サイバーインシデントが起きた時、「バックアップはあります」という報告を聞くと、少し安心したくなります。しかし、本当に確かめるべきなのは、その先です。何を、どの時点まで、どの順番で戻すのか。戻したシステムを、誰が安全だと確認するのか。倉庫に部品がそろっていても、組立図と作業の順番がなければ工場は動きません。バックアップも同じです。地域金融機関、通販事業者、カード会社、生損保会社では、一つのシステムが動くだけでは、お客さま向けの業務は再開できません。認証、決済、顧客データ、外部サービス、コールセンターなどがつながって、初めてサービスになります。しかも、急いで戻すことだけを優先すると、侵入の原因や不正な設定まで持ち込むおそれがあります。平時に一度、実際に戻してみた経験があるかも重要な確認項目です。今回は、バックアップの「有無」ではなく、安全に業務を再開するための「復旧の順番」を考えます。

復旧は「データを戻す作業」ではない

インシデント対応は、攻撃を見つけ、被害の拡大を止めれば終わりではありません。その後には、業務を安全に再開する仕事が残っています。ここでいう復旧は、保存しておいたデータを元の場所へ戻すだけの作業ではありません。お客さまに提供するサービスを許容できる状態まで組み直す、経営・業務・技術をまたぐ仕事です。

例えば通販事業者なら、商品ページだけを開いても、受注、決済、在庫、出荷がつながらなければ買い物は完結しません。カード会社なら、会員向け画面が表示されても、利用承認や不正利用の監視が正常でなければ、安全な再開とはいえません。金融機関や保険会社でも、窓口、マイページ、代理店、コールセンターなど、複数の顧客接点が裏側の仕組みに支えられています。

そのため、復旧計画はサーバーの一覧から考えるのではなく、「お客さまへの影響を抑えるため、どの重要業務を先に戻すか」から考える必要があります。優先する業務を決め、認証、ネットワーク、データベース、外部委託先など、その業務に必要なつながりをたどる。これが復旧の組立図になります。

二つの「時計」を合わせる

復旧には二つの時計があります。一つは「いつまでに戻すか」です。もう一つは「どの時点のデータまで戻せればよいか」です。専門用語では、前者をRTO（目標復旧時間）、後者をRPO（目標復旧時点）と呼びます。

大切なのは、数字を規程に書くことではなく、その数字を実際に守れるかを確かめることです。「四時間で再開」と定めていても、復元に六時間かかる、担当者が休日には集まらない、委託先への連絡方法が分からないという状態では、目標は願望のままです。また、前日のデータに戻すなら、その後に受け付けた注文、入金、申込みをどう照合するかも決めておかなければなりません。システムの時計と業務の時計は、同時に動かす必要があります。

早く戻す前に、きれいに戻せるか

復旧を急ぐ場面ほど、もう一つ確認したいことがあります。戻そうとしているデータや設定は、本当に安全かという点です。バックアップがネットワークにつながったままであれば、攻撃の影響を受けているかもしれません。侵入されていた時点の設定をそのまま戻せば、侵入経路や不正な設定まで再現する可能性があります。最も新しいデータではなく、侵害前と判断できる復元点を選ぶ視点が必要です。

したがって、バックアップは日常の環境から分離して守り、改変されていないかを確認する必要があります。原因となった弱点への対処、侵害された可能性のある認証情報の変更やセッションの無効化、必要に応じたシステムの再構築を行い、正常に動くことを確かめてから業務ネットワークへ戻します。「早く戻す」と「安全に戻す」は競争ではありません。安全を確かめながら、優先する業務から段階的に戻す設計が必要です。

成功通知より、一度戻してみる

バックアップ処理の画面に「成功」と表示されていることと、復旧できることは同じではありません。確認は二段階で行えます。まず一つの重要業務を選び、次の四点を机上でたどります。

1. お客さまへの影響を抑えるため、最初に再開する重要業務は何か
2. その業務に必要なシステム、データ、委託先は何か
3. どの時点のバックアップを、誰が安全だと確認するか
4. 一部だけ再開する間、どの代替手段と案内経路を用意するか

机上確認は入口です。これとは別に、代表的なデータや重要システムを実際に戻し、所要時間、権限や手順の不足、次へ進む判断の詰まりを確かめます。一度の成功で安心せず、システムや業務の変更に合わせて繰り返すことが大切です。

特に四点目は、技術部門だけでは決められません。全面復旧まで時間がかかる場合、利用できる機能、利用できない機能、代替手段、復旧状況を伝える必要があります。通常のメールや電話が使えない場合の連絡経路も含め、復旧の順番とお客さまへの説明を一つの計画として準備しておくべきです。

経営層が尋ねる言葉も変えてみてください。「バックアップはあるか」だけで終わらず、「お客さまへの影響を抑えるため、最初に戻す重要業務は何か。それを何時間以内に、どの時点のデータまで、安全に戻せるか」と尋ねるのです。

戻す順番を決めることは、守る価値の順番を決めることです。バックアップが守るのはデータです。復旧の順番が守るのは、業務とお客さまの信頼です。まず一つの重要業務を選び、必要なつながりと再開判断を一枚に書き出してみてください。実際に戻し、つなぎ、安全を確認する。そこまで準備して初めて、バックアップは業務継続の力になります。

※本内容の引用・転載を禁止します。