱり取っておきましょう。その状態が、新しい「初期状態」になるわけですからね。
繰り返しの引用となりますが

対象のデータごとに適切な取得日時、間隔を検討する。

何を、いつ、どれくらいのインターバルでバックアップするか、そこも重要ですよというわけですね。
システムとデータというのも分け方のひとつなんでしょうが、データとひとことに言ってもいろいろあるでしょうということです。
ではそのデータをどう区分していくのかということは、本当にお客様次第です。サンプルとして「こんなのはいかがでしょう」と弊社からご提案を差し上げるというような性質のものでもないので、しっかりとお話しさせていただいた上で、プランを立案し、その後適宜アジャストして参りましょう。

小括

いままでにも申し上げて参りましたとおり、バックアップのプランというのは基本的な部分につきましてはある程度共通化できると致しましても細かい部分に関しましては一件ずつ立案していく他ないものということができるかと思います。
弊社としてもお話を伺いつつご提案して参りますので、気になることに関しましては何なりとお問い合わせ下さい。
お問い合わせのみでもお待ち申し上げております。
どうか今後ともお付合いいただきますよう、よろしくお願いします。

クラウドストレージが持つ特有のリスク

 クラウドストレージが持つ特有の脆弱性

 クラウドストレージと遠隔地バックアップの相互補完性

 クラウドストレージのデータ消失に関する責任の所在

 ディザスタリカバリ手順をあらかじめ決めておくべき理由

 弊社でお取り扱いしておりますデータ・OSにつきまして

 クラウドストレージのメリット・デメリット

Microsoftさん、それはないでしょう

事業継続計画の立て方　その1

Windowsからの乗り換え先になるか？　Linux MintとChrome OS Flex

事業継続計画の立て方　その2

事業継続計画の立て方　その2　の注釈

事業継続計画の立て方　その3

BitLockerをいろいろ使ってみました

パソコンのデータが飛んだ際のリスク10選

クラウドネイティブ時代のバックアップのあり方について

ランサムウェア対策としてのバックアップについて

中小企業向けバックアップメディアのおすすめをご紹介