quick-test

ゼロトラストセキュリティとは？従来型との比較・すべきことを解説

アークサーブマーケティング編集部 — Thu, 06 Jul 2023 04:00:00 GMT

2023.07.06
セキュリティ

ゼロトラストセキュリティとは？従来型との比較・すべきことを解説

ゼロトラストセキュリティとは、ゼロトラストという「社内も社外もすべてを信頼しない」という考え方をベースにした、新しいセキュリティの概念です。

クラウドサービスの利用やテレワークでの働き方が増えてきた現代では、従来のような「社内は安全」と見なす境界型セキュリティでは守り切れないケースが増えてきました。

例えば、今までのセキュリティは一度境界が突破されてしまうと、社内ネットワークに致命的なダメージを受けてしまうデメリットがありました。

これからの時代は、「社内であっても信用できない」「何も信頼しない」をベースに、アクセスの度に信頼性・安全性を検証する方式が望ましいといわれています。

この記事では、ゼロトラストセキュリティについて従来型との比較を通して解説した後、どのようにゼロトラストを実装していくのか、どんなソリューションがあるかなど、さまざまな情報をお伝えします。

「最近ゼロトラストセキュリティって良く聞くけど、実際何かわかっていない」という方は、ぜひこの記事を最後までお読みいただき、その意味やメリット、デメリットを確認してみてください。

目次 [表示]

執筆者アークサーブマーケティング編集部

ユーザー視点でデータ保護関連でお役に立つ情報を編集・発信していきます。運営に関するお問い合わせ、取材依頼などはお問い合わせページからお願い致します。

執筆者情報はこちら

1. ゼロトラストセキュリティとは

まずは「ゼロトラストセキュリティ」とは何か、正しく理解していきましょう。

1-1. ゼロトラストセキュリティとは

ゼロトラストセキュリティとは、「全てを信用しない」という前提でセキュリティ対策を行うという考え方のことです。

単に「ゼロトラスト」と呼ばれることや、「ゼロトラストモデル」といわれることもあります。

ゼロトラストの概念自体は新しいものでもなく、2010年に米国のガートナーリサーチ社が提唱したものです。そこから発展し、ゼロトラストを実現させるためのSASEなどの考え方が生まれています。

1-2. ゼロトラストは「全てを信用しない」という考え方

今までのセキュリティの考え方は、外は危険だから社内と社外の間に「境界」を設けて、外からウイルスなどが入ってこないようにセキュリティ対策を行うというものでした。境界型もしくは境界防御といわれています。

境界を突破されなければ社内は安全、というこのモデルは、ユーザーや端末のほとんどが社内ネットワーク内にいるような環境では有効です。

しかしながら、社内ネットワークだけでなくクラウドサービスの利用が増え、テレワークの普及によりユーザーや端末が各所に分散したことにより、対応が困難になってきています。

そこで、「社内も社外も全てを信用しない」という考え方のゼロトラストセキュリティが注目を浴びています。

1-3. 従来型セキュリティとゼロトラストの違い

従来型セキュリティとゼロトラストの違いを比較表にまとめると、以下のようになります。

【従来型のセキュリティとゼロトラストの違い】

	従来型セキュリティ（境界型セキュリティ）	ゼロトラスト（全てを信用しない）
考え方	内側は安全・外側は危険だから内側を守り、外側から脅威が入ってこないようにする	外も内も全て危険だから全てに対してセキュリティ対策を行う
安全な場所	内側（会社内やVPN内）	安全な場所は無い
危険な場所	外側（会社の外）	社内を含む全てが危険
守るべき場所	内側（会社内やVPN内）だけに保護すべきデータやシステムが存在	内側だけでなく外側にも保護すべきデータやシステムが存在
対策例	ファイアウォールやセキュリティ機器を設置して外側からの脅威を防御	何らかのリクエストを発行するごとにその都度安全性を確認するなど（詳細は後述）
有効な環境	端末もユーザーも社内ネットワークにいるような環境では有効	クラウドサービスの利用やテレワーク勤務が多い環境で有効

「社内ネットワークの内側は安全」「外から脅威が入ってこないようにする」という従来型セキュリティに対して、ゼロトラストは「安全な場所は無い」「社内も社外もどこに脅威があるか分からない」という立場に立っている考え方となります。

2. 今ゼロトラストセキュリティが必要とされる理由

昨今、ゼロトラスト型のセキュリティが必要とされている理由について解説します。

2-1. クラウドサービス利用拡大により社外に保護すべきデータがある状況が増えたから

従来のオンプレミス型では、社内にいる社員が社内で業務を行うのが通常でした。保護すべきデータやシステムも会社の内側に存在していました。

しかし、クラウドサービスが普及した現在では、社内に限らず「外側」にも保護すべきものがある状況が増えています。

社内だけでなく社外にも守るべきものがある状況では、社内だけを守る「境界型セキュリティ」ではなくゼロトラスト型のセキュリティが必要です。

2-2. テレワーク増加により社内ネットワークの外で働く社員が増えたから

従来では、全ての従業員が会社のオフィスに出社し、社内ネットワークを通じて業務を行うのが一般的でした。このスタイルならば、従来型の境界型セキュリティで「社外からの脅威」を防御すれば問題ありませんでした。

