事例で分かる、中堅・中小企業のセキュリティ対策【第10回】

ランサムウェア被害で中小企業が倒産？　絵空事ではない事態に備える「バックアップ」（2/3 ページ）

公開 2017年07月10日 05時00分

更新 2017年07月10日 11時26分

著者

那須慎二

[船井総合研究所]

印刷する連載新着通知を受け取る

もしもHDDが破損したら

　情報喪失の代表格は、HDDの破損です。誰しも一度は「HDDが壊れてデータが飛んでしまった」という声を耳にした、あるいは実際に経験したことがあるはずです。業務で頻繁に利用しているデータが破損すれば被るダメージも大きくなります。例えば以下のようなケースを考えてみましょう。

事例1： HDD破損で重要なデータが全てなくなってしまった

　従業員30人のデザイン制作会社。イラスト制作用のソフトウェアを用いて、大きく目立つデザイン性の高いポスターやパンフレットなどを制作している。解像度の高い画像データを用いるため、必然的に1ファイル当たりの容量が大きくなる。制作したデータは、過去の経験の積み重ねでもあり、ノウハウの塊のようなものだ。

　同社はそのデータを、制作スタッフ全員で共有できるように大容量のファイルサーバに蓄積している。ファイルサーバにはHDDを4台搭載しており、1台が壊れても残りの3台でデータを復元できるよう、データを分割格納した上でエラー訂正情報（パリティ）を保管する「RAID5」にて冗長性を担保していた。

　ある日突然、「ファイルサーバにアクセスできなくなった」と制作スタッフから連絡があった。ファイルサーバを見てみると、4台のHDDのうち2台に、故障を示す赤ランプが点灯していた。同じタイミングでディスクが2台同時に故障するなどとは誰も予想していなかった。

　RAIDにて冗長性を図ることがバックアップだと勘違いしていたことに気づいたのは、ファイルサーバにアクセスできなくなり、制作データを閲覧できなくなってからだった。誰も別媒体へのデータバックアップを取得していなかったのだ。

　データ復旧業者に依頼をするしか選択肢はなくなり、同社は高額な費用を支払ってデータを復元してもらった。

　RAID構成でHDDの冗長化を図っている場合でも、2台のHDDが同一タイミングで破損するケースは起こり得ます。同じロットで生産されたHDDが同じ頻度で使われていた場合、運が悪ければ今回のようなケースが起き、それだけでデータが飛んでしまいます。そもそもRAID構成はバックアップではありませんので、きちんと別メディアにデータを退避しておかなくてはいけません。

バックアップをしていたつもりでも、正しくデータを取得できていなかったら

　もう1つの事例を紹介します。バックアップ設定をしていたにもかかわらず、データのバックアップが取得されていなかったケースです。

事例2：「やったつもり」のバックアップ

　とある中小企業。バックアップについては、設定を依頼した情報システム会社に全て任せていた。情報システム会社からは「自動的にバックアップが取れるようになっています」と聞いていた。

　ある日、ファイルサーバにアクセスできなくなった。そこで情報システム会社に連絡し、エンジニアに来てもらった。

　するとエンジニアは真っ青な顔で「データのバックアップが取得できていません」と報告した。自動的にバックアップを取得する設定を施していたはずだったが、何らかの原因でバックアップエラーが起こっており、ファイルサーバ設置後2年以降のデータバックアップを取得できていなかった。

　同社は経費削減の名目で、情報システム会社から提案を受けていた「保守点検サービス」を依頼していなかった。そのため、定期的なバックアップ取得状態の確認をしていなかったのである。

　情報システム会社に運用保守を依頼するにせよ、自社でファイルサーバを管理するにせよ、いずれにしてもこの事例は「定期的にバックアップが取得できている」ことを確認していない点が問題です。

　人手不足かつ、なるべくコストを節約したいと考える中小企業では起こり得ることなので注意が必要です。データが無くなってから、事の重要性に気付くようでは遅いのです。

　今回紹介した事例は、データ復旧会社に依頼をすることでデータを復元できているので、まだ救いがあります。しかしランサムウェア被害によってデータが破壊されていたとしたらどうでしょうか。復号鍵が出回っていないランサムウェアの場合は、復旧が極めて困難になり、まさに過去から時間をかけて蓄積していた「情報資産」が突然失われてしまう可能性があります。

　データの復元が困難なランサムウェア被害に遭遇した場合は、このように、被るダメージが膨大になるのです。

次ページへ対策は「バックアップ」に尽きる

印刷する

事例で分かる、中堅・中小企業のセキュリティ対策

情報セキュリティ対策をしたくても、ITに詳しい人が社内外にいなくて困っている中堅・中小企業は多いのではないでしょうか。「知識不足」と「ヒト、モノ、カネ不足」の問題が目の前にあっても、対策は待ったなしの状況。予算を握る上司を説得するために、サイバー攻撃の事例を紹介しながら、その効果的な対策につながる情報セキュリティ製品を分かりやすく解説します。

連載新着通知を受け取る

この連載の記事をもっと見る