合同会社小村ソフト
相談する
メニュー

ランサムウェアに耐えるバックアップ ── 3-2-1ルール、書き換えできない保存先、戻せるかの確認

· · セキュリティ, ランサムウェア, バックアップ, Windows, 中小企業, VSS

Xでポスト はてなブックマーク
更新履歴(初版のみ・2026年11月01日公開)
初版公開
この記事を引用する(DOI（登録済みアーカイブ）: 10.5281/zenodo.23904612)

以下のDOIは過去に登録されたアーカイブを指しており、現在の本文とは一致しない場合があります。現在の本文を参照するときは、このページのURLを使用してください。

小村 豪(2026)「ランサムウェアに耐えるバックアップ ── 3-2-1ルール、書き換えできない保存先、戻せるかの確認」合同会社小村ソフト. https://comcomponent.com/blog/ransomware-resilient-backup/

DOI（登録済みアーカイブ）
10.5281/zenodo.23904612
DOI（前回登録した版）
10.5281/zenodo.23904613

ランサムウェアの被害では、バックアップを取っていたのに戻せなかったという例が多くあります。原因で最も多いのはバックアップも一緒に暗号化されていたことです。この記事では中小企業のWindows PCとファイルサーバーを対象に、攻撃に耐えるバックアップの作り方を説明します。

要点は3つです。感染したPCから書き換えられない複製を1つ持つこと、「以前のバージョン」をバックアップの代わりにしないこと、実際に戻せるかを確かめることです。3-2-1ルールで複製の数と置き場所を決めますが、それだけではランサムウェアへの備えとして足りない点があります。

記事中のコマンドはWindows専用で、Windows Server 2022 の管理者のコマンドプロンプトで実行して出力を確かめています。製品の設定画面や料金は変わることがあるので、導入するときは各社の最新の資料を確認してください。

バックアップがあっても戻せなかった企業が多い

警察庁はランサムウェアの被害に遭った企業・団体にバックアップの状況を聞いています。令和7年上半期の報告では、回答のあった53件のうち51件がバックアップを取っていました。ところが、バックアップから被害直前の水準まで戻せたかを聞いた48件では、戻せたのは7件で、41件は戻せませんでした1。

戻せなかった理由を答えた35件では、「バックアップも暗号化」が23件、「運用不備」が8件、「その他」が4件でした1。同じ報告は、ランサムウェアのグループが痕跡を消し、復旧作業をさせないために、被害企業のログやバックアップを消去すると書いています。そのうえで、バックアップをオフライン環境で保管するよう求めています2。

バックアップがあっても戻せない流れバックアップを取っていても、感染したPCから届く場所にあると一緒に暗号化され、戻す手順を確かめていなければ運用の不備で戻せないことを示す図。届く届かない確かめていない確かめたバックアップを取っている感染したPCから届くか一緒に暗号化・削除される戻す手順を確かめたか運用の不備で戻せない戻せる

図1: バックアップは感染したPCから届かず、戻す手順を確かめてあるときに使える。

戻せた例もあります。IPAの「中小企業の情報セキュリティ対策ガイドライン」第4.0版には、VPN機器から侵入されてファイルサーバーなどが暗号化された建設業の事例が載っています。この会社は年2回のリストア訓練をしていたこともあり、発覚から5日後にはバックアップから基幹システムを再稼働させました。それでも各社内システムの再開には41日、リモートアクセスの再開には4か月かかり、社内のファイルの2割強を失っています3。バックアップから戻せても、被害がなくなるわけではありません。

図の実線は常に成り立つ関係、破線は条件付きの関係です(成立条件は詳細ページの各関係の説明に記載)。関係すべての一覧(全13件、根拠・確度つき)と主要概念の定義は知識マップ詳細ページにまとめています。データ: JSON-LD / Turtle

攻撃者は届く場所のバックアップを消す

米国のCISAなどが出している#StopRansomwareガイドは、多くのランサムウェアが、身代金を払わなければ戻せない状態にするために、手の届くバックアップを探して削除または暗号化しようとすると書いています。そのためバックアップをオフラインで保管することが重要だとしています4。