しかしながら、テレワーク勤務の増加により、安全な社内ネットワークの外側で働く社員が増えたことにより、社内を守るだけではセキュリティが不十分となります。

社員はいろいろな場所から業務を行うため、エンドポイント (端末) ごとに対策が必要となっています。

2-3. VPN（仮想プライベートネットワーク）では限界があるから

ゼロトラストが必要とされる背景には、VPNの限界という側面もあります。

テレワークが増える中、多くの企業は「VPN（仮想プライベートネットワーク）」を用意することで、社外からのアクセスに対応してきました。

しかし、VPNは、一度認証されたユーザーに対して内部ネットワーク全体へのアクセスを許可してしまうため、脅威の拡散を引き起こす危険性があります。つまり、ひとたびセキュリティを突破されてしまうと、全てのリソースが危険にさらされる可能性があるのです。

一方ゼロトラストは、全てのリソースにアクセスする前に都度安全かどうかを確認するため、セキュリティが突破された場合も被害を最小限に抑えることができます。

また、VPNは大量のアクセスに対応していないケースが多く、急に大人数の社員が同時にアクセスすることでパフォーマンスの低下やシステムダウンが相次いで報告されました。

このようにVPNでは限界があるため、ゼロトラスト型のセキュリティへの注目が高まっています。

3. どうすればゼロトラストセキュリティを実現できるのか

ここまで解説してきたゼロトラストセキュリティの概要や従来型との違いは、まだ「概念レベル」の話に留まっています。

ここからは、一体どのような要素があればゼロトラストを実現できるのかを具体的に解説していきます。

3-1. NISTによる「ゼロトラストにおける7つの基本原則」

NIST（米国立標準技術研究所）が2020年8月に公開した「Special Publication（SP）800-207 ゼロトラスト・アーキテクチャ」の中で、ゼロトラストを実現させる上での理想的な考え方が示されています。

NISTから翻訳の許可を受けてPwCコンサルティング合同会社が日本語訳を公開しているので、その一部を抜粋して以下に掲載します。

NISTによる「ゼロトラストにおける7つの基本原則」

①すべてのデータソースとコンピューティングサービスはリソースと見なす
②ネットワークの場所に関係なく、全ての通信を保護する
③企業リソースへのアクセスは、セッション単位で付与する
④リソースへのアクセスは、クライアントID、アプリケーション、要求する資産の状態、その他の行動属性や環境属性を含めた動的なポリシーによって決定する
⑤企業は、全ての資産の整合性とセキュリティ動作を監視し、測定する
⑥全てのリソースの認証と許可は動的に行われ、アクセスが許可される前に厳格に実施する
⑦企業は、資産やネットワークインフラストラクチャ、通信の状態について可能な限り多くの情報を収集し、それをセキュリティ対策の改善に利用する

引用：PwCコンサルティング合同会社／NIST SP800-207 「ゼロトラスト・アーキテクチャ」の解説と日本語訳

これを見ても分かる通り、ゼロトラストは、従来型の「境界だけ対策すればいい」という単純なものではなく、いろいろな側面から対策が必要となります。

3-2. ゼロトラストセキュリティを実現するために必要な7つの構成要素

NISTの基本原則を踏まえた上で、7つの構成要素ごとに、ゼロトラストセキュリティを実現するための必要要件と方法についてまとめました。

【ゼロトラストセキュリティを実現するための7つの構成要素】

対策する要素	必要となる要件・実現する方法
ネットワーク	・社内ネットワークは安全という考え方を撤廃する・社内・社外を問わず、端末ごとに承認を実施する・未許可の端末はアクセスを拒否する
デバイス	・社員が利用する機器を、EDRや資産管理ツールなどで管理する・管理しているデバイスに限定してアクセスを許可する・デバイスのセキュリティを常に高いレベルに維持する
データ	・社内におけるセキュリティ教育を行い、機密情報や内部情報の扱いについての認識を高める・外部ツールを活用して、機密情報や内部情報の監視・保護、外的要因の情報漏洩を防止する
アイデンティティ	・アクセス時のログインIDとパスワードを定期的に変える・業務に応じて、最低限のアクセス権のみ付与する・認証後も、継続して認証を行うなど
ワークロード	組織が把握していないクラウドサービスなどを従業員が利用した場合に自動検知を行うことで、思わぬ脅威の侵入を防ぐ・全てのシステムを監視する・把握していないIaaSやPaaSを従業員が利用した場合に検知する・従業員および情報システム管理者に通知・警告を出す
可視化と分析	セキュリティの状態を可視化して分析・対応を行う・24時間365日体制でネットワークやデバイスを監視する・攻撃を受けた場合は、状況を把握して分析・対応を行う・SOCなどの外部委託サービスを利用する
自動化	ワークフローやプロセスの自動化を行う・脅威を検知した場合に、早急にデバイスの隔離、脅威の排除、修復のアクションを自動で実行する

