ランサムウェア対策とオフライン保管｜「書き換えられない」ことが最後の砦になる

ランサムウェア——データを勝手に暗号化し、解除と引き換えに身代金を要求する攻撃——の被害報道で、いつも見過ごされがちな一文があります。「バックアップも暗号化されており、復旧に時間を要している」。

そう、現代のランサムウェアは、本体だけでなくバックアップを狙います。侵入後すぐには暴れず、ネットワークを探索し、バックアップサーバーや共有フォルダ上のバックアップを特定してから、まとめて暗号化する——「バックアップがあるから大丈夫」の前提を、攻撃者は最初から折りに来るのです。

この記事では、ランサムウェア対策の中でも「最後の砦」にあたるオフライン保管を扱います。なぜネットワークから切れた保管が効くのか、なぜ書き換えできない媒体が強いのか、そして中小企業・団体・家庭それぞれでの現実的な実装まで。企業のBCPとオフライン保管の姉妹編として、ランサムウェアに焦点を絞って書きます。

なお、この記事は防御側の保存設計の話であり、侵入対策（メール訓練・脆弱性管理・EDR等）の代替ではありません。入口の対策と、やられた後の砦は、両方要る——その「砦」側の設計図です。

ランサムウェア被害の構造 — バックアップが死ぬ3つの理由

なぜバックアップごとやられるのか。理由は技術的にはっきりしています。

1. 繋がっているから: 常時接続の外付けHDD、NASの共有フォルダ、同期型のクラウド——本体から「見える」場所にあるバックアップは、本体を暗号化できる攻撃者からも見えます。アクセスできる場所は、攻撃できる場所です。攻撃者は侵入後、まず「バックアップ」「backup」という名前のフォルダやサーバーを探すと言われます。守りの要は、向こうの攻撃リストの筆頭でもあるのです
2. 書き換えられるから: バックアップが「上書き可能」である限り、暗号化（＝悪意ある上書き）もできます。同期型クラウドは、暗号化されたファイルを「最新版」として律儀に同期してしまうことさえあります
3. 潜伏されるから: 侵入から発症までの潜伏期間があると、その間のバックアップにはすでに攻撃者の細工が含まれている可能性があります。直近のバックアップだけでは、汚染前に戻れないことがあるのです

さらに近年は「暗号化＋データの窃取・公開」の二重脅迫が主流化し、単純なバックアップ復旧だけでは済まない構図も広がっています。それでも——復旧手段を持たない組織が交渉のテーブルで圧倒的に弱いことは変わりません。砦は万能ではないが、砦のない交渉は存在しない。これが実務の現在地です。

この3つを裏返すと、砦の条件が見えてきます。繋がっていない・書き換えられない・世代が残っている。これを満たす保管が、オフライン保管です。

「3-2-1」から「3-2-1-1-0」へ — 現代版バックアップの合言葉

バックアップの基本形3-2-1（3つのコピー・2種類の媒体・1つは別の場所）は、ランサムウェア時代に拡張されました。3-2-1-1-0——追加された「1」が、オフラインまたは不変（書き換え不能）のコピーを1つ、「0」が復元テストでエラーゼロを確認です。

• オフライン（エアギャップ）: 物理的にネットワークから切り離された保管。使うときだけ接続する外付け媒体、取り出して保管庫に入れたテープやディスク
• 不変（イミュータブル）: 技術的に書き換え・削除ができない状態。クラウドの不変ストレージ設定などの高機能な選択肢もありますが、もっとも原始的で確実な不変が、追記型光ディスクです。一度焼いたら物理的に書き換えられない——設定ミスも権限奪取も、物理の前では無力です
• 復元テスト: 砦は「読める」ことを確認して初めて砦です。年1回の読み出し点検は、セキュリティ対策としても意味を持ちます

大事なのは、これが「全データを毎日オフラインに」という話ではないことです。確定した重要データの世代コピーが、切り離された場所に定期的に落ちている——この状態を作ることが目標で、頻度と範囲は組織の体力に合わせて設計できます。

