セキュリティにおいてバックアップは重要な要素の一つだが、日本の企業ではセキュリティとバックアップをそれぞれ異なる部門が担当していることが珍しくない。そのためセキュリティ担当者にバックアップに関する話をすると「確かにバックアップは重要だが、自分たちの担当ではない」という反応を示されることがある。その反対も同じで、バックアップ担当者の中には「自分はセキュリティ対策には責任を持っていない」と考えている人がいる。

　こうした姿勢の食い違いは、バックアップ担当者とセキュリティ担当者の経験の違いに起因していると考えることができる。日本の企業では伝統的に、バックアップは情報システム部門の担当者が担い、セキュリティは情報システム部門とは別に組織されたセキュリティチームが担ってきた。

　ただしセキュリティとバックアップは密接に関連しており、本来は切り離して考えることはできない。例えば米国の政府機関「米国立標準技術研究所」（NIST：National Institute of Standards and Technology）」が発行したサイバーセキュリティフレームワーク（CSF）は、セキュリティ対策のコア機能として「識別」「防御」「検知」「対応」「復旧」の5つを定めている。この中に含まれている「復旧」は、バックアップがあってこそ成立する取り組みだ。

　バックアップがセキュリティにおいて重要であることは、ランサムウェア（身代金要求型マルウェア）攻撃が広がっている現状から考えても理解できるはずだ。企業がランサムウェア攻撃に感染すると、データが“人質”となり、身代金を要求されることになる。この手口への対処には、バックアップの有無や、バックアップが感染していないかどうかが関わってくるため、セキュリティ担当者とバックアップ担当者が、組織の垣根を越えて協力しなければならない。

　セキュリティ部門とバックアップ部門の垣根を取り払うにはどうすればいいのか。有効な方法の一つは、ランサムウェアに関するワークショップに、セキュリティ担当者とバックアップ担当者が協力して参加することだ。こうしたワークショップでは、ランサムウェアとはどのようなものなのかを体験し、それに関してディスカッションをする機会が与えられる。参加者がこうした機会を通じて、バックアップを取得し、それを安全な場所に保管しておけば、ランサムウェア攻撃に遭ってもデータ復元が可能になる、という状況を体験することができる。そうした体験を基にセキュリティ担当者とバックアップ担当者がディスカッションで意見を交換すると、セキュリティとバックアップの垣根を越えた対策を真剣に検討できるようになる。

　異なる企業の担当者が集まるワークショップでは、ランサムウェア攻撃とデータ復元を体験した後に、ディスカッションが自然発生的に起こるものだ。これは参加者が初対面同士であったとして、声を上げずにはいられないほどの体験なのだと見ることができる。

　セキュリティ対策の強化が必要だという認識は、日本の企業においても広がってきている。企業に対する攻撃は大きな事件として報道されることもあり、「セキュリティ対策が必須だ」という指摘に対して異論が出ることはまずない。むしろ「うちの会社のセキュリティ対策は十分なのか」という不安の声が発せられる状況が目立っている。

　一方で、バックアップが重要だという認識は、残念ながらセキュリティほどには高まっていない状況だと言わざるを得ない。ランサムウェア被害はどういった企業にとっても関係のある出来事になった。それにもかかわらず、ランサムウェア攻撃の対策としてバックアップが有効だと誰もが考えるわけではないのだ。

　バックアップはランサムウェア対策だけでなく、システムに何らかの障害が起こった場合にも有効な対策となる。システム障害によって企業活動が停止することもたびたびニュースになる時代だ。日本の企業が事業継続の対策を強化するには、ランサムウェア対策としても、システム障害対策としても、バックアップが有効だという認識をより多くの人に認識してもらわなければならない。

　次回は、データに応じてバックアップの優先順位付けをするための観点を紹介する。