ゼロトラストを実現する要素は多岐にわたるため、それぞれのソリューションを組み合わせて実現していく必要があります。

4. ゼロトラストを実現するソリューション

昨今では、ゼロトラストの必要性が高まり、ゼロトラスを実現するためのソリューションも増えてきています。

IPA（独立行政法人情報処理推進機構）の資料「ゼロトラストのすゝめ」では、これらのソリューションを5つに分類して紹介しています。IPAの分類にしたがって、それぞれのソリューションを紹介していきます。

【ゼロトラストを実現するためのソリューション】

分類	ソリューション例
ID統制	IDaaS（Identity as a Service）
デバイス統制・保護	MDM（モバイルデバイス管理） EPP（Endpoint Protection Platform） EDR（Endpoint Detection and Response）
ネットワークセキュリティ	IAP（アイデンティティ認識型プロキシ） SWG（セキュアWebゲートウェイ）／CASB（Cloud Access Security Broker） ZTNA/SDP
データ漏洩防止	DLP（Data Loss Prevention） IRM（Information Rights Management）
ログの収集・分析	SIEM（Security Information and Event Management）

参考：IPA「ゼロトラスト移行のすゝめ」

4-1. ID統制（ID管理・一元化など）

社内外でいくつものクラウドサービスなどを利用する現代では、それぞれのID・パスワードなどログイン情報の管理がとても大切です。

IPAの資料でも、ゼロトラストの概念を実装化するにあたって、このID管理が最も重要と提言されています。

【ID統制に関連するソリューション例】

ソリューション	内容
IDaaS（Identity as a Service）	ID・パスワードの一元管理、シングルサインオン、アクセス制御などをクラウド経由で管理するサービスのこと

外部ソリューション以外にも、IDやパスワードを定期的に変更したり、必要以上に認証を付与しないようにしたりという企業内での対策が必要となります。

4-2. デバイス統制・保護（端末の管理や監視など）

従来型の境界型では社内ネットワークの中だけを守っていれば良かったのですが、ゼロトラストではエンドポイント（端末）ごとでのセキュリティ対策が必要です。

そのためのソリューションには以下のようなものがあります。

【デバイス統制・保護に関連するソリューション例】

ソリューション	内容
MDM（モバイルデバイス管理）	デバイスの機能制限・紛失時の対応など組織で利用するモバイル端末（スマートフォンやタブレットなど）を一言管理・運用できるサービスのこと
EPP（Endpoint Protection Platform）	マルウェア感染の防止マルウェアやランサムウェアなどの脅威を防御し、PCやサーバーなどの端末のマルウェア感染を守る仕組みのこと
EDR（Endpoint Detection and Response）	エンドポイントの監視・検知・通知エンドポイント（端末）を監視し、不審な挙動を検知すると即時に通知してくれるセキュリティシステムのこと。脅威に早期対応し、被害を最小限に抑えることが期待できる。

なお、こうしたソリューション以外にも、デバイスを持ち出す場合のルールを社内で徹底するなどの対策も合わせて行いましょう。

4-3. ネットワークセキュリティ

社内ネットワークの内側だけを守るのではなく、社内にも社外にも脅威があると想定したネットワークセキュリティを導入する必要があります。

ゼロトラストを実現するネットワーク・セキュリティに関連するソリューションは以下です。

【ネットワークセキュリティに関連するソリューション例】

ソリューション	内容
IAP（アイデンティティ認識型プロキシ）	アプリケーション単位での認証・接続ユーザーがアプリケーションにアクセスするたびに、IDaaSなどと連携して認証するプロキシのこと
SWG（セキュアWebゲートウェイ）／CASB（Cloud Access Security Broker）	危険なサイトやコンテンツなどへのアクセスを遮断URLフィルタやアプリケーションフィルタ、サンドボックスなどの機能を、クラウド型で提供するサービスのこと
ZTNA/SDP	ゼロトラスト型のリモートアクセス従来のVPNに代わって、ゼロトラスト型の安全なリモートアクセスを実現するサービスのこと

4-4. データ漏洩防止

ゼロトラストでは、データの持ち出しを防ぐだけでなく、万が一持ち出されたとしてもデータを閲覧させないといった対策が必要となります。

こうしたデータ漏洩防止や不正な取り扱い防止を実現するソリューションには以下のようなものがあります。

【データ漏洩防止に関連するソリューション例】

ソリューション	内容
DLP（Data Loss Prevention）	機密データなどの特定・監視・保護機密情報や重要データの持ち出しの可能性を検知し、アラート通知を送信したり、操作をブロックしたりする機能
IRM（Information Rights Management）	データの暗号化・管理・利用制限・操作履歴の記録文書ファイルを暗号化し、閲覧や編集のための権限を管理し、操作履歴を管理する技術

こうしたソリューションの導入以外にも、業務上扱うデータの取り扱いについて社内でルールを作成して徹底させるなどの対策も行いましょう。

4-5. ログの収集・分析（全てのリソースの可視化や監視）

ゼロトラストでは「全てを信用しない」を前提としているため、できる限り、全ての資産やネットワーク、通信の状態についてログを収集し、分析する必要があります。

ログの収集・分析を実現するためのソリューションには以下のようなものがあります。

【ログの収集・分析を実現するためのソリューション】

ソリューション	内容
SIEM（Security Information and Event Management）	あらゆるIT機器のログを収集・可視化ネットワーク製品やセキュリティ製品を含むIT機器のログを一元管理して解析し、脅威を検知するソリューションのこと