Microsoftも、攻撃者はバックアップのソフトや、ボリュームシャドウコピーなどOSの機能を使えなくすることに力を入れていると書いています5。感染したPCから届くバックアップには、次のようなものがあります。

  • PCに常につないである外付けドライブ
  • ドライブ文字を割り当てたNASやファイルサーバーの共有フォルダー
  • 普段のアカウントで書き込めるクラウドの同期フォルダー
  • 同じボリュームにあるシャドウコピー（以前のバージョン）

OSに備わったコマンドでも、シャドウコピーやバックアップのカタログは消せます。MITRE ATT&CKはこの手口を「Inhibit System Recovery」（T1490）として整理しています。そこには、vssadmin.exe delete shadows /all /quiet でシャドウコピーをすべて消す例や、wbadmin.exe delete catalog -quiet でWindowsのバックアップのカタログを消す例が挙がっています6。CISAのガイドもvssadmin.exe、wbadmin.exe、wmic.exe（shadowcopy）などの不審な使い方を見張るよう求めています4。

感染したPCから届くバックアップと届かないバックアップ感染したPCから、常時接続の外付けドライブ、割り当てた共有フォルダー、同期フォルダー、シャドウコピーには書き込めるが、外した媒体と書き換えできない保存先には書き込めないことを示す図。感染したPC書き込める場所外した媒体・書き換えできない保存先常時接続の外付けドライブ割り当てた共有フォルダークラウドの同期フォルダーシャドウコピー

図2: 感染したPCから書き込める場所にあるバックアップは、攻撃の対象になる。

時間をかけた攻撃への注意も必要です。Microsoftは、ランサムウェアが鍵をシステムに残したまま少しずつ暗号化を進める場合があると書いています。その間も利用者は普段どおりデータを使えるので、暗号化に気づかないまま、暗号化されたデータのバックアップが増えていきます。すべてを暗号化した後に鍵が消されると、最近のバックアップも読めなくなります5。直近の1世代しか残していないと、この場合に戻る先がありません。

「以前のバージョン」はバックアップの代わりにならない

Windowsの「以前のバージョン」や共有フォルダーのシャドウコピーは、ボリュームシャドウコピー（VSS）を使っています。Windowsに付属するVSSのシステムプロバイダーは、ブロックが書き換えられる前にその内容を差分領域へ退避するコピーオンライト方式で、ある時点のボリュームを再現します7。

MicrosoftはVSSの資料で、シャドウコピーとバックアップの違いを次のように説明しています。シャドウコピーからテープなどの取り外せる媒体へデータを写したとき、その媒体の中身がバックアップになります。写した後はシャドウコピー自体を削除してよいとしています7。差分領域が足りなくなると、古いシャドウコピーから順に削除されることも書かれています7。

シャドウコピーとバックアップの違いシャドウコピーは元のボリュームの差分で、空き不足や攻撃で削除されるのに対し、別の媒体へ写したバックアップは元のボリュームが失われても残ることを示す図。別の媒体へ写す元のボリュームシャドウコピー（差分）空き不足で古い順に削除攻撃者がvssadminで削除バックアップ元のボリュームを失っても残る

図3: シャドウコピーは元のボリュームのデータを前提にしており、別の媒体へ写したものがバックアップになる。

シャドウコピーは、誤って上書きしたファイルを利用者が自分で戻すのには便利です。ただし、前の節のとおり攻撃者に消されることがあります。仕組みと運用の詳細は「ボリュームシャドウコピー(VSS)の仕組みと実務」で説明しています。

どのシャドウコピーが残っているかは、管理者のコマンドプロンプトで vssadmin list shadows を実行すると一覧できます。このサブコマンドはクライアントとサーバーの両方で使えます8。

vssadmin list shadows

OneDriveやSharePointのバージョン履歴とごみ箱も、利用者がファイルを戻す手段になります。MicrosoftはOneDrive全体を前の時点に戻す方法を利用者に教えておくことを勧めています。あわせて、攻撃者を追い出したと確信できてから戻させること、利用者がマルウェアまで戻してしまった場合の対策を用意することを挙げています5。