なぜ光ディスクなのか — 「原始的」が武器になる場所

オフライン保管の器には、テープ・外付けHDD・光ディスクなどがあります。ランサムウェア文脈での光ディスクの位置づけを、正直に整理します。

• 強み① 物理的な不変性: 追記型（BD-R等）は原理的に上書き不能。「バックアップソフトの管理者権限を奪われたら消される」というオンライン系の弱点が、構造的に存在しません
• 強み② 完全なエアギャップ: 書き込みが終わってトレイから出た瞬間、ネットワークとの接点はゼロになります。接続の運用ミス（挿しっぱなしの外付けHDD）が起きにくい、「切り離しが自然な媒体」です
• 強み③ 誤消去・誤操作への免疫: 攻撃だけでなく、人為ミス（間違って消した・上書きした）にも同じ理屈で強い。家庭の思い出から研究データまで、この免疫の価値は共通です
• 弱み: 容量と手間: 1枚25〜100GB（BD-R）という容量は、テラバイト級の全社データには足りません。だから役割分担です——日常の大容量バックアップはオンライン系＋テープに、確定した基幹データ・年次アーカイブ・「会社の命」級のファイル群はディスクに。大容量の階層化の発想がここでも効きます

つまり光ディスクは「ランサムウェア対策の全部」ではなく、「最後の砦の、いちばん奥の金庫」。全滅シナリオを消す一点において、原始的であることがそのまま強さになります。

中小企業・団体の実装 — 「月次の儀式」で砦を築く

専任のセキュリティ担当がいない組織のための、現実的な実装です。

1. 守るものを選ぶ: 全データではなく、「これが消えたら事業が止まる」ものを特定します。会計データ、顧客台帳、品質記録、図面・竣工データ、基幹システムのエクスポート——たいてい全データの1〜2割です
2. 月次で焼く: 月末に確定データをBD-R正副2枚へ。書き込み後の照合、台帳記入、正副別保管（1枚は事務所の金庫、1枚は別拠点や経営者宅）——公文書の運用5点セットそのままです
3. 世代を残す: 直近だけ上書きせず、月次×12世代＋年次のように過去分を保持します。潜伏期間対策は「古い世代に戻れること」——ディスクは追記型なので、世代の保持が自然にできます
4. 復元訓練を年1回: ディスクから実際にファイルを開き、業務データとして使える形かを確認。BCP訓練の1項目に入れれば、防災とセキュリティの一石二鳥です
5. 手順書をA4一枚: 「毎月末、誰が、何を、どこへ」。担当者の異動に耐える三点セットの思想は、セキュリティの砦でも同じです。手順書自体も印刷して金庫へ1部——全端末が暗号化された朝、手順書がサーバーの中にしかなかった、という笑えない事態への保険です

月あたりの実働は1〜2時間、費用はディスク代だけ。サイバー保険や高度なセキュリティ製品と比べて、桁違いに安い「全滅回避」です。高度な対策の予算が下りない組織こそ、まずここから始めてください。

学校・園・自治体での実装 — 公共の現場の砦

企業と家庭の間にある、公共系の現場にも一言。狙われる理由（個人情報の塊・止められない業務・支払い圧力）が揃っているのが、この領域です。

• 学校・園: 名簿・成績・行事の記録が人質候補です。校務システムのバックアップ体制は設置者側の管轄でも、学校・園独自のデータ（行事映像・アルバム素材・同意書の記録）は現場に管理が委ねられがち——年度末の記録の確定と媒体化を年中行事にするだけで、この層の砦は立ちます
• 自治体・出先機関: 公文書の媒体保存と個人情報媒体の管理を整備済みの組織は、実はランサムウェア耐性の土台がすでにあります。確定文書のオフライン正副は、そのまま3-2-1-1-0の「1」です。セキュリティ文書と文書管理規程を別々に整備している場合は、両者が同じ砦を指していることを確認すると、重複投資が省けます
• 医療・福祉: 医療機関の二層設計で書いたとおり、診療データのオフライン層は診療継続の生命線。医療機関へのランサムウェア攻撃は診療停止に直結した事例が知られており、この業界の砦は人の安全の話です

公共系に共通するのは、「砦の予算」を新規に取るより、既存の記録管理・文書管理の仕組みに1行足すほうが早く実現することです。守るべき記録の台帳がある組織は、砦の半分をすでに持っています。

家庭での実装 — 家族の記録を人質に取らせない

ランサムウェアは企業だけの話ではありません。家庭のPCが感染すれば、家族の写真・動画が人質になります。そして家庭には身代金を払う体力も、専門家に頼む予算もないことが多い——家庭こそ、予防的な砦が全てです。

