--- title: "ランサムウェアに備えたクラウドのバックアップの分け方｜アメリア・テクノロジー株式会社" url: https://www.ameliatechnology.co.jp/blog/ransomware-cloud-backup/ description: "クラウドのバックアップは、本番と同じ管理者のままだと一緒に消されるおそれがあります。管理の分離、消せない保管庫、別の担当の承認という3つの分け方と、戻す訓練を説明します。" updated: 2026-11-14 publisher: "アメリア・テクノロジー株式会社" --- # ランサムウェアに備えたクラウドのバックアップの分け方 クラウドのバックアップは、本番と同じ管理者のままだと一緒に消されるおそれがあります。管理の分離、消せない保管庫、別の担当の承認という3つの分け方と、戻す訓練を説明します。 2026.11.14 [クラウドと運用](https://www.ameliatechnology.co.jp/blog/category/cloud/) 執筆 [石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/)（グループCTO） クラウドと運用（CLOUD & OPERATIONS）のコラム ## この記事の要点 - ランサムウェアの攻撃ではバックアップも狙われるため、クラウドでは本番の管理者が乗っ取られてもバックアップが消されない分け方にします。 - 3つのクラウドとも、決めた期間は誰も消せない保管庫の仕組みを用意していますが、取り消せない設定や、ずっと残る費用に注意が要ります。 - バックアップを消すような大事な操作に別の担当の承認をはさみ、別のアカウントから戻せるかを訓練で確かめます。 ランサムウェアに備えたクラウドのバックアップは、「本番の環境と管理者が乗っ取られても、バックアップは消されない」ように分けておくことが要になります。具体的には、管理するアカウントを分け、決めた期間は消せない保管庫に置き、消す操作には別の担当の承認をはさみます。 バックアップの全体の設計（何を、どのくらいの頻度で、何世代残すか）は、[バックアップと復旧の設計。何を、どこに、どのくらい残すか](https://www.ameliatechnology.co.jp/blog/backup-recovery-design/)で説明しています。この記事では、クラウドならではの分け方に絞ります。 ## なぜ、クラウドのバックアップも狙われるのですか [ランサムウェア](https://www.ameliatechnology.co.jp/glossary/ransomware/)の攻撃では、復旧を妨げるために、バックアップも探して暗号化したり消したりする手口が多く見られます。警察庁の報告でも、ネットワークの中を探ってバックアップを物色することや、バックアップも一緒に暗号化される場合が多いことが挙げられています。 出典：[令和7年におけるサイバー空間をめぐる脅威の情勢等について（警察庁、2026年3月）](https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf) クラウドでは、バックアップの取得も削除も、管理の画面や API から操作できます。本番のシステムとバックアップを同じアカウントで、同じ管理者が扱っていると、その管理者の認証情報を奪われた時点で、本番とバックアップの両方を消される心配があります。建物を分けるのと同じように、クラウドでは「誰が消せるか」を分けることが大切です。 ## 分け方1：管理するアカウントを分ける 1つ目の分け方は、バックアップを、本番とは別のアカウント（Azure ではサブスクリプションやテナント、Google Cloud ではプロジェクト）で管理することです。本番の管理者の権限では、バックアップ側に手が届かないようにします。 AWS Backup の論理的にエアギャップされた保管庫（logically air-gapped vault）は、通常の保管庫より強い保護を加え、ほかのアカウントと共有して、そのアカウントから戻すこともできると説明されています。本番のアカウントが使えなくなったときに、別のアカウントから戻せる形にしておけます。 出典：[Logically air-gapped vault（AWS）](https://docs.aws.amazon.com/aws-backup/latest/devguide/logicallyairgappedvault.html) アカウントの分け方の全体は、[アカウントの分け方。本番・検証・開発を分ける設計](https://www.ameliatechnology.co.jp/blog/cloud-account-structure/)で説明しています。 ## 分け方2：決めた期間は消せない保管庫に置く 2つ目の分け方は、決めた期間は誰も消したり書き換えたりできない保管庫（[書き換えられないバックアップ](https://www.ameliatechnology.co.jp/glossary/immutable-backup/)）を使うことです。管理者の権限を奪われても、期間が過ぎるまではバックアップが残ります。2026年11月時点で、3つのクラウドの公式の説明は次のとおりです。 | クラウド | 仕組み | 公式の説明の要点 | |---|---|---| | AWS | AWS Backup Vault Lock | ガバナンスモードは十分な権限があれば解除できる。