このログの収集・分析は、ゼロトラストを実現するソリューションの中でも最終段階に取り入れるべきものです。

優先度は低いですが、真のゼロトラストを実現するためには大切なソリューションとなります。

5. ゼロトラストソリューションの理想の導入順序

4章で解説したゼロトラストを実現するためのソリューションは、段階的に導入していくのが理想です。

参考までに、IPAは、以下の順序で実装することを推奨しています。

出典：IPA「ゼロトラスト移行のすゝめ」

まずは「ID統制」でIDやパスワードの管理を行い、次に「デバイス統制」を行います。

次に、組織の課題によって「エンドポイント保護」「オンプレミス環境へのリモートアクセス」、「Webセキュリティ・シャドーIT対策」「データ漏洩防止」を実装します。

そして最後に「ログの収集・分析」で、できるだけ多くのリソースを監視・分析していくのが理想です。

ただし、実際にどの順序でソリューションを実装するのか、そしてどのソリューションを選択するかは、会社の状況や課題によって異なります。

中長期的な視点から、会社に必要なセキュリティ対策は何かを話し合い、自社にあったソリューションを導入していきましょう。

6. ゼロトラストを導入するメリット

5章までで、ゼロトラストとはどういうものか、そしてどのように実装していくか概要を把握できたはずです。

ここからは、ゼロトラストを導入するメリットについて解説していきます。

6-1. セキュリティレベルが大幅に向上する

社内ネットワークの外側だけを対象にしていた従来型のセキュリティと比べて、ゼロトラスト型は全方位を対策するため、セキュリティレベルは格段に向上します。

ゼロトラストを実現するためには、5章で解説した多くの要素を組み合わせて対策を行います。そのため、セキュリティレベルは従来型と比べてかなり高いものになります。

また、「ログの収集・分析」まで実現できれば、広範囲の端末やネットワークを常に監視できるため、脅威を早期発見し、スピーディーに対応でき、被害を最小限に抑えることができます。

6-2. クラウドサービスを安心して利用できる

オンプレミス環境のシステムでは社外の脅威を防御すれば良かったものの、クラウドサービスでは境界が曖昧となり、セキュリティ対策が困難でした。

ゼロトラスト型のセキュリティは、そもそも境界を設けずに、全てのエンドポイントでセキュリティ対策を講じるため、クラウドサービスを安心して利用できます。

6-3. 社内でも社外でもどこからでも安心して利用できる

社内のみを保護する従来型のセキュリティと違い、ゼロトラスト型セキュリティでは、社内も社外も問わずにセキュリティ対策が可能です。

そのため、「社内だから安心」ではなく「社内でも社外でも、許可された端末からなら安心して利用できる」状況を作り出すことが可能です。

テレワークやリモートワーク、サテライトオフィスなどさまざまな場所からも安心して利用できるメリットがあります。

6-4. セキュリティ管理を効率化できる

ゼロトラストを実装する中で、ID統制（ID・パスワードの一元管理など）を実現できれば、セキュリティ管理を効率化できるメリットもあります。

ユーザーが個人で管理している場合、「パスワードを忘れてしまった」「他の担当者に聞かないとパスワードが分からない」などで業務が滞る可能性があります。そうした無駄を省き、本来の業務に集中することができるでしょう。

6-5. 新しいサービスの活用やさまざまな働き方に対応できる

ゼロトラスト型セキュリティを実現することで、安心して新しいサービスを積極的に活用でき、テレワークなどのさまざまな働き方に対応できます。

そのことにより、結果的に、スピーディーで革新的なアイデアが生まれやすくなったり、社内外でコラボレーションが加速したり、新しい価値の創造が生まれやすくなります。

ゼロトラストは、DXの時代にマッチした新しいセキュリティの形ということができるでしょう。

7. ゼロトラストのデメリット・課題

従来型のセキュリティと比べて良いことだらけのゼロトラストですが、デメリットや課題ももちろん存在します。

それぞれ詳しく解説していきます。

7-1. ゼロトラスト実現にはかなりのコストがかかる

ゼロトラストを実現するための最も大きな課題といえば、導入するためにかなりのコストがかかるということです。

4章で解説した通り、真にゼロトラストを実現するためには、ID統制やデバイス統制、ネットワークセキュリティなどさまざまなソリューションを組み合わせて導入していく必要があります。

全てを導入するとなると相当のコストがかかるため、これがゼロトラスト実装の大きなデメリットとなるでしょう。

7-2. どこから何を実装すれば良いか決めるのが難しい

5章で解説しましたが、ゼロトラストを実現するために「何をどの順番で実装していくのか」は、企業や環境によって異なります。

まずは企業において重視するポイントを決めて、それに合ったソリューションを決定する必要があります。

場合によってはコンサルタントなどの力を借りて、自社に合ったソリューションや導入順序を決めていきましょう。

8. セキュリティに完璧はないためデータ保護対策もしておこう

ゼロトラストは、従来型のセキュリティに代わり、これからの時代のスタンダードとなっていく考え方です。

そのため、ゼロトラストを実現するさまざまなソリューションを自社に合わせた形で導入するとともに、「全てを信用しない」という認識を社内に浸透させることが必要となります。

