セキュリティベンダーSophosが2025年6月に発行した年次ランサムウェアレポート「State of Ransomware 2025」によると、初期の身代金要求額以上を支払った企業の38％が、その理由の一つとしてバックアップの問題を挙げている。調査会社IDCは2024年7月に発行したアナリストブリーフ「Using the Cloud to Bolster Cyber-Recovery Strategies」の中で、ランサムウェアインシデントの約半数において、攻撃者がバックアップの削除や破損を試みていると報告した。

　従来のバックアップ運用では、ジョブのステータスによってバックアップの成否を判定しがちだ。しかし、ITサービスプロバイダーQuest Technology Managementの社長兼CEOであるティム・バーク氏によれば、これは確認するポイントを間違えている。

　「バックアップの完了と、実際に機能するかどうかは別問題だ。完了ステータスは書き込みの成功を示すだけで、データの完全性や必要な時間内での復旧を保証するものではない」とバーク氏は語る。

　バックアップの管理画面でエラー警告が一度も出なかった企業が、インシデント発生時には想定の3倍の復旧時間がかかるケースを、バーク氏のチームはたびたび目の当たりにしてきた。バックアップベンダーUnitrendsが2025年2月に発行したレポート「The State of Backup and Recovery Report 2025」では、60％以上の企業が数時間以内にダウンタイムから復旧できると信じていたが、実際にそれができたのはわずか35％だった。

　バーク氏によれば、主要なインフラの検証を徹底している企業でも、SaaSや従業員のエンドポイント、外部委託先のシステム構成にあるデータを見落としがちだ。「MicrosoftやSalesforceといった大手ベンダーのサービスは可用性が高いため、データも安全だと思い込んでいる人がいるが、システムが落ちないこととデータを元に戻せることは同義ではない」と同氏は指摘する。

最も重要な検証と整合性チェック

　復旧の準備が整っていることを確認できる企業とそうではない企業を分けるのは、以下の実践的な手法を取り入れているかどうかだ。

暗号化技術を用いた整合性の検証

　取り込み時と保存時にチェックサム（データから算出する固有の文字列）を照合し、読み出したデータが書き込み時の内容と完全に一致するかどうかを確かめる。

バックアップデータのマルウェアスキャン

　前述のIDCのアナリストブリーフは、バックアップデータの検査を「必須のセキュリティ対策」だと位置付けている。入り口での水際対策（境界防御）を擦り抜けて、発症せずに潜伏しているマルウェアがバックアップに紛れ込んでいる可能性があるためだ。チェックサムなどの整合性チェックを通過したからといって、そのデータが無害であるとは限らない。

バックアップ時の異常検出

　データ量の異常な変化、バックアップに異常に時間がかかる、予期しないファイルの削除などの現象は、システム侵害の早期の兆候である可能性がある。境界防御のアラートと同様に、こうした不審な振る舞いも詳細に調査する必要がある。

バックアップデータの網羅的な検証

　クラウドバックアップベンダーEonは、2025年6月に公開したレポート「State of Cloud Backup Report 2025」において、企業の39％がクラウドのデータを紛失したか、バックアップデータの安全性を確認できていない状態にあると報告した。

機密データの厳格な分類

　個人特定情報（PII）、財務記録、法令で厳格な保護が義務付けられている医療データ（PHI）などは、一般的な業務データよりも高い頻度での検証と厳格な保持管理を必要とする傾向にある。

AIワークフロー生成物の出どころの確認

　AIツールが生成したファイルは、チェックサムで完全な保存と復元を証明できても、生成時の前提条件が侵害されていたかどうかまでは判断できない。バーク氏は、「AIツールへの入力が意図せず操作された際に警告を出す仕組みがなければ、問題を抱えたままデータが復元され、悪影響を後まで持ち越す危険がある」と指摘する。

バックアップおよびリカバリーツールの評価

　調査会社Gartnerが2025年6月に発行した市場分析レポート「Magic Quadrant for Backup and Data Protection Platforms」では、単なるデータの保存にとどまらず、侵害されたデータを特定する能力など、サイバーレジリエンス機能が重視された。