コンプライアンスモードは、猶予の期間（最短3日）が過ぎると、ルートユーザーを含めて誰も、AWS も、変更・削除できない | | Microsoft Azure | immutable vault（変更できない保管庫） | 復旧点を失うような操作を止める。「有効」の段階は解除できるが、「有効かつロック」にすると取り消せない | | Google Cloud | Backup and DR のバックアップ保管庫 | 決めた最短の保持期間が過ぎるまで、利用者もほかの人も Google も消せない。保持期間をロックすると、プロジェクトのオーナーでも短くできない | 出典：[AWS Backup Vault Lock（AWS）](https://docs.aws.amazon.com/aws-backup/latest/devguide/vault-lock.html) 出典：[Immutable vault for Azure Backup（Microsoft Learn）](https://learn.microsoft.com/en-us/azure/backup/backup-azure-immutable-vault-concept) 出典：[Backup vaults（Google Cloud）](https://docs.cloud.google.com/backup-disaster-recovery/docs/concepts/backup-vault) 取り消せない設定には、注意点もあります。AWS は、保持の期間を「ずっと」にした復旧点は、猶予の期間が過ぎると永久に残り、変えることも消すこともできないと注意しています。費用がかかり続けるため、保持の期間は業務と法令が求める期間を踏まえて決め、まず解除できる段階で試してから固定します。Microsoft も、影響を確かめてからロックするよう勧めています。 取り消せない保管庫は、試してから固定する - **解除できる段階で試す**：AWS はガバナンスモード、Azure は「有効」の段階 - **影響を確かめる**：保持の期間を、業務と法令が求める期間を踏まえて決める - **固定する**：AWS はコンプライアンスモード、Azure は「有効かつロック」。**固定した後は取り消せない** 保持の期間を「ずっと」にした復旧点は永久に残り、費用がかかり続けます ## 分け方3：消す操作に、別の担当の承認をはさむ 3つ目の分け方は、バックアップを消す、保護を外すといった大事な操作に、別の担当の承認をはさむことです。1人の管理者の認証情報だけでは、大事な操作ができないようにします。 Azure Backup の複数ユーザーによる承認（MUA）は、Resource Guard という別の資源を使い、その持ち主を、バックアップの管理者とは別の人にします。バックアップの管理者が大事な操作をするときは、セキュリティの管理者が一時的に権限を与え、終わったら取り上げます。Microsoft は、Resource Guard を別のサブスクリプションやテナントに置くとより強く守れるとしています。一方で、MUA が守るのは保管庫のバックアップへの操作だけで、元のシステムに直接行う操作は対象外とも説明しています。 出典：[Multi-user authorization using Resource Guard（Microsoft Learn）](https://learn.microsoft.com/en-us/azure/backup/multi-user-authorization-concept) 承認の仕組みを使わない場合も、バックアップを扱う管理者のアカウントをふだんのアカウントと分け、[多要素認証](https://www.ameliatechnology.co.jp/glossary/mfa/)をかけます。管理者のアカウントの守り方は、[管理者アカウントの守り方。多要素認証と緊急用のアカウント](https://www.ameliatechnology.co.jp/blog/protecting-admin-accounts/)で説明しています。 ## 別のアカウントから戻せるかを確かめる 分けたバックアップは、本番のアカウントが使えない前提で、別のアカウントから戻せるかを訓練で確かめます。分けたことで、戻す手順や権限が複雑になり、いざというときに戻せないことがあるためです。 訓練では、次の点を確かめます。 - 本番の管理者の権限を使わずに、バックアップを戻せるか - 戻した先で、システムが動くか。鍵や設定の情報も一緒に戻せるか - 戻すまでにかかった時間が、決めた復旧の目標に収まるか - 戻す前に、バックアップの中身が感染していないかを確かめる手順があるか 復旧の目標の決め方と訓練の進め方は、[復旧の目標（RTO・RPO）の決め方と、復旧の訓練](https://www.ameliatechnology.co.jp/blog/rto-rpo-and-recovery-drills/)で説明しています。被害を受けたときの初めの動き方は、[ランサムウェアの被害に遭ったときの初動](https://www.ameliatechnology.co.jp/blog/ransomware-first-response/)にまとめています。 ## 当社のご支援 アメリア・テクノロジーの[クラウドの構築と運用管理](https://www.ameliatechnology.co.jp/service/cloud/)では、バックアップのアカウントの分け方、書き換えられない保管庫の設定、保持の期間の決め方、別のアカウントから戻す訓練をお手伝いしています。