とはいっても、ゼロトラストを完全実装するにはかなりのコストがかかることもあり、大企業でも実装できている割合は1%未満というデータもあります。

参考：ITmedia NEWS／“ゼロトラスト”関心あっても実現に苦慮　米Gartner「完全実装は大企業でも1％未満」攻撃手口の変化もたらす面も

また、「ゼロトラストにしたから安心」と考えるのは早計であり、ゼロトラストでも防げない攻撃が今後出現する可能性があります。

セキュリティに完璧はないため、万が一のデータ保護に備えてしっかりと準備しておく必要があるでしょう。

当社アークサーブでは、SaaS 環境のデータ保護対策として、M365に関するデータ保護を学べるセミナーを開催しています。多様化するセキュリティ攻撃に備えてデータ保護体制を整えたい企業担当者様はぜひご参加ください。

M365 オンデマンド・セミナー登録ページ

9. まとめ

本記事では「ゼロトラストセキュリティ」について解説してきました。最後に、要点を簡単にまとめておきます。

▼ゼロトラストセキュリティとは

・「全てを信用しない」という前提でセキュリティ対策を行うという考え方
・従来型は「社内ネットワークの内側は安全」「外から脅威が入ってこないようにする」
・ゼロトラストは「安全な場所は無い」「社内も社外もどこに脅威があるか分からない」という考え方

今ゼロトラストセキュリティが必要とされる理由

・クラウドサービス利用拡大により社外に保護すべきデータがある状況が増えたから
・テレワーク増加により社内ネットワークの外で働く社員が増えたから
・VPN（仮想プライベートネットワーク）では限界があるから

ゼロトラストを実現するソリューション

・IDaaS（Identity as a Service”）
・MDM（モバイルデバイス管理）
・EPP（Endpoint Protection Platform）
・EDR（Endpoint Detection and Response）
・IAP（アイデンティティ認識型プロキシ）
・SWG（セキュアWebゲートウェイ）／CASB（Cloud Access Security Broker）
・ZTNA/SDP・DLP（Data Loss Prevention）
・IRM（Information Rights Management）
・SIEM（Security Information and Event Management）

ゼロトラストを導入するメリット

・セキュリティレベルが大幅に向上する
・クラウドサービスを安心して利用できる
・社内でも社外でもどこからでも安心して利用できる
・セキュリティ管理を効率化できる
・新しいサービスの活用やさまざまな働き方に対応できる

ゼロトラストのデメリット・課題

・ゼロトラストを実現するためにはかなりのコストがかかる
・どこから何を実装すれば良いか決めるのが難しい

ゼロトラストは、クラウドサービスやリモートワークが当たり前になってきたデジタル時代に合う「新しいセキュリティの形」といえます。

しかしながら、セキュリティに完璧はないため、万が一のデータ保護もしっかりしておくべきです。

時代に合わせてセキュリティレベルを上げていくこと、そしてデータの保護にも備えておくこと、この両輪をしっかり回して、安心して業務に取り組める体制を作っていきましょう。

磐石なバックアップ実現の為に知っておきたいクラウドストレージに関する”誤解”とは

アークサーブマーケティング編集部 — Wed, 21 Apr 2021 04:00:00 GMT

2021.04.21
バックアップ

磐石なバックアップ実現の為に知っておきたいクラウドストレージに関する”誤解”とは

・Dropbox ・One Drive ・Googleドライブ等々
普段の仕事や日常生活でこれらのいわゆる「クラウドストレージ」を使っているという人は2021年現在、非常に多いのではないでしょうか？

多くの人はクラウドストレージを利用する主要な目的の１つにバックアップを挙げます。外資系バックアップベンダーに勤める筆者が、今日あなたに１つだけお伝えしたいこと。

それは「クラウドストレージ」ではなく、「クラウドバックアップ」の方が圧倒的におすすめかつ安全度が高いという点です。詳細は後述しますが、多くの人がクラウドストレージに同期しておけば安全なバックアップをできていると勘違いしがちで、クラウドストレージのみへのバックアップは以下の様なリスクを孕んでいます。

クラウドストレージへのなんちゃってバックアップに潜む４つのリスク

① 他のユーザがファイル更新や削除をしてしまうリスクがある
② 同期機能で、クラウド上のファイルも削除されるリスクがある
③ 他のユーザがファイルを上書きしてしまうリスクがある
④ ランサムウェアに感染してしまうリスクがある

実際、テレワークの急速な普及によって企業レベルでも、
クラウドストレージへのファイル・データ配置＝バックアップと勘違いしているケースも多く見られ、それは少し違うという話も仕事柄よく耳にします。。。

そこで本日は、わかりやすく「クラウドストレージ」と「クラウドバックアップ」の違いを解説し、その上で安全かつおすすめなクラウドバックアップの形をご紹介していきます。