• 年1回の「確定分焼き込み」: 昨年分の写真・動画をディスク正副へ。年中行事化してしまえば、感染しても「失うのは今年の分だけ」に被害が限定されます。子どもの成長記録が年単位で確定していく家庭のデータは、実は年次アーカイブと相性が抜群なのです
• 外付けHDDは「挿しっぱなしにしない」: バックアップのときだけ接続し、終わったら外す。この一手間だけで、外付けHDDもエアギャップの仲間になります
• 同期クラウドの過信に注意: 同期型は「暗号化されたファイルも同期」し得ます。世代管理（ファイル履歴）機能の有無と期間を確認し、同期とバックアップは別物と覚えてください。同期は「今の状態を揃える」仕組み、バックアップは「昔の状態に戻れる」仕組み——似て非なるこの2つの混同が、家庭のデータ防衛の最大の穴です
• 感染してしまったら——身代金の支払いは推奨されません（復旧の保証がなく、次の標的リスト入りする懸念もあります）。公的な相談窓口や復号ツールの公開情報を確認しつつ、砦（オフラインの世代コピー）から再建するのが本線です

「何を焼くか」の設計 — 砦に入れるものリスト

月次の儀式の中身、つまり「砦に入れるべきデータ」の選び方を、業種横断で示します。

• 経営の継続に直結するもの: 会計データ（仕訳・元帳のエクスポート）、請求・支払いの記録、契約書のスキャン、保険・登記関係の書類データ
• 顧客との関係そのもの: 顧客台帳、取引履歴、個人情報を含むものは取り扱い区分も台帳に明記
• 再現不能な業務記録: 品質記録・検査データ、図面・竣工セット、工事映像、研究データ——各業種の「10年出せる」対象と、砦の中身はほぼ一致します
• システムの再建材料: 基幹システムの設定情報、ライセンス情報、マスターデータのエクスポート。「データはあるがシステムを組み直せない」も復旧を遅らせる要因です
• 入れなくていいもの: OSやソフトの本体（再インストールできます）、日々変わる作業中ファイル（オンライン系バックアップの守備範囲）、複製可能な公開資料

選定に迷ったら、こう問うてください——「明日の朝、このデータだけを持って事業を再開できるか」。答えがイエスになる最小セットが、砦の中身です。逆にそのセットに入らないデータの喪失は、痛くても致命傷ではありません。

「復元テスト」の実際 — 0（ゼロ）を確認する30分

3-2-1-1-0の最後の「0」——復元エラーゼロの確認——は、具体的には次の30分です。

1. 台帳から任意の月のディスクを1枚選ぶ（担当者に選ばせず、くじ引き的に）
2. 普段使わないPC（またはクリーンな環境）で読み出す——本番環境に古いデータを混ぜないためです
3. 会計データなら1ヶ月分を実際にソフトで開く、台帳ならファイルを開いて件数を確認、映像なら3点再生
4. 結果を台帳に記録（読めた/一部エラー/読めない）。エラーがあれば同世代の総点検と焼き直しへ

この30分が保証するのは、ディスクの健康だけではありません。「復元の手順を知っている人がいる」ことの確認でもあります。焼いた本人しか戻し方を知らない砦は、その人の異動と同時に絵に描いた餅になります。年1回、別の人に手順書だけ見てやってもらう——それが本当の復元テストです。

ケーススタディ — 砦が立っていた組織、いなかった組織

「先月のディスクから再建できた」小さな製造業。 基幹PCとNASが暗号化される被害に遭ったものの、月次で焼いていた会計・受注・品質記録のディスクが金庫に12世代。システムの再構築に数日を要したものの、データの身代金交渉はゼロで済みました。「あの月1時間の儀式が会社を救うとは」——砦は、使う日が来ないのが一番ですが、来た日には全てになります。後日談として、この会社は取引先への被害報告の場で「オフラインの世代バックアップから復旧済み」と説明でき、取引停止を免れました。砦は、データだけでなく信用も守ったのです。

バックアップが「全部繋がっていた」団体。 サーバー・外付けHDD・同期クラウドの三重バックアップを整えていたのに、全てが常時接続だったため一夜で全滅。三重の投資が、攻撃者から見れば「同じ部屋の三つの棚」だった例です。コピーの数ではなく、切り離されたコピーの数——3-2-1-1-0の「1」の意味を、最も痛い形で学ぶことになりました。

