ランサムウェア対策、「バックアップがある」で終わっていませんか？

結論

「毎日バックアップしているので大丈夫」。そう考えていても、実際にシステムが止まったとき、必要なデータを取り出し、仕事を再開できるとは限りません。

確認したいのは、バックアップが存在するかだけでなく、必要な時点のデータを、必要な時間内に戻せるかです。

最近の公式資料が伝えていること

IPAは2026年9月8日、経営者向けのランサムウェア対策ハンドブックを公開し、10日に更新しました。被害を受けた国内の組織への聞き取りを基に、経営者の関与や業務継続、持ち出されたデータへの備えなどの教訓をまとめています。

現在の侵入型ランサムウェア攻撃では、データの暗号化に加え、持ち出した情報を使った脅迫も問題になります。つまり、データを戻せても、情報の持ち出しに関する調査や対応が必要になる場合があります。

「コピーできた」と「仕事を再開できる」は違う

次は架空の例です。

毎晩、受注データをバックアップしている会社があります。ファイルは戻せましたが、データベースやアプリの設定が不足し、受注システムとして使える状態に戻りませんでした。

業務を再開するには、データだけでなく、アプリ、設定、接続先、必要な認証情報なども関係します。認証情報は適切に保護し、復旧時に誰が利用できるかを決めておく必要があります。

どこまで戻れば、仕事を続けられる？

二つの質問に答えてみましょう。

• 何時間・何日前までのデータなら、失っても業務を立て直せるか。
• システムが何時間止まると、大きな支障が出るか。

例えば、毎日一回のバックアップでは、その後に登録した注文が含まれない可能性があります。復旧に二日かかるなら、その間の受付や連絡をどう進めるかも考えます。

この条件は、システム担当者だけで決めるより、実際に仕事をする担当者と確認すると具体的になります。

本番を壊さず、復元を試す

バックアップの確認は、隔離した検証環境など、本番に影響しない場所で行います。重要な原本へ試しに上書きする方法は避けます。

最初は代表的なデータを選び、内容を確認するところから始められます。ただし、ファイルが一つ開けたことと、システム全体を復旧できることは別です。確認記録には、対象、バックアップ日時、復元にかかった時間、確認できた内容、残った課題を記載します。

また、攻撃を受けた環境へすぐ戻すと、再び影響を受けるおそれがあります。事故後の復旧は、侵害範囲や復旧先の安全性を確認しながら進める必要があります。

止まっている間の仕事も準備する

受注、請求、配送、顧客連絡のうち、何を続け、何を止めるか。代わりの記録方法、連絡手段、判断する人を決めておきます。

代替の連絡先や手順は、停止したシステムの中だけに保存しないことも大切です。

復元確認の記録例