この記事を参考にあなたや会社の重要なデータをしっかりと保護するアクションのきっかけになれれば幸いです。

詳細は後述しますが、多くの人がクラウドストレージに同期しておけば安全なバックアップをできていると勘違いしがちで、クラウドストレージのみへのファイル保管は以下の様なリスクを孕んでいます。

気が付かないうちに、ファイル削除やファイル更新されて重要なファイルがなくなってしまったり、ランサムウェアに感染して、ファイルやフォルダが暗号化されてしまい、データにアクセスできなくなってしまうリスクが孕んでいます。

目次 [表示]

執筆者アークサーブマーケティング編集部

執筆者情報はこちら

1．クラウドストレージだけでは十分なバックアップはとれていない

まず結論からいうと、dropboxやonedriveのようなクラウドストレージにデータを格納したり、ローカル環境との同期を行ってバックアップは十分と認識している人が多いですがこれはバックアップという観点では非常に危険かつ不十分だと考えます。

主に２つのパターンで使われているのではないでしょうか？

ファイル単位やフォルダ単位でも、単体でクラウド上にファイルを上げておくことで、一応バックアップしたことになるかもしれません。もしくは、同期機能を使って、ローカル側とクラウド上のファイルやフォルダが常に最新の状態に保っておくことで、バックアップされているということかもしれません。

ただ、データ保護の観点からすると、この状態では十分なデータ保護対策になっていません。

1.1 クラウドストレージへのなんちゃってバックアップに潜む４つのリスク

クラウドストレージには同期機能があるので、ローカル側で何か問題があった場合でもクラウド上にデータがあるので安心と思ってしまいませんか？実は、いくつか注意点があります。

クラウドストレージの「同期」機能は便利ですが、ファイル削除の危険性も含まれています。また、ランサムウェアなどのマルウェアに感染したファイルを同期してしまうリスクも潜んでいます。

他のユーザがファイル更新や削除をしてしまうリスクがある

例えば、フォルダを共有している他の人が、アプリからうっかり「ローカルにあるフォルダへファイルを移動させる」つもりで、クラウドから削除してしまう可能性もあります。

同期機能で、クラウド上のファイルも削除されるリスクがある

ローカル側でファイルを削除した場合、クラウド上でも同期され、ファイルも削除されてしまうとい可能性もあります。（勿論、サービスによっては、削除したファイルも復元できる可能性があります。30日以内など期限が決まっている可能性もあるので、サービスごとに確認する必要があります）

他のユーザがファイルを上書きしてしまうリスクがある

既存のファイルを他のユーザが、うっかり上書きしてしまう可能性もあります。（上書きに関しても、サービスによってはバージョン管理を行っているので、復元することは可能です）

上記の危険性を理解して、使用しているストレージは削除したデータを復元できるのか、どのように復元できるのか、バージョン管理は何代まで保存されているのかなどを確認しておく必要があります。

ランサムウェアに感染してしまうリスクがある

ランサムウェアに代表されるマルウェアが仕込まれているファイルが同期されて、感染するリスクなどもあります。
以下、英国の記事によると、

「最近、重要なデータをバックアップしたファイルが、ランサムウェア感染する事件が数多く見られました。感染した際、すべてのバックアップはオンラインで繋がった状態でした。つまり、バックアップも被害者の残りのデータと一緒に暗号化されていました」

上記のようなインシデントが多く見受けられた結果、英国の国立サイバーセキュリティセンター（NCSC）は、ランサムウェア攻撃を軽減するための鍵は、企業が重要なファイルの最新のバックアップを確実に入手できるようにすることです。バックアップがネットワークから分離されていること（オフライン）、またはこの目的のために設計されたクラウドサービス内にあることを確認する必要があります。ただ、クラウド同期サービス（Dropbox、OneDrive と SharePoint または Googleドライブなど）を唯一のバックアップとして使用しないようにアドバイスしています。ファイルが「ランサムウェア」になった直後に自動的に同期され、その時点で同期されたコピーが自動的に同期される場合に備えて警告しました。

＊ソース: Ransomware victims thought their backups were safe. They were wrong

2 クラウドストレージとクラウドバックアップの違いとは

クラウドストレージとクラウドバックアップでは、そもそも開発された際の目的が違っています。

本来、クラウドストレージはバックアップを考慮して開発されたものではなく、ファイル共有や共同作業に主眼をおいたコラボレーション機能のほうがメインになるかと思います。
一方、クラウド上でのバックアップに特化しているサービスがクラウドバックアップです。

クラウドストレージは業務効率化

クラウドストレージは、複数のユーザが、いつでも、どこからでも複数のデバイスで特定のファイルにアクセスして、情報共有することで生産性を向上させるコラボレーション部分を中心に開発されています。昔のように、共有フォルダを介して社内だけでファイルのやり取りをしている時代に比べると、コラボレーションできるレベルが上がっていることは間違いないですね。

クラウドバックアップは万一の際のデータ保管場所

クラウドバックアップの場合は、もしもの際のデータ保管場所としてクラウド上に保管するために開発されました。従来では物理環境や仮想環境でのバックアップが主流でしたが、クラウド移行が進むにつれて、クラウド環境でのバックアップもかなり拡充してきています。