　脅威の検出において重要なのは、データをバックアップストレージに保存する前と後の2つの段階だ。新たなバックアップおよびリカバリーツールの導入を検討する企業は、そのツールが、データを書き込む前の取り込み時に異常をスキャンして警告を出す機能を持つかどうか確認すべきだ。取り込み後については、チェックサムだけでは検出できないランサムウェアやデータ破損の兆候がないかどうかを、機械学習を用いてバックアップデータを監視する機能を重視するとよい。

隔離された復旧システムの活用

　IDCは、本番環境のワークロードでデータを使用する前に、まず隔離されたシステムにデータを復元してクリーンであることを確認することを推奨する。バックアップおよびリカバリーツールの導入を検討する企業は、インシデント発生時に隔離がどのように実行されるのか、誰がそのワークフローを所有しているのか、そのプロセスがどのようにテストされているのかをベンダーに質問すべきだ。

SIEMとSOARとの連携

　IDCは、2025年10月に発行したリカバリーベンダーの評価レポート「IDC MarketScape: Worldwide Cyber-Recovery 2025 Vendor Assessment」において、より強固なリカバリー体制を構築するための重要な評価要因として、他のセキュリティツールとの連携を挙げた。システムのログを集約するSIEM（セキュリティ情報イベント管理）や、脅威への対処を自動化するSOAR（セキュリティオーケストレーション、自動化、対処）との連動機能だ。これによって、バックアップ時の異常な動きが単なるIT部門の運用エラーとして片付けられず、専門のセキュリティチームに通知されるようになる。

SaaSのカバー範囲

　IDCは、2025年12月に発行したSaaSデータ保護のベンダー評価レポート「IDC MarketScape: Worldwide SaaS Data Protection 2025-2026 Vendor Assessment」において、「企業はカバーするSaaSの種類の多さと高度な保護機能を両立するツールを見つけるのに苦労している」と指摘する。バックアップおよびリカバリーツールを評価する際は、復元しようとしたときではなく、データを取り込む段階で、侵害されたデータや不完全な内容を特定できるかどうかが鍵となる。

バックアップ検証を実践する

　優れた検証手順を定着させている企業は、共通の運用習慣を持っている。近年の厳格な外部監査やサイバー保険の加入条件などにおいて、以下の手順が文書化されているかどうかを厳しく問われる傾向が強まっている。

責任者の割り当て

　特定の個人またはチームがバックアップの検証に責任を持ち、報告する必要がある。バーク氏によれば、責任の所在が曖昧な組織では、復旧テストを「誰かの手が空いた時に年1回だけ実施する作業」として後回しにしがちだ。

バックアップジョブではなく、復元をテストする

　昨今のサイバー保険会社は、加入や支払いの条件としてバックアップ構造の提示を求め、現実的な条件下でデータを復旧できる証拠を要求する。「特に保険会社は実際の復旧テストの記録を求めてくる。管理者であってもデータを変更、削除できない『不変ストレージ』の有無も厳しく見られる」とバーク氏は説明する。

訓練では本番環境を模倣し、結果を記録する

　リード氏は、本番環境と同様のシステム構成で復旧訓練を実施し、そのテストからRTO（目標復旧時間）とRPO（目標復旧時点）といった指標を記録している。「机上の予測がテストのパフォーマンスと一致することはめったにない」と同氏は述べる。

重要なデータのテストに的を絞る

　バーク氏の経験では、優れた成果を上げている企業は、一般的な業務データよりも、PII、財務記録、保護対象保健情報などの機密データに対して、より高頻度で整合性チェックを実行している。外部監査においても、これらのデータの重要度に応じた区別ができているかどうかを問われることがある。「監査人はバックアップの成功だけではなく、復元データが要件を満たして使えるかどうかの証明を求めている」とリード氏は語る。

　強固な証明体制を築くには、適切な検証手順、導入したツールの機能、日々の運用ルールが緊密に連携していなければならない。システムへの投資だけで満足し、テスト記録などの証拠を直ちに提示できる管理体制を整えていない企業は、最も重要な局面で致命的な弱点を露呈することになる。

　「高価なツールを入れていても、要求された際に検証済みの証拠をすぐに出せる運用ルールがない企業ほど、インシデント発生時の事後処理に苦慮することになる」（バーク氏）