「戻れる世代」が明暗を分けた事務所。 感染発覚時、直近のバックアップにはすでに不審な変更が混ざっていましたが、3ヶ月前の月次ディスクはクリーン。失われた期間の再入力は骨でしたが、ゼロからの再建とは比較になりません。世代の深さは、潜伏期間への保険です。

よくある質問

Q. クラウドの「不変ストレージ」があれば、ディスクは不要では？
A. 不変ストレージは優れた選択肢で、使える組織はぜひ併用を。ただし設定の正しさ・アカウント権限・事業者依存という管理レイヤーが残ります。物理媒体の不変性は設定不要・権限不要——「間違えようがない」ことの価値は、専任者のいない組織ほど大きくなります。両方あれば、なお強い。

Q. どのくらいの頻度で焼くべきですか？
A. 「失っても許容できる期間」から逆算してください。月次なら最大1ヶ月分の作り直しを許容する設計です。会計・受発注など動きの速いデータは月次＋オンライン系の日次を併用、確定した記録は年次でも足ります。全部を同じ頻度にしないのが、続けるコツです。

Q. ディスクに焼くとき、暗号化すべきですか？
A. 個人情報を含む媒体なら盗難対策としての暗号化に意味がありますが、鍵の長期管理という新しい課題が生まれます。ランサムウェア対策の文脈では「書き換えられない」ことが本体なので、暗号化は保管場所の物理管理（施錠・分散）との比較で判断を。迷うなら、物理管理で守る方が運用は単純です。

Q. 個人事業主です。ここまでやる必要がありますか？
A. 規模を落として、ぜひ。①事業データを月1回ディスクへ、②正副の1枚を自宅以外（実家・貸金庫等）へ、③年1回開いて確認——これだけです。個人事業主は「システム部門＝あなた」なので、仕組みの単純さがそのまま継続率になります。研究室の最小構成と同じ発想です。

Q. ランサムウェア以外にも、この砦は効きますか？
A. 効きます。むしろそれがオフライン保管の本質です。ランサムウェア、誤消去、機器の故障、クラウドのアカウント喪失、災害——原因が何であれ、「ネットワークの外に、書き換えられない世代コピーがある」状態は、あらゆる全滅シナリオへの共通の答えになります。脅威は流行り廃りしますが、砦は普遍です。

Q. 経営層に予算と手間の承認を取る説明のコツは？
A. 「セキュリティ投資」ではなく「事業継続の保険」として、金額の比較で語るのが通ります。①想定被害（事業停止1週間の売上＋再建費用＋信用毀損）、②砦の費用（ディスク代年間数千円＋月1時間の人件費）、③保険料率としての異常な安さ。加えて「取引先からのセキュリティ調査票に『オフラインバックアップあり』と書ける」という営業面の実益も——品質記録の体制と同じで、対策は取引条件になりつつあります。

Q. NASにもバックアップ機能があります。それでは駄目なのですか？
A. NASのバックアップ（別のNASやクラウドへの自動複製）は日常の故障対策として優秀ですが、ネットワーク上にある限りランサムウェアの射程内です。実際、NASを標的にする攻撃も知られています。NASは「2」（媒体の多様性）の一員として活かしつつ、「1」（オフライン）は別途——NASの外に、月次の1枚です。

Q. 感染に気づかず、汚染されたデータを焼いてしまったら？
A. だからこそ世代を残します。単一の「最新バックアップ」ではなく月次×12世代あれば、汚染前のどこかに戻れる可能性が高い。また、焼く前のウイルススキャンを儀式に含めれば、砦に汚染を持ち込むリスク自体を下げられます。完璧な1枚より、深い世代——この記事で三度目ですが、それだけ大事な原則です。

---

ランサムウェア対策の記事は、恐怖を煽って終わりがちです。この記事は逆で終わります——砦は、驚くほど簡単に築けます。月に1時間、確定データをディスクに焼いて、金庫と別拠点に置く。それだけで、あなたの組織と家族の記録は「全滅しない側」に移ります。攻撃者が奪えるのは、繋がっていて、書き換えられるものだけ。繋がっていない1枚は、どんな攻撃者よりも強いのです。

関連記事

• 企業のBCPとオフライン保管 — 事業継続の全体設計
• クラウドとディスクの併用 — 3-2-1の基本形から
• 公文書管理と光ディスク — 媒体運用5点セットの詳細
• 個人情報を含む媒体の取り扱い — 砦の中身の管理規律
• ディスクの正しい保管方法 — 砦そのものを長生きさせる