従来の延長線上で、オンプレミスや物理環境とクラウドとの組合せで利用するケースだけではなく、クラウド間でのデータ保管場所としてのケースもあります。

ざっくり纏めましたが、違いは理解できたかと思います。
この目的の違いを認識したうえで、使い分けで活用するとよいでしょう。

3 クラウドバックアップの5つのメリット

データを保護する観点から、クラウドバックアップを活用することをお勧めします。
クラウドバックアップを活用することと、主に５のメリットがあります。

3-1 データ損失のリスク排除

データ損失には多くの要因があります。それは、自然災害（洪水や火災など）、物理的なデバイスの損傷、盗難や紛失、そして人為的ミスの結果として発生する可能性があります。クラウドバックアップを利用すると、潜在的な災害からより早く、または発生する前に回復することができます。これにより、これらのビジネスの脅威が大混乱を引き起こすのを防ぎます。

例えば、どのような業種や業態であっても、会社のサーバが水没する可能性のある場所にある場合は、検討する価値は十分にあると思います。例えば、アークサーブのお客様「osewaya」様は、東日本大震災がきっかけで、災害復旧対策の一環として、クラウドバックアップを導入したお客様の事例があります。

3-2 コスト削減と拡張性

クラウドバックアップは、物理的なインフラが不要になるので、コスト効率を重視する場合にメリットがあります。

ハードウェア保守やサーバのメンテナンスにかかる費用が少なくすみ、規模や範囲を拡大したい場合の選択肢も広がります。

高価な機器を購入して保守し、専門家を雇って設計および保守するのではなく、信頼できるクラウドバックアッププロバイダーを使用してデータを保存およびバックアップするので、データはクラウドに安全に保存され、専門家によって監視されます。アップグレードするだけで、無制限のストレージレベルを拡張できます。

3-3 必要なときにデータを回復・復元

クラウドバックアップを使用すると、安全なオンラインポータルからバックアップファイルを簡単に見つけて、1つ、複数、またはすべてを簡単に復元できます。元のデバイス、修復されたデバイス、または新しいデバイスに数回クリックするだけでファイルを保存できます。

過去のファイルバージョン履歴を提供するクラウドバックアッププロバイダーでバックアップすることで、企業は、偶発的なエラーや削除などを元に戻したり、回復したりするために、任意の時点からデータを回復することもできます。

3-4 バックアップの自動化

人的エラーやスキップされたバックアップを除外することで、ビジネスのデータバックアップが常に完全で、信頼性が高く、最新の状態に保つことができます。

自動で継続的なバックアップで、変更や新しいファイルが作成および変更されたファイルのみがバックアップされてストレージの使用量を有効に活用できます。

また、バックアップレポートを監視して通知する仕組みを提供しているので、バックアップが成功したことが通知され、潜在的なエラーが発生した場合には警告が表示されます。

3-5 マルウェア対策

多くの企業は、手遅れになって被害が発生するまでマルウェアに感染していることに気づいていません。特に、ランサムウェアは感染したら重要なデータが暗号化されアクセスできなくなってしまうためダメージのリスクは大きいです。

30日間前のファイルバージョン履歴の保持を提供するクラウドサービスでも、ウイルスが30日間の回復期間外に検出された場合は、感染前のデータを復元できない可能性があります。

クラウドバックアップを利用することで、万が一の事態でも業務を滞りなく進める可能性が高まります。個人単位で使用感を確かめた後に、利用者の範囲を徐々に広げていく形が一番失敗の恐れが少ないでしょう。「万が一」はいつ起こるかわからないものです。早めにクラウドバックアップを取り入れて安心して業務に取組める体制を準備しましょう。

Tips これを押さえれば何とかなる!? データ保護の基礎知識「3-2-1ルール」

「3-2-1ルール」とは、データのバックアップを取る際の理想的な方法のひとつとされる考え方です。「データはコピーして3つ持つ」（オリジナルデータ以外にバックアップコピーを２つ取るという意味）、「2種類の（種類の異なる）メディアでバックアップを保存する」、「バックアップのうち1つは違う場所で保管する」という3要素からなります。

従来、最後の１、つまり「バックアップのうち１つは違う場所で保管する」は、テープバックアップを意図していたことが多かったですが、最近では、クラウドバックアップを選択する企業も増えてきました。クラウド普及に伴って、サービス自体が安価になったこと、逆にクラウドのほうが災害時等では安心という発想も、後押ししているようです。

あなたの会社のデータ保護を盤石なものにするためにも「3-2-1ルール」を活用することをお勧めします。

4 クラウドバックアップ導入時に考慮しておきたい5つの視点

クラウドベースのバックアップとリカバリするための、専門家による5つの視点を適用して、クラウドバックアップを導入することで、あなたの会社のデータ保護対策はより強固になるでしょう。

