当ページは検証・整備中のドラフトです。
内容は実環境での検証や追加調査により変更される予定です。
参照：ページ公開・更新ポリシー
イミュータブルバックアップとは、一定期間バックアップデータの削除や変更を禁止し、改竄や削除から保護するバックアップ方式である。
「バックアップ方針の策定」で、イミュータブルバックアップを採用すると判断した場合は、本ページを参考により詳しい実装方法や運用ポリシーを設計する。
イミュータブルバックアップは、ランサムウェアや内部不正によるバックアップデータの改竄・削除を防ぐことを目的としている。一方で、媒体故障や自然災害などに対する耐障害性を持つわけではない。そのため、エアギャップバックアップや遠隔保管など、他のバックアップ方式と組み合わせて運用することが重要である。
イミュータブルバックアップを設計する
なにをどれだけ保護するか
イミュータブルバックアップは、すべてのデータに対して適用する必要はない。まずは、ランサムウェア被害や内部不正が発生しても必ず残したいデータを整理する。
設計時には次の項目を決めておく。
- 保護対象（顧客情報、業務データ、設計資料など）
- データ容量
- 更新頻度（毎日・毎週・毎月など）
- 保持期間（何日・何週間変更を禁止するか）
- 保持世代
イミュータブルバックアップでは、保持期間中はデータを削除・変更できない。そのため、容量計画も考慮した設計が重要となる。
保持期間が短すぎると十分な保護効果が得られず、長すぎると不要なデータが蓄積して容量不足を招く恐れがある。運用実態に合わせたバランスを考慮したい。
まずは最初から完璧に運用できるとは考えず、小容量・短期間（例：最重要データのみ直近の7日間）の保護ルールで運用を開始し、データの流れや容量の増加ペースを実地検証しながら、自社に適した保持期間や容量へ調整していくのが現実的である。
実装方法を決める
保護対象が決まったら、その運用を実現する方法を選択する。SOHOではNASやクラウドストレージを利用する構成が中心となるが、それぞれ特徴が異なるため、自社ユースケースに合わせて選択する。
主要な実装方法とメリット・デメリット
| 方法 | メリット | 向くユースケース | 注意点 |
|---|---|---|---|
| NASのイミュータブル機能 | 導入しやすく既存のバックアップ環境へ組み込みやすい | SOHO | 媒体故障や火災などの物理障害には備えられない |
| クラウドストレージ（オブジェクトロック等） | 改竄耐性に加え、一般的に物理障害にも強い | SOHO・小規模事業所 | 利用料金や保持期間の設計が必要になる |
| WORMストレージ | 高い改竄耐性を確保できる | 一部業務用途 | 導入コストが高い |
| バックアップソフトのイミュータブル機能 | 既存環境へ導入しやすい | SOHO | 利用する製品の仕様に依存する |
ユースケース別のおすすめ構成
SOHO
NASのイミュータブル機能やクラウドストレージのオブジェクトロックを利用し、自動バックアップと組み合わせる構成が導入しやすい。ランサムウェア対策だけでなく、誤削除や内部不正への備えとしても有効である。
小規模事業所
バックアップ専用サーバーやクラウドストレージを利用し、保持期間や世代管理をポリシー化することで、安全性と運用性を両立しやすい。
運用時の注意点
イミュータブルバックアップは、一度設定すれば終わりではない。定期的に設定やバックアップ状況を確認し、期待どおりに保護できていることを確認する必要がある。
保持期間は短すぎず長すぎず
保持期間が短すぎると、ランサムウェア感染や不正操作に気付いた時点で保護期間が終了している可能性がある。一方で長すぎると容量不足や管理負荷の増加につながるため、業務内容に応じて設定する。
容量不足を定期的に確認する
保持期間中のデータは削除できないため、バックアップ容量は継続的に増加する。容量不足によって新しいバックアップが完了しないことがないように、定期的に空き容量を確認する。
管理者権限を必要最小限に限定する
イミュータブル設定を変更できる管理者が多すぎると、内部不正や設定ミスによって保護効果が損なわれる可能性がある。設定変更権限は必要最小限に限定し、管理方法も明確にしておく。また、管理者であっても保持期間中は削除・変更できない保護モードになっているかを確認する。製品によっては管理者でも解除できる設定と、解除できない設定が存在するため、導入時に仕様を確認しておきたい。
バックアップの成功を定期的に確認する
イミュータブルは「変更できない」ことを保証する仕組みであり、「正常にバックアップされ、正しいデータが保存されている」ことを保証するものではない。バックアップジョブの結果やエラー通知を定期的に確認し、正常に完了できていることを確認する。
定期的に復元テストを実施する
バックアップは復元できて初めて意味がある。定期的にテスト用データを復元し、手順や保存データに問題がないことを確認しておく。
必要に応じてエアギャップバックアップとの併用も検討する
イミュータブルバックアップは、接続したままバックアップデータを保護する仕組みである。一方、エアギャップバックアップは物理的にネットワークから切り離して保護する運用である。
両者は競合するものではなく、それぞれ異なるリスクに対応する。重要なデータでは両方を組み合わせることで、より高い安全性を確保できる。
まとめ
- イミュータブルバックアップは、ランサムウェアや内部不正による改竄・削除への対策である。
- 保護対象や保持期間、容量計画を整理し、自社に適した実装方法を選択する。
- 定期的にバックアップ状況や復元テストを確認し、継続的に運用する。
- 媒体故障や自然災害には対応できないため、エアギャップバックアップや遠隔保管などと組み合わせ、多層的なバックアップ環境を構築することが重要である。