CIS Control 11：データ復旧

新しく改訂され、再番号付けされた Center for Internet Security (CIS) Control 11 は、バックアップの必要性を強調しており、セキュリティ侵害または誤設定（misconfiguration）が発生した場合に、データを確実にスムーズかつタイムリーに復旧できるようにします。現在の CIS Critical Security Controls (CSC) バージョン 8 の CIS ベンチマークでは、データ復旧の管理（control）が 11 に繰り上げられました。以前は CIS Control 10 がバージョン 7 にありました。

CIS Control 11は、CISが策定した18個の cis controls の中でも重要な存在です。適切なデータバックアップのプロトコルを整えておけば、攻撃を受けたとしても重要な情報やデータを保護できます。

ハッカーはデータを盗むだけでなく、最大限の被害を与えるためにストレージを完全に消去しようとすることさえあります。定期的で組織的なバックアップは、その脅威を軽減できます。その結果、不運にも攻撃を受けた場合でも、事業を停止せずに済みます。

データの可用性に対する、いま最も目立つリスクはランサムウェアです。ランサムウェアは、攻撃者が金銭と引き換えに重要なデータへのアクセスを妨害（ロックアウト）することで成り立ちます。2021年には 500 million incidents of ransomware attacks in 2021 が発生しており、これは過去最高の記録です。適切な保護とバックアップにより、データ喪失の影響とさらなる攻撃の脅威を減らせます。

すべては CIA triad ――機密性、完全性、可用性――が、どの企業の技術インフラの土台となるべきだ、ということに行き着きます。CISのコントロールは、それを確立するのに役立つものでもあります。

データ復旧の制御に関する最新の CSA バージョンで取り上げられている 5 つの保護策を見ていきましょう。

11.1 データ復旧プロセスの確立と維持

• バックアップの実装と復旧のために、十分に文書化されたデータ復旧プロセスが導入されていることを確認してください。

最初の保護策は、組織全体で一貫して従える適切なデータ復旧プロセスを確立し、維持することに焦点を当てています。このプロセスでは、データ復旧の範囲を明確にし、どのデータが重要かを定義して優先順位を設定します。

データ復旧は、データを優先度の観点で分類することから始まります。これは価値のないデータがあるという意味ではなく、最も重要なデータが最初にバックアップされることを確実にするためです。

データ復旧プロセスでは、バックアップが定期的に適切に実施される方法、これらのバックアップがどのように保護されるか、そして攻撃が発生した場合にデータがどのように復旧されるかを明確に示す必要があります。このようにすべての詳細を網羅したプロセスがあれば、いざというときにチームが何をすべきかを確実に理解できます。

11.2 自動バックアップ

• すべてのシステムデータを定期的に自動でバックアップすることを徹底してください。

この必須プロトコルにより、定期的な間隔で、すべてのデータが自動的にバックアップされます。ポイントは自動化された手順にあるため、システムデータは人の介入なしに、予定された時間間隔の経過後に自動でバックアップされます。

さらに高い保護のために、保護すべき重要なデータが組織にある場合は、バックアップをオフサイトの場所に保管しておくべきです。これにより、最悪のケースでもデータを復旧できるようにします。

クラウドのおかげで、データを自動的にバックアップすることがかつてないほど簡単になりました。データの機密性に応じて、バックアップの頻度を毎時・毎日・毎週・毎月から選択できます。

11.3 復旧データを保護する

• 復旧データが、元のデータに使用しているのと同じ措置および管理策で保護されていることを確認してください。

攻撃者がセキュリティ設定に侵入した場合、バックアップデータもリスクにさらされます。そのため、バックアップにも十分なセキュリティが必要です。これは、データ要件に基づく暗号化やセグメント分割を含む場合があります。The CIS Control 3 Data Protection では、データを保護するための保護策が示されており、保護対象は元のデータからすべての主要システムのバックアップまで広がります。

11.4 復旧データの隔離されたインスタンスを構築し維持する

• バックアップデータの隔離されたコピーを用意してください。これは、ランサムウェアのような現代的な脅威からデータを安全かつ実証済みの方法で保護するための手段です。

この保護策は、完全に切断されているため誰もアクセスできないオフラインバックアップを維持することに尽きます。これは、安全なバックアップ先におけるリモートバックアップの形をとる場合があります。冗長性を高めるために、専用の物理的セキュリティを備えたオフラインバックアップを複数用意することも可能です。

クラウドのセキュリティは可能な限り強化できますが、攻撃者が不具合（欠陥）を悪用するリスクは常に残ります。これらの脆弱性は、ベンダー側に起因する場合もあれば、第三者の影響によって発生する場合もあります。

データの隔離されたインスタンスを保存することで、最も重要なデータをデジタルな悪用から守れます。とはいえ、2つ目の保護策で述べたとおり、このインスタンスを常に最新の状態に保つことも不可欠です。

11.5 テストデータの復旧

• 復旧プロセスが機能することを確認するため、バックアップの復旧テストを少なくとも四半期ごとに実施してください。

これは最も過小評価されているセーフガードです。多くの組織はバックアップ計画や体制の整備に深く投資している一方で、十分にテストできていないことがあります。これは、事業継続（コンティンジェンシー）計画の重要な要素であるべきです。バックアップ手順のどんな弱点も、適切でないバックアップにつながる可能性があり、さらに悪い場合にはバックアップがサイバー攻撃にさらされることもあります。

バックアップが定期的かつ適切なタイミングで実行されることを確実にするには、監視ツールが必要です。あわせて、バックアップに対して導入されている防御策だけでなく、復元プロセスについてもテストする必要があります。これが、すべてが本来のとおりに機能することを確実にするための唯一の信頼できる方法です。

概要

データ復旧にはリソースと投資が必要です。組織の規模や構造によって、金銭・時間・労力のコストはかなり高くなる可能性があります。「もしも」のような想定であっても、これは重要な検討事項です。同時に、データを失うことによるコストも大きくなり得ます。

正しく実装すれば、攻撃が発生した場合でもデータを安全に復旧できます。

ランサムウェアの場合、バックアップがあれば、重要なデータを取り戻すために何百万ドルも支払わずに済み、会社を救うことができます。身代金を支払っても、必ずしも効果があるとは限りません。中には、身代金を支払ったにもかかわらず企業がデータを復旧できなかったケースもあり、攻撃者がどれほど悪質になり得るかを物語っています。

データのバックアップはパズルの一部にすぎないことを忘れないでください。バックアップを定期的にテストして、整合性と可用性を確実にすることも同じくらい重要です。必要になったときに最も役立つはずの手段が機能しないのであれば、バックアップを持つ意味は何でしょうか？

データ復旧は、業務が順調に回り続ける企業と、事業が傾いてしまう企業を分ける大きな要因になり得ます。