3-2-1ルールは複製の数と置き場所を決める

3-2-1ルールはバックアップの複製の持ち方を示す経験則です。米国のUS-CERT向けに2012年に作られた「Data Backup Options」は、次のように説明しています9。

  • 3：大事なファイルは元の1つとバックアップ2つの合わせて3つを持つ。
  • 2：種類の違う災害に備えて、2種類の媒体に置く。
  • 1：1つは自宅や事業所の外に置く。

この資料は出典として、写真家のPeter Kroghによるデジタル写真の管理の本「The DAM Book」を挙げています9。Microsoftもランサムウェアに備えるバックアップの資料でこのルールを挙げ、「1」を「社外、またはコールドの複製」と説明しています5。

3-2-1ルールが求めるのは、社外に置くことです。社外の複製がオフラインか、書き換えできないかまでは求めていません。そのため、社外の複製が感染したPCから常に書き込めるクラウドにあれば、手元の複製と一緒に暗号化されることがあります。CISAのガイドとMicrosoftの資料は、ランサムウェアへの備えとしてオフラインの保管を挙げています。Microsoftは書き換えできない保存先も挙げています45。

3-2-1ルールとランサムウェアへの備え3つの複製、2種類の媒体、1つを社外に置く3-2-1ルールに、オフラインか書き換えできない複製を1つ加え、戻せるかを確かめることを示す図。3つの複製2種類の媒体1つは社外1つはオフラインか書き換えできない戻せるかを確かめる

図4: 3-2-1ルールに、感染したPCから書き換えられない複製と、戻せるかの確認を加える。

バックアップ製品のVeeamはこれを「3-2-1-1-0ルール」として広めています。Veeamの資料では、追加の「1」はオフライン、エアギャップ、または書き換えできない複製を1つ持つこと、「0」は定期的な復元の検証でエラーがないことです10。これはベンダーの資料にある呼び方で、公的な規格ではありません。ただし、追加の2つの項目は、CISAやIPAが求めていることとも重なります。

感染したPCから書き換えられない複製を1つ持つ

書き換えられない複製の作り方は、大きく分けて2つあります。媒体をPCから外して保管する方法と、一定期間は書き換えも削除もできないクラウドの保存先を使う方法です。どちらを選ぶ場合も、バックアップを管理する権限を普段の作業から分けておきます。

媒体をPCから外して保管する

IPAのガイドラインは自社診断の対策例として、バックアップに使う装置や媒体はバックアップを取るときだけパソコンと接続することを挙げています。ほかに、バックアップの取り方を決めること、安全な場所に保管すること、戻せるかを定期的に確かめることも挙げています11。

さらに本格的に取り組む段階では、「物理的隔離」を挙げています。バックアップを元のシステムから物理的に離れた場所に置く方法で、外付けストレージやバックアップテープを、できるだけ遠くの場所に保管します。保管先の例として、銀行の貸金庫や、信頼できる取引先や関連会社を挙げています12。

このように本番のシステムから切り離して保管するバックアップを、オフラインバックアップと呼びます。外した媒体は感染したPCから書き込めません。その代わり、つなぎ替えと持ち運びを人が行うので、取り忘れや持ち出し忘れが起きます。誰がいつ媒体をつなぎ、外し、保管先へ運ぶかを決めておきます。

書き換えできないクラウドの保存先を使う

クラウドのストレージには、決めた期間はデータの書き換えも削除もできない機能があります。WORM（Write Once, Read Many）と呼ばれる状態で保管するものです。

Azure Blob Storageの不変ストレージでは、時間ベースの保持ポリシーを設定すると、その期間はデータを作成・読み取りできても、変更・削除はできません13。ポリシーは最初はロックされていない状態で作られ、試した後でロックします。ロックしたポリシーは削除できず、保持期間を延ばせても縮められません13。Microsoftはアカウントの管理者権限を持つ利用者でもデータを変更・削除できないと説明しています13。

