変更できないバックアップ（イミュータブルバックアップ）

ランサムウェアの攻撃では、データを暗号化するだけでなく、復旧の手段を断つためにバックアップも消そうとすることがあります。管理者の権限を奪われると、通常のバックアップは消されてしまいます。変更できないバックアップは、保存期間が終わるまで削除や書き換えを受け付けない形（WORM：一度だけ書き込み、何度でも読める）で保存し、この手口に備えます。

クラウドの事業者は、このための機能を用意しています。AWS Backup の Vault Lock のコンプライアンスモードでは、猶予の期間が過ぎると、ルートユーザーを含め誰も、AWS自身も、ロックを外したり保存期間の前に削除したりできないとされています。Azure Backup の変更できないコンテナー（イミュータブル資格情報コンテナー）も、ロックすると元に戻せません。Amazon S3 の Object Lock のように、保存先のストレージで同じことをする機能もあります。

いったんロックすると戻せないため、保存期間を長くしすぎると、その間の保存の費用を払い続けることになります。ロックの前に、保存期間と費用を確かめます。あわせて、バックアップを本番とは別のアカウントに置く、管理者のアカウントを多要素認証で守る、実際に戻せるかを定期的に試す、といった対策と組み合わせます。