当ページは検証・整備中のドラフトです。
内容は実環境での検証や追加調査により変更される予定です。
参照：ページ公開・更新ポリシー
概要
「イミュータブル（Immutable）」とは英語で「不変の」「書き換え不可能な」を意味する言葉。
イミュータブルバックアップとは、一度書き込まれたバックアップデータを一定期間「変更・上書き・削除」が不可能な状態（不変状態）にする保護技術、およびその運用手法の総称である。
一般的なバックアップは、ストレージの容量効率を高めるために古い世代を上書き・削除する機能を備えている。しかし、この仕様を悪用しバックアップそのものを破壊するサイバー攻撃が急増している。そのため近年では、従来のバックアップに加えて、イミュータブルバックアップがランサムウェア対策の重要な技術として強く注目されている。
技術的背景と仕組み
なぜバックアップも攻撃対象になるのか
近年のランサムウェア攻撃は、本番環境のサーバーやPCのファイルを暗号化する前に、被害企業が「バックアップからシステムを無償で復旧させること」を阻止するための破壊工作を機械的に実行する。 攻撃者はドメイン管理者などの特権アカウントの強奪を試み、ネットワーク内を探索して以下のプロセスを行うとされる。
- 同一ネットワーク上に存在するNASの共有フォルダに保存されたバックアップファイルの削除
- APIや管理コンソールの認証情報を悪用した、クラウドバックアップ側の世代データの消去
- Windows標準の復元機能である「ボリュームシャドウコピー（VSS）」の強制削除
攻撃者は、一般の善良な企業以上に「どのようにバックアップが取られているか」を研究、把握、調査している。NASやクラウドへ多重バックアップしていることも当然ながら把握している。
復旧手段を大きく制限した状態で本番データを暗号化することにより、被害企業に身代金の支払いを余儀なくさせる手法に行き着くのは、攻撃者側に立てば当然の行動と言える。
イミュータブル（変更不可）の考え方
イミュータブルバックアップは、管理者権限（特権アカウント）を奪取した攻撃者やマルウェアであっても、あらかじめ設定した保護期間内は、該当するデータに対して以下の操作をシステム的に受け付けない性質（不変性）を持つ。
- バックアップデータの強制削除（Delete）
- 既存のバックアップデータへの不正な上書きや暗号化（Write）
- 保持期間（リテンションピリオド）を意図的に短縮する設定変更
物理的なものに例えるなら「書類を強固な金庫に封印し、あらかじめ設定したタイマーの保存期間が終了するまで、たとえ金庫の所有者であっても絶対に扉を開けられないようにする」という仕組みに似ている。
どのように実現されるのか
不変性の実装は、ハードウェア、ファームウェア、あるいはクラウド側のAPI層など、システム全体の多様なレイヤーの命令制御によって実現されている。
- オブジェクトロック： クラウドストレージにおいて、オブジェクト（ファイル）単位で削除禁止フラグを付与する技術。
- WORM（Write Once Read Many）： 「一度だけ書き込み可能で、その後は読み取り専用とする」考え方。
- イミュータブルスナップショット保護： カーネル（OSの根本）層で、特定世代のスナップショットを保護期間中ロックし、どのような削除コマンドも拒否する技術。
- クラウド側の保持ポリシー： ルートアカウントの所持者であっても、設定した期間が満了するまではポリシーの解除やデータの消去をクラウドベンダー側がシステムレベルでブロックする仕組み。
これらの具体的な実装方法や挙動は、採用する製品やストレージの仕様によって異なる。
主な実装方式
クラウドストレージ型
インターネット経由で接続するオブジェクトストレージに不変属性を付与する方式。
- 具体例： Amazon S3（Object Lock機能）、Backblaze B2、Wasabi Cloud Storage
- 特徴： クラウドベンダー側がプラットフォームの堅牢性を担保しているため、比較的導入しやすいとされる。また、オフィスが物理的に被災（火災・震災）した場合の「遠隔地保管（オフサイトバックアップ）」と相性が良いという利点を持つ。
NAS（Network Attached Storage）型
オフィス内に設置する物理的なネットワークストレージ（NAS）自体に不変機能を搭載する方式。
- 具体例： Synology（不変スナップショット機能）、QNAP（WORM共有フォルダ機能）
- 特徴： 近年のSOHO・小規模向けNASには、ファイルシステム（BtrfsやZFSなど）の標準機能として「イミュータブルスナップショット」が実装されているケースが多い。LAN内での高速なバックアップ・リストア速度を維持しつつ、ランサムウェアによるネットワーク共有経由の破壊コマンドを無効化できる特性を持つ。
バックアップソフト型
サーバーやPCを包括的にバックアップする専用の管理ソフトウェア側で不変世代を制御する方式。
- 具体例： Veeam Backup & Replication、Acronis Cyber Protect
- 特徴： ソフトウェアがバックアップデータの世代管理と保持期間を統合的に制御する。Linux等で構築された専用のリポジトリ（保存先サーバー）と連携し、OSの管理者アカウント（root）を奪取されても、バックアップデータが格納されたセクターへの削除命令を通さない強固なアーキテクチャを構築できるとされる。