Amazon S3のObject Lockには、2つのモードがあります。コンプライアンスモードではAWSアカウントのルートユーザーを含め、保持期間中は誰もオブジェクトのバージョンを上書き・削除できません。ガバナンスモードでは、特別な権限を持つ利用者だけが保持設定を変えたり削除したりできます14。Object LockはS3のバージョニングを有効にしたバケットでだけ使えます14。

書き換えできない保存先の2つの例Azure Blob Storageの不変ストレージはロックしたポリシーを削除できず保持期間を縮められないこと、S3 Object Lockはコンプライアンスモードではルートユーザーも削除できず、ガバナンスモードでは特別な権限で変更できることを示す図。書き換えできない保存先Azure Blob Storageの不変ストレージS3 Object Lockロック後は保持期間を縮められないコンプライアンスモードガバナンスモードルートユーザーも削除できない特別な権限で変更できる

図5: どちらの保存先も、決めた期間は書き換えと削除を拒む。強さは設定によって違う。

Azureでは、ポリシーをロックした後に設定の誤りに気づいても、保持期間を縮められません13。CISAのガイドは、一部のクラウド事業者が書き換えできない保存先を提供していることを紹介したうえで、設定を誤ると大きな費用がかかることがあると注意しています。特定の規制の要件を満たさない場合があることにも触れています4。保持期間を長く設定してロックすると、その期間はデータを消せず、保管の料金がかかり続けます。最初はロックしない状態や短い期間で試し、戻せることを確かめてから本番の設定にします。

バックアップを管理する権限を分ける

書き換えできない保存先を使っていても、バックアップの設定やポリシーを普段の管理者アカウントで変えられると、攻撃者に変えられることがあります。Microsoftはオンラインのバックアップを変更・削除する前に、多要素認証やセキュリティPINなどの別の手順を求めるよう勧めています。バックアップと復元の操作を決まった役割の利用者に限ることや、ファイル共有で多くの利用者が書き込み・削除できる状態を減らすことも挙げています5。

PCの管理とバックアップの管理を同じ人が担う場合でも、バックアップ先の管理に使うアカウントは普段のPCのサインインに使わず、多要素認証をかけておきます。

世代を残す

IPAのガイドラインは複数の時点のバックアップを持つ「世代管理」を挙げています。データが壊れたり失われたりしたときに、特定の時点まで遡って戻せるようにする方法です12。前の節のとおり、暗号化に気づくまでに時間がかかると、直近のバックアップは暗号化された後のデータになっています。何世代を残すかは暗号化に気づくまでにかかりうる時間と、保管の費用から決めます。

書き換えられない複製を持つための3つの手立て媒体を外して保管するか書き換えできない保存先を使い、バックアップを管理する権限を普段のアカウントから分け、複数の世代を残すことを示す図。書き換えられない複製媒体を外して保管書き換えできない保存先管理の権限を分ける複数の世代を残す

図6: 置き場所を決めたうえで、管理の権限を分け、気づくのが遅れても戻れるように世代を残す。

戻せるかを確かめる

警察庁の報告では、戻せなかった理由の2番目が「運用不備」でした1。取ったバックアップが実際に戻せるかは、戻してみないと分かりません。バックアップから実際に戻してみて確かめる作業を、リストアテストと呼びます。

IPAのガイドラインはバックアップの運用を取得・保管・復旧の3つに分けています。復旧では復旧計画を立て、正しく復旧できることを確認するよう求めています3。事業上重要なシステムについては、目標復旧時間（RTO）と目標復旧時点（RPO）に合わせてバックアップの取得や手順を整え、訓練で実効性を確かめるよう求めています。RTOは目標の水準まで戻すのにかかる時間、RPOは戻す時点、つまり直近のバックアップの時点です15。CISAのガイドも災害からの復旧を想定して、バックアップが使えるか、壊れていないかを定期的に確かめるよう求めています4。

