ランサムウェア対策としてのバックアップ不変性(WORM/不変ストレージ)導入要点

ランサムウェア攻撃が高度化し、バックアップデータそのものが暗号化・削除されるリスクが増大。従来のバックアップ運用に加え、一定期間は削除・上書きできない「不変ストレージ」の導入が急務となっています。

原因と落とし穴

OS上のゴミ箱やソフトウェア的な保護だけでは、特権管理者権限を奪取された場合にバックアップごと消去されるリスクがあります。また、不変期間(リテンション)を長く設定しすぎると、意図しないバックアップの失敗時に容量が逼迫しても手動で消去できず、ストレージが溢れる落とし穴があります(特に、後述のコンプライアンスモードでは期間を短くすることもできません)。

もうひとつの落とし穴が、不変化の「モード」です。たとえばS3 Object Lockには2つのモードがあり、守れる範囲が違います。

コンプライアンスモード: 保持期間中は、AWSアカウントのrootユーザーを含めて誰も削除・上書きできず、期間を短くすることもできません。

ガバナンスモード: 通常のユーザーは削除できませんが、特別な権限(s3:BypassGovernanceRetention)を持つユーザーは、期間中でも削除や設定の変更ができます。その権限を持つ管理者アカウントを奪われると、バックアップを消される余地が残ります。

切り分け・対処手順

不変機能の有効化: バックアップソフト側で「不変ストレージ」オプションを有効にし、ストレージ側のWORM(Write Once Read Many)タイマーと同期させます。

モードの選択: 「管理者権限を奪われても消されない」ことを求めるならコンプライアンスモード、運用の柔軟性を残したいならガバナンスモードを選び、ガバナンスモードの場合は削除を許可する権限を持つアカウントを最小限に絞ります。

接続プロトコルの限定: バックアップサーバーからストレージへのアクセスをS3 Object Lock APIや専用プロトコルに限定し、SMB/NFS共有を無効化します。

容量監視とテスト: 不変期間内はデータを消せない(コンプライアンスモードでは誰も消せない)ことを前提に、バックアップスケジュールとストレージ残容量の厳密なサイジングを行い、リストアテストを実施します。

まとめ

不変ストレージは、コンプライアンスモードで使えば「管理者でも消せない」という強力な保護を提供する反面、運用の柔軟性が低下します。どのモードで守るかと、容量管理・不変期間のバランス設計がランサムウェア対策の要です。

(2026-10-03追記: AWSのドキュメント「Locking objects with Object Lock」に合わせて、コンプライアンスモードとガバナンスモードで削除できる範囲が違う点を追記・修正しました)

機器の仕様（書き込み保護の機能や保持期間）は、製品ごとに必ず公式の資料で確認してください。探すための検索ページを置いておきます（PR）。
▶ Amazonで「NAS」を探す
▶ Amazonで「NAS用HDD」を探す
Amazonのアソシエイトとして、当サイトは適格販売により収入を得ています。

■ この記事に関連するテンプレート

バックアップの不変化のように「管理者権限を奪われても守れるか」を考える作業は、特権アカウントの管理や非常時の手順づくりとセットになります。M365のセキュリティ方針（特権アカウント管理・非常時アクセス手順を含む）をNotionにまとめるためのテンプレートを作りました。
まずは無料版で、使い方が合うかを確かめてみてください。

▶ 無料版（情シス向けNotionテンプレート3種）を見る
▶ 中小企業向けセキュリティベースライン設計キット（¥2,980）