イミュータブルバックアップで実現できること
- ランサムウェアによるバックアップ破壊対策の確立： ネットワーク経由で内部に侵入したマルウェアが、本番環境と同時にバックアップの暗号化や消去を試みても、防ぐことが期待できる。
- オペレーションミスによる誤削除対策： 運用担当者の操作ミスや、自動スクリプトの設定不備による「必要なバックアップ世代の誤った削除」を構造的に防止する。
- 内部不正によるデータ消去への対抗： 不満を持つ従業員や退職予定者が、特権アカウントを悪用して組織の全バックアップデータを消去（隠蔽）し、事業をマヒさせようとする犯罪行為を無効化する。
- 保管データの真正性（改竄されていないこと）の確保： 監査や法的規制において、バックアップデータが「過去の特定の時点から改竄・隠蔽されていない本物のデータであること」を客観的に証明するエビデンスとして利用できる。
イミュータブルバックアップで防げること
イミュータブルバックアップは、主に以下のデータの変更・消失を伴う操作を制限・防止することに有効である（製品による）。
- バックアップファイル自体の手動・自動での削除命令
- 既存の正常なバックアップファイルに対する、ランサムウェアによる強制暗号化（上書き）
- 特権アカウントが完全に奪取された状態における、管理画面からの過去世代データの全消去行為
- 保護期間中のストレージ初期化や世代削除（製品や実装方式によって大きく差がある）
イミュータブルバックアップで防げないこと
あくまで「過去に取得したバックアップファイル自体の不変性」を確保するものであり、以下の脅威を検知・遮断する能力を持たないのが一般的である。
- 稼働中の本番環境のサーバーやPCへのマルウェア・ランサムウェアの新規感染
- 攻撃者がデータを暗号化する前に実行する、機密データの不正な外部持ち出し（情報漏洩・二重脅迫）
- フィッシング詐欺による従業員の認証資格情報の流出
- 「バックアップを取得するより前の段階」で、すでに本番環境内でランサムウェア等により暗号化・破損していたファイル
- あらかじめ設定した保持期間（ロック期間）が終了し、保護が解除された後の通常コマンドによるデータ削除
限界と注意点
バックアップを取得しなければ機能しない事実
イミュータブル（変更不可）は、あくまで取得されたデータの「保護技術」であり、自動的にデータを生成したり、失われたデータを復活させたりするものではない。
適切なスケジュール設計に則ってバックアップ処理（スナップショットの取得等）が正常に実行され、成功していなければ、保護すべき対象そのものが存在しない状態となる。
保持期間（ロック期間）設計のトレードオフ
保持期間の長さの選定には、ストレージ容量との厳密なトレードオフが発生する。
- 期間が短すぎる場合： ランサムウェアが潜伏期間（数週間〜数ヶ月）を経て発病した場合、不変保護が解除された過去の古いバックアップデータが順次上書き・消去されており、感染前の正常な世代が残っていないリスクが生じる。
- 期間が長すぎる場合： 変更・削除が一切できないデータがストレージ内に残り続けるため、日々の増分データによってディスク容量が逼迫していく。そしてイミュータブルがゆえに即時の容量解放手段がシステム的に制限されるため、ストレージの買い増し等のコスト増を招く。
特にクラウド型の強力なコンプライアンスモードを採用する場合、設定ミスによってテラバイト級の不要データを数年間ロックしてしまうと、アカウントを強制解約しない限りデータを消去できず、数年分のストレージ課金が発生し続けるリスクがある。そのため、初期設定時はテスト用の極小データと短い期間で挙動と容量の推移を確認する検証フェーズが必要である。
復旧テスト（リストア検証）の不可欠性
データが「変更されずに100%残っていること」と、「そのデータを使ってOSやシステムが正常に起動・復旧できること」は同じではない。
バックアップ対象のシステム構成（OSのパッチバージョンやハードウェア構成）の変更に伴い、データは無事でもリストア処理自体がエラーで失敗するケースは珍しくなく、定期的な復旧訓練による実効性の確認が運用の前提となる。
「3-2-1ルール」の代替にはならない事実
イミュータブルバックアップを導入したからといって、バックアップの鉄則である「3-2-1ルール（3つのコピー、2種類以上の媒体、1箇所の遠隔地保管）」を省略してよいわけではない。
例えば、オフィス内の1台のNASの中にどれほど強固なイミュータブルバックアップを用意しても、オフィス自体の火災、落雷、あるいは物理的な機材自体の盗難が発生すれば、データは一瞬で消失する。保管場所を物理的に分離（オフサイト保管）するルールと組み合わせることで、はじめてイミュータブルバックアップは真価を発揮する。
まとめ
イミュータブルバックアップは、取得したバックアップデータを外部のサイバー攻撃者や内部不正による「改竄・隠蔽・上書き・削除」からシステム的に守り抜くための保護技術である。
バックアップを破壊する現代の高度なランサムウェア攻撃に対する最も強力な対抗手段の一つとされるが、単独で組織全体のセキュリティが完成するわけではない。
「3-2-1バックアップルール」に基づく地理的な分散保管や、適切な保持期間の容量設計、そして定期的なリストアテストと組み合わせる多層防御の思想を維持することが、被災時における事業継続を破綻させないための絶対条件である。