リストアテストの進め方戻す順番を決め、別の環境に戻し、かかった時間と戻った時点をRTOとRPOに照らし、手順書を直すという流れを示す図。次の確認戻す順番を決める別の環境に戻すかかった時間をRTOと比べる戻った時点をRPOと比べる手順書を直す

図7: 戻してみて、時間と時点が目標に合うかを確かめ、結果を手順書に返す。

何を確かめるか

確かめる内容はIPAとMicrosoftの資料から次のように整理できます。

確かめること 見る点 根拠
ファイル単位で戻せるか 利用者が使うファイルが開けるか IPA11
システム全体を戻せるか 本番とは別のPCやサーバーに戻して、業務アプリが動くか IPA3、Microsoft5
かかった時間 決めたRTOに収まるか IPA15
戻った時点 決めたRPOより古くないか IPA15
戻す順番 認証や基幹業務など、先に戻すものが決まっているか Microsoft5
手順書の置き場所 社内のシステムがすべて止まっても読めるか Microsoft5

Microsoftはまず業務に欠かせないシステムを決め、それを定期的にバックアップするよう勧めています。そうして作ったバックアップの優先順位の一覧が、そのまま戻す順番の一覧になります。優先順位の高いものとして、Active Directoryなど他のすべてのシステムに入るのに必要な認証の仕組みを最初に挙げています5。すべてのシステムが止まった状態から業務を立ち上げる訓練を定期的に行うことも勧めています。そのとき、メールやチャットも使えないものとして考えます5。

戻す手順書やネットワーク図は、攻撃者が意図して狙うとMicrosoftは書いています。保護するか、印刷して手元に置くよう勧めています5。手順書がファイルサーバーの中にしかないと、そのファイルサーバーが暗号化されたときに読めません。

被害の後に戻すときの注意

実際の被害の後は、ランサムウェア本体を環境から取り除いてから戻します5。Microsoftは感染していないと分かっている時点のバックアップを選ぶこと、戻す前にバックアップにマルウェアがないかを調べることを挙げています5。警察庁の報告は侵入口を閉じられても再び入れるよう、ランサムウェアのグループが遠隔操作できるソフトウェアをバックドアとして設置することがあると書いています2。戻す前に、侵入の経路と残された仕掛けを調べる必要があります。

被害の後にバックアップから戻す順序ランサムウェア本体と侵入の経路を取り除き、感染していない時点のバックアップを選び、マルウェアがないか調べてから、優先順位の高いシステムから戻すことを示す図。ランサムウェア本体を取り除く侵入の経路と仕掛けを調べる感染していない時点を選ぶバックアップを調べる優先順位の高いものから戻す

図8: 被害の後は、攻撃者の仕掛けを取り除き、感染していない時点を確かめてから戻す。

どのくらいの頻度で確かめるか

IPAのガイドラインもCISAのガイドも、戻せるかの確認は「定期的に」行うよう求めていますが、回数は示していません114。先に紹介したIPAの事例の会社は、年2回のリストア訓練をしていました3。業務が止まってよい時間と、戻る時点がどこまで古くてよいかを決め、それを満たせているかを確かめられる頻度にします。

まず決めること

ここまでの内容を、中小企業がまず決めることとしてまとめます。

項目 決めること
対象 戻せないと業務が止まるデータとシステム
複製 3-2-1ルールに沿った複製の数・媒体・置き場所
書き換えられない複製 外した媒体か、書き換えできない保存先のどちらを使うか
権限 バックアップを管理するアカウントと、多要素認証
世代 何世代、どのくらいの期間を残すか
目標 業務ごとのRTOとRPO
確認 何を、誰が、どの頻度で戻してみるか
手順書 戻す順番と手順を書いたものを、どこに置くか
ランサムウェアに耐えるバックアップを決める順番対象を決め、複製の置き場所と書き換えられない複製を決め、権限と世代を決め、RTOとRPOを決めて戻せるかを確かめる順番を示す図。対象を決める複製の置き場所を決める書き換えられない複製を決める権限と世代を決めるRTOとRPOを決める戻せるかを確かめる

