ランサムウェアに備えたクラウドのバックアップの分け方

ランサムウェアに備えたクラウドのバックアップは、「本番の環境と管理者が乗っ取られても、バックアップは消されない」ように分けておくことが要になります。具体的には、管理するアカウントを分け、決めた期間は消せない保管庫に置き、消す操作には別の担当の承認をはさみます。

バックアップの全体の設計（何を、どのくらいの頻度で、何世代残すか）は、バックアップと復旧の設計。何を、どこに、どのくらい残すかで説明しています。この記事では、クラウドならではの分け方に絞ります。

なぜ、クラウドのバックアップも狙われるのですか

ランサムウェアの攻撃では、復旧を妨げるために、バックアップも探して暗号化したり消したりする手口が多く見られます。警察庁の報告でも、ネットワークの中を探ってバックアップを物色することや、バックアップも一緒に暗号化される場合が多いことが挙げられています。

出典：令和7年におけるサイバー空間をめぐる脅威の情勢等について（警察庁、2026年3月）

クラウドでは、バックアップの取得も削除も、管理の画面や API から操作できます。本番のシステムとバックアップを同じアカウントで、同じ管理者が扱っていると、その管理者の認証情報を奪われた時点で、本番とバックアップの両方を消される心配があります。建物を分けるのと同じように、クラウドでは「誰が消せるか」を分けることが大切です。

分け方1：管理するアカウントを分ける

1つ目の分け方は、バックアップを、本番とは別のアカウント（Azure ではサブスクリプションやテナント、Google Cloud ではプロジェクト）で管理することです。本番の管理者の権限では、バックアップ側に手が届かないようにします。

AWS Backup の論理的にエアギャップされた保管庫（logically air-gapped vault）は、通常の保管庫より強い保護を加え、ほかのアカウントと共有して、そのアカウントから戻すこともできると説明されています。本番のアカウントが使えなくなったときに、別のアカウントから戻せる形にしておけます。

出典：Logically air-gapped vault（AWS）

アカウントの分け方の全体は、アカウントの分け方。本番・検証・開発を分ける設計で説明しています。

分け方2：決めた期間は消せない保管庫に置く

2つ目の分け方は、決めた期間は誰も消したり書き換えたりできない保管庫（書き換えられないバックアップ）を使うことです。管理者の権限を奪われても、期間が過ぎるまではバックアップが残ります。2026年11月時点で、3つのクラウドの公式の説明は次のとおりです。

出典：AWS Backup Vault Lock（AWS）

出典：Immutable vault for Azure Backup（Microsoft Learn）

出典：Backup vaults（Google Cloud）

取り消せない設定には、注意点もあります。AWS は、保持の期間を「ずっと」にした復旧点は、猶予の期間が過ぎると永久に残り、変えることも消すこともできないと注意しています。費用がかかり続けるため、保持の期間は業務と法令が求める期間を踏まえて決め、まず解除できる段階で試してから固定します。Microsoft も、影響を確かめてからロックするよう勧めています。

分け方3：消す操作に、別の担当の承認をはさむ

3つ目の分け方は、バックアップを消す、保護を外すといった大事な操作に、別の担当の承認をはさむことです。1人の管理者の認証情報だけでは、大事な操作ができないようにします。

Azure Backup の複数ユーザーによる承認（MUA）は、Resource Guard という別の資源を使い、その持ち主を、バックアップの管理者とは別の人にします。バックアップの管理者が大事な操作をするときは、セキュリティの管理者が一時的に権限を与え、終わったら取り上げます。Microsoft は、Resource Guard を別のサブスクリプションやテナントに置くとより強く守れるとしています。一方で、MUA が守るのは保管庫のバックアップへの操作だけで、元のシステムに直接行う操作は対象外とも説明しています。

出典：Multi-user authorization using Resource Guard（Microsoft Learn）

承認の仕組みを使わない場合も、バックアップを扱う管理者のアカウントをふだんのアカウントと分け、多要素認証をかけます。管理者のアカウントの守り方は、管理者アカウントの守り方。多要素認証と緊急用のアカウントで説明しています。

別のアカウントから戻せるかを確かめる

分けたバックアップは、本番のアカウントが使えない前提で、別のアカウントから戻せるかを訓練で確かめます。分けたことで、戻す手順や権限が複雑になり、いざというときに戻せないことがあるためです。

訓練では、次の点を確かめます。

• 本番の管理者の権限を使わずに、バックアップを戻せるか
• 戻した先で、システムが動くか。鍵や設定の情報も一緒に戻せるか
• 戻すまでにかかった時間が、決めた復旧の目標に収まるか
• 戻す前に、バックアップの中身が感染していないかを確かめる手順があるか

復旧の目標の決め方と訓練の進め方は、復旧の目標（RTO・RPO）の決め方と、復旧の訓練で説明しています。被害を受けたときの初めの動き方は、ランサムウェアの被害に遭ったときの初動にまとめています。

当社のご支援

アメリア・テクノロジーのクラウドの構築と運用管理では、バックアップのアカウントの分け方、書き換えられない保管庫の設定、保持の期間の決め方、別のアカウントから戻す訓練をお手伝いしています。取り消せない設定は、影響を確かめる段階を設けてから進めます。被害を想定した対策や手順書づくりは、セキュリティ診断と対策のチームと連携します。まずは無料のクラウドの自己診断で、いまのバックアップの状態を確かめることもできます。