4-1 復旧目標を知る

障害が発生した際、いつの時点に遡ってデータ復旧すればいいのかを理解しておく必要があります。

この復旧目標を設定することが、効果的なクラウドバックアップ戦略をたてるにはとても重要です。

以下の2つの指標は、バックアップを行うための決定軸となるので、とても重要な目標値です。

また、障害イベント後のダウンタイムを削減するために実行する必要のあるアクションを定義するのにも役立ちます。

組織で何かをする前に、次の２つの指標を決定しましょう。

RTO (目標回復時間) – システムやサービスが止まった場合（ダウンタイム）、どれだけ早く復旧させればいいかの目安です。

RPO (復旧目標ポイント) – 過去のどのポイントのまで復旧すればいいかの目安です。復旧するのは、障害発生時の15分前なのか、1時間前、それとも１日なのか。

RPOは、バックアップを取る頻度を決定するのに役立つので、最後のバックアップから障害が発生した時点までの間に失われるデータを最小限に抑えることができます。

4-2 クラウドによる遠隔地バックアップ検討

保存場所と保存方法によっては、バックアップのコピーを作成することをお勧めします。

例えば、1台のサーバーのバックアップを、同じ場所にある別ストレージデバイスにバックアップしたとしても、オフィスが浸水したら、どちらもダメになります。

でも、クラウドへバックアップすれば、物理的な場所から離れて、データを安全に保管できます。

前述の3-2-1ルールを参考に、バックアップをローカルに保存し、冗長性を確保するためにオフサイトに複製します。次に、それらのコピーをクラウドにも複製する必要があるかどうかを検討します。クラウドプロバイダーには独自対策をとっている場合が多いですが、100％確実ではありません。可能性に賭けず、ローカルにバックアップし、クラウドに複製し、絶対に確実にするためには重要なデータをミラーリングすることも検討してください。

4-3 データ損失と障害などでのシステム停止の時間（ダウンタイム）の両方を考慮する

何が起こってもデータが安全であることを保証することは重要です。同時に、企業のシステムがダウンすると損失に繋がります。

例えば、請求書のデータが失われたとして、バックアップから復元するまでにどの程度時間がかかり、請求処理を通常通りになるのにどの程度の時間を要するかなどです。

データは安全である必要がありますが、アクセス可能である必要もあります。どのように復元するのか、どのイベントから回復する必要があるのかを慎重に検討してください。
自然災害はハードウェア障害とは大きく異なる問題ですが、両方を考慮したアプローチが必要です。

クラウドバックアップが、どんな復元ができるのか検討も必要です。
クラウドバックアッププロバイダーを調査するときは、クラウドからバックアップをダウンロードしてから物理ハードウェアに復元するのにかかる時間を評価します。

データの損失を防ぐだけでなく、クラウドがダウンタイム（障害などでシステムが停止している時間）の防止にどのように役立つかを検討してください。

4-4 システムとデータカテゴリについて検討する

効果的なクラウドバックアップ戦略には、さまざまなタイプのデータとシステムに対するアプローチの検討が含まれています。

以下、主要な３つの確認項目をご紹介します

■最も重要データはどれか？
重要なデータなので2番目のクラウドサイトにミラーリングが必要かもしれません。

■アーカイブする必要のあるデータの有無？
頻繁に必要になる可能性が低い場合は、アーカイブストレージに保存することをお勧めします。アーカイブストレージは、多くの場合安価です。

■稼働し続ける必要のあるシステムがあるか？
ビジネスニーズに基づいて、システムごとにダウンタイムに対する許容度が異なります。最初に復元する必要のあるデータだけでなく、復元中にどのシステムが優先されるかを検討してください。そうすれば、どのシステムでも確実に稼働することができるでしょう。

4-5 クラウドバックアップ利用を検討する際の質問項目

使用するサービスで十分かどうかを事前に検討するために、基本的な１０の質問項目を用意しました。

実際は、業種、規模などで、要件も様々ですが、質問項目を参考にして、自分達のニーズに適したベンダーを選定するキッカケになるでしょう。

現在利用しているバックアップソリューションと統合管理や連携できるのか？

アーカイブ、ミラーリング、その他のオプションを提供していますか？

オフィスが利用できなくなった場合、クラウドから直接復旧できますか？

管理や操作性は簡単ですか？リモートで実行できますか？日本語化は？マニュアル等は？

バックアップはどのくらい効率的に転送および同期されますか？ネットワーク以外にデータ転送サービス等、データをより速くバックアップできるオプションはありますか？

GSuiteやMicrosoft 365などのクラウドベースのアプリケーションで作成されたデータをバックアップおよび回復する方法はありますか？

データを回復できるというベンダーからの保証はありますか？

システムまたはネットワークをフェイルオーバー（自動切替・予備システムへ切替）できますか？他社の介入なしに自動的に切替になりますか？

サポート体制などの稼働時間の確認

サポートスタッフは、利用者側で障害が発生した際にサポート可能な十分なバックアップとリカバリの知識がありますか？

まとめ

クラウドストレージでは十分なバックアップがとれない理由、クラウドストレージとクラウドバックアップの違いを理解していただけたと思います。クラウドバックアップを活用する５つのメリットを知っていただき、導入時に考慮したほうがよい５つの視点を活用して、より安全で安心なデータ保護対策に活用していただければ幸いです。

2021年の現時点、ほとんどの企業は、ローカルストレージとクラウドを組み合わせて使用しています。

ユーザがデータを作成または保存する場所に関係なく、データがバックアップされ、必要なときにアクセスできるようにするために、クラウドバックアップを活用することをお勧めします。