図9: 対象から決め、最後に戻せるかを確かめるところまでを一続きで決める。

IPAのガイドラインの第4.0版では、はじめに取り組む「情報セキュリティ5か条」に「バックアップを取ろう！」が加わり、6か条になりました16。ガイドライン全体の進め方は「中小企業のセキュリティ対策、何から始めるか」にまとめています。サーバーを入れ替える計画がある場合は、「Windows Server 2016 のサポート終了への備え」も参考にしてください。

関連記事

参考リンク

  1. 警察庁サイバー警察局, 令和7年上半期におけるサイバー空間をめぐる脅威の情勢等について（令和7年9月）. 資料編 61ページ「ランサムウェアの被害に関する統計④」。バックアップの取得状況（有効回答53件中、取得有51件）、復元結果（有効回答48件中、復元可7件・復元不可41件）、復元できなかった理由（有効回答35件中、バックアップも暗号化23件・運用不備8件・その他4件）。 ↩ ↩2 ↩3

  2. 警察庁サイバー警察局, 令和7年上半期におけるサイバー空間をめぐる脅威の情勢等について. 9ページ。ランサムウェアのグループが被害企業のログやバックアップを消去すること、再侵入のためにバックドアを設置すること、バックアップのオフライン環境での保管が求められること。 ↩ ↩2

  3. IPA, 中小企業の情報セキュリティ対策ガイドライン 第4.0版. 11ページの事例3（年2回のリストア訓練、発覚から5日後の基幹システム再稼働、ファイルの2割強の喪失）と、21ページのコラム「適切なバックアップ運用を行う」（取得・保管・復旧）。 ↩ ↩2 ↩3 ↩4

  4. CISA ほか, #StopRansomware Guide. オフラインで暗号化したバックアップの維持と、可用性・完全性の定期的な確認。多くのランサムウェアが手の届くバックアップを削除・暗号化しようとすること。vssadmin.exe、wbadmin.exe などの不審な使い方の監視。書き換えできない保存先の設定誤りによる費用と規制への注意。 ↩ ↩2 ↩3 ↩4 ↩5 ↩6

  5. Microsoft Learn, Azure backup and restore plan to protect against ransomware. 攻撃者がバックアップとボリュームシャドウコピーを狙うこと、少しずつ暗号化する手口、3-2-1ルール、オフライン・書き換えできない保存先、多要素認証やセキュリティPIN、戻す順番、手順書の保護、戻す前の確認。 ↩ ↩2 ↩3 ↩4 ↩5 ↩6 ↩7 ↩8 ↩9 ↩10 ↩11 ↩12 ↩13 ↩14

  6. MITRE ATT&CK, Inhibit System Recovery (T1490). vssadmin.exe によるシャドウコピーの削除と、wbadmin.exe によるバックアップカタログの削除の例。 ↩

  7. Microsoft Learn, Volume Shadow Copy Service (VSS). コピーオンライト方式、シャドウコピーとバックアップの違い、差分領域が足りなくなったときの削除。 ↩ ↩2 ↩3

  8. Microsoft Learn, vssadmin. vssadmin list shadows などのサブコマンドと、クライアント・サーバーでの利用可否。 ↩

  9. Paul Ruggiero, Matthew A. Heckathorn, Data Backup Options（2012年、Carnegie Mellon UniversityがUS-CERT向けに作成）. 3-2-1ルールの内容と、出典としての Peter Krogh「The DAM Book」。 ↩ ↩2

  10. Veeam, [3-2-1 Rule Veeam Backup for Microsoft 365 Best Practices](https://bp.veeam.com/vb365/guide/design/3-2-1). ベンダーの資料。3-2-1-1-0ルールの追加の「1」（オフライン、エアギャップ、または書き換えできない複製）と「0」（復元の検証でエラーがないこと）。