取り消せない設定は、影響を確かめる段階を設けてから進めます。被害を想定した対策や手順書づくりは、[セキュリティ診断と対策](https://www.ameliatechnology.co.jp/service/security/)のチームと連携します。まずは無料の[クラウドの自己診断](https://www.ameliatechnology.co.jp/diagnosis/cloud/)で、いまのバックアップの状態を確かめることもできます。 - ランサムウェア - バックアップ - クラウド - 復旧 ## この記事に出てくる用語 - [ランサムウェア](https://www.ameliatechnology.co.jp/glossary/ransomware/) - [クラウド](https://www.ameliatechnology.co.jp/glossary/cloud/) - [バックアップ](https://www.ameliatechnology.co.jp/glossary/backup/) - [暗号化](https://www.ameliatechnology.co.jp/glossary/encryption/) - [API](https://www.ameliatechnology.co.jp/glossary/api/) - [Microsoft Azure](https://www.ameliatechnology.co.jp/glossary/azure/) - [Google Cloud](https://www.ameliatechnology.co.jp/glossary/google-cloud/) - [AWS（Amazon Web Services）](https://www.ameliatechnology.co.jp/glossary/aws/) この記事を書いた人 [石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/) グループCTO インターネットの黎明期から、ホスティング事業の立ち上げや、インフラ・セキュリティのプロジェクトに携わってきました。現在は、AWS・Azure へのクラウド移行の支援と、業務アプリケーションの要件定義から実装までを担っています。 このコラムは一般的な情報の提供を目的としたもので、個別の状況への助言ではありません。製品・サービスの名前と内容は、記事の更新日の時点のものです。 ## あわせて読みたい - [Windowsサーバーと Active Directory を Azure へ移すときの考え方](https://www.ameliatechnology.co.jp/blog/windows-ad-to-azure/) - [Google Cloud を選ぶ場面。データ分析と Google Workspace とのつながり](https://www.ameliatechnology.co.jp/blog/when-to-choose-google-cloud/) - [Well-Architected の柱で、いまの構成を確かめる](https://www.ameliatechnology.co.jp/blog/well-architected-review/) [クラウドと運用のコラムを見る](https://www.ameliatechnology.co.jp/blog/category/cloud/) [コラムの一覧に戻る](https://www.ameliatechnology.co.jp/blog/) ## 次の一歩 ### クラウドの構築と運用を任せる AWS・Microsoft Azure・Google Cloud の設計・構築・移行から、監視・運用・セキュリティまでを一つのチームで受け持ちます。監視は仕組みで24時間365日自動に回し、原因の調査と再発の防止は当社が担います。 [クラウドの構築と運用管理を見る](https://www.ameliatechnology.co.jp/service/cloud/) ### クラウドの状態を、無料で確かめる 15の設問に答えると、構成と管理・権限・守り・障害への備え・費用と体制の5つの分野の点数と、最初に取り組むことをまとめたレポートをその場でお届けします。 [クラウドの自己診断（無料）を受ける](https://www.ameliatechnology.co.jp/diagnosis/cloud/) ## ご関心に合わせて、お選びください。 [情報を集めている方へ会社案内、AI開発の例、セキュリティ診断の報告書の見本をお送りします。資料をダウンロード](https://www.ameliatechnology.co.jp/download/)[課題が見えている方へオンラインで30分、お話をうかがいます。費用はかかりません。無料で相談する](https://www.ameliatechnology.co.jp/contact/)[進め方を決めたい方へ2〜4週間で、優先順位と計画をまとめるAI活用の診断です。診断について見る](https://www.ameliatechnology.co.jp/pricing/#diagnosis) --- 出典：アメリア・テクノロジー株式会社「ランサムウェアに備えたクラウドのバックアップの分け方｜アメリア・テクノロジー株式会社」 https://www.ameliatechnology.co.jp/blog/ransomware-cloud-backup/