    ↩

  11. IPA, 中小企業の情報セキュリティ対策ガイドライン 第4.0版. 24ページ。バックアップの対策例（定期的に行う、装置・媒体はバックアップ時のみ接続する、安全な場所に保管する、戻せるか定期的に確認する）。 ↩ ↩2 ↩3

  12. IPA, 中小企業の情報セキュリティ対策ガイドライン 第4.0版. 33ページ「適切なバックアップを行う」。世代管理と物理的隔離。 ↩ ↩2

  13. Microsoft Learn, Immutable storage for blob data overview. WORMの状態、時間ベースの保持ポリシー、ロックしたポリシーは削除できず保持期間を縮められないこと、管理者権限の利用者も変更・削除できないこと。 ↩ ↩2 ↩3 ↩4

  14. AWS, Locking objects with Object Lock. コンプライアンスモードとガバナンスモード、バージョニングが必要なこと。 ↩ ↩2

  15. IPA, 中小企業の情報セキュリティ対策ガイドライン 第4.0版. 38ページ。目標復旧時間（RTO）と目標復旧時点（RPO）に合わせたバックアップ取得・手順整備と、訓練による実効性の検証。 ↩ ↩2 ↩3

  16. IPA, 「中小企業の情報セキュリティ対策ガイドライン」第4.0版を公開. 「バックアップを取ろう！」を加えて情報セキュリティ6か条にしたこと。 ↩

関連する記事

同じタグを共有する最新の記事です。さらに近い話題で知識を深められます。

ボリュームシャドウコピー(VSS)の仕組みと実務 ── 使用中ファイルのバックアップがなぜ取れるのか

使用中のファイルは共有違反でコピーできないのに、バックアップソフトはなぜ取れるのか。ボリュームシャドウコピー(VSS)のリクエスター・ライター・プロバイダーの役割分担、コピーオンライトの仕組み、vssadminの実務と差分領域の落とし穴を解説します。

記事を読む

関連トピック

このテーマと近いトピックページです。記事を起点に、関連するサービスや他の記事へ進めます。

このテーマがつながるサービス

この記事は次のサービスページにつながります。近い入口からご覧ください。

よくある質問

この記事のテーマについて、相談時によくある質問をまとめています。

バックアップを取っていれば、ランサムウェアに感染しても元に戻せますか？
取っているだけでは戻せないことが多くあります。警察庁がまとめた令和7年上半期の被害では、バックアップを取っていた企業・団体のうち、回答のあった48件中41件が被害直前の水準まで戻せませんでした。理由で最も多かったのは、バックアップも暗号化されていたことです。感染したPCから書き換えられない複製を持ち、戻せるかを確かめておく必要があります。
Windowsの「以前のバージョン」があれば、バックアップは要りませんか？
要ります。以前のバージョンはボリュームシャドウコピーで、元のボリュームにある差分です。Microsoftは、シャドウコピーからテープなどの媒体へ写したものをバックアップとしています。ランサムウェアはvssadminなどでシャドウコピーを消すことがあるので、別の媒体へのバックアップと組み合わせます。
3-2-1ルールを守れば、ランサムウェア対策として十分ですか？
それだけでは足りないことがあります。3-2-1ルールは複製を3つ、媒体を2種類、1つを社外に置くことを求めますが、社外の複製がオフラインか書き換えできないかまでは求めていません。感染したPCから常に書き込めるクラウドの複製は、同じように暗号化されることがあります。オフラインの媒体か、書き換えできない保存先を1つ加えます。
バックアップから戻せるかは、どのくらいの頻度で確かめればよいですか？
IPAのガイドラインもCISAのガイドも「定期的に」としており、回数は示していません。IPAのガイドラインには、年2回のリストア訓練をしていた企業が発覚から5日後に基幹システムを再稼働させた事例が載っています。業務が止まってよい時間と、戻る時点がどこまで古くてよいかを決め、それを満たせるかを確かめられる頻度にします。

著者プロフィール

記事の著者プロフィールページです。

小村 豪

合同会社小村ソフト 代表

Windows ソフト開発、技術相談、不具合調査を中心に、既存資産が残る案件や原因が見えにくい障害調査に強みがあります。

お問い合わせ
ブログ一覧に戻る