要点
コールドストレージは保存場所の名称であり、それだけでランサムウェア対策やバックアップにはなりません。
必要なのは、通常系と異なる権限・経路・媒体へデータを複製し、 書込み後に切り離し、改変されていないことを確認し、 実際に復元できることを定期的に試す運用です。
サイバー攻撃時には止める判断が必要です。 その後に業務を戻すためには、侵害されていないデータと、 そのデータを安全に読み出せる電源、機器、認証、手順が残っていなければなりません。
Cold Storage / Archive Tier / Recovery Copy
1. コールドストレージとは何か
コールドストレージとは、日常的には参照しないデータを、 即時性よりも長期保管、容量、保全性を重視して保存する階層です。 テープ、取り外し可能な媒体、独立したNAS、オブジェクトストレージのアーカイブ階層など、 実装方法は一つではありません。
重要なのは、コールドストレージが「低頻度アクセス」を表す言葉であり、 必ずしもオフラインや改変不能を意味しないことです。 常時ネットワークへ接続され、同じ管理者権限で削除できるなら、 保存先がコールド階層でも通常系と同じ障害へ巻き込まれる可能性があります。
コールドストレージの価値は、「保存費用が安いこと」ではなく、 通常系が使えないときにも安全なデータを残せるよう設計できることです。
Cold / Offline / Immutable / Air Gap / Cold Wallet
2. 目的によって異なる用語を混同しない
| 用語 | 主な意味 | 注意点 |
|---|---|---|
| コールドストレージ | 低頻度データの保管階層 | オンライン接続や削除可能な構成もある。 |
| オフラインバックアップ | 通常系から切り離した復元用複製 | 接続する時間と再切断手順を管理する。 |
| イミュータブル保管 | 一定期間、変更や削除を制限する保管 | 管理権限、保持設定、別系統の監査が必要。 |
| エアギャップ | 通常ネットワークから到達できない分離 | 媒体搬送や一時接続が新たな経路になる。 |
| コールドウォレット | 秘密鍵をオンライン環境から隔離する仕組み | 企業データのアーカイブとは保護対象が異なる。 |
一つの製品ですべてを満たす必要はありません。 日常復旧用、長期保管用、侵害時の最終復旧用に役割を分け、 異なる権限、媒体、拠点、電源を組み合わせることが重要です。
Common Control Plane / Shared Credential / SPOF
3. 同じ管理系統にある複製は、同時に失われる
本番データとバックアップの保存先が別であっても、 同じ管理者ID、同じ認証基盤、同じネットワーク、同じ運用会社、同じ電源へ依存していれば、 そこに共通の単一障害点が残ります。
論理的な共通依存
- 同じ管理者アカウント
- 同じ認証・ディレクトリ基盤
- 同じバックアップ管理サーバー
- 同じクラウド管理画面
物理的な共通依存
- 同じ建物・同じラック
- 同じ分電盤・同じUPS
- 同じ通信回線
- 同じ担当者と復旧手順
情報システムの可用性を電源とSPOFから整理した 『情報システムの可用性は電源で止まる｜ISMS・SPOF対策になぜ無瞬断の可搬型UPSが必要なのか 』 と同様に、データ保全も保存容量だけでは成立しません。 依存関係をたどり、同じ原因で本番と復元用データが同時に失われないかを確認します。
Write / Disconnect / Verify / Preserve / Restore
4. 書く・切る・確かめる・保管する・戻す
01
書く
対象データ、設定、台帳、認証情報を定めた媒体へ複製する。
02
切る
完了後に通常ネットワークと管理経路から切り離す。
03
確かめる
ハッシュ、件数、世代、ログ、媒体状態を確認する。
04
保管する
別権限、別拠点、別媒体で所在と取扱責任を管理する。
05
戻す
隔離環境で復元し、安全確認後に業務へ段階的に戻す。
バックアップ処理が成功したというログだけでは、業務再開を保証できません。
復元先、認証、アプリケーション、依存データを含めて動かせたとき、初めて復旧可能な複製になります。
Containment / Isolation / Clean Recovery Point
5. サイバー攻撃時の遮断とコールドストレージ
サイバー攻撃の疑いを認知した場合、被害拡大を防ぐためにネットワークやシステムを遮断します。 しかし、遮断によって本番環境へアクセスできなくなれば、業務も停止します。
この初動は、 『疑いを認知したら、1時間以内に止めて報告する』 で整理したとおり、確定を待たずに止め、報告し、証跡を保全するためのものです。 コールドストレージは、その遮断後に安全確認できるデータを残す役割を持ちます。
ただし、侵害の可能性がある時点のデータをそのまま復元すれば、 不正な設定、侵害済みアカウント、改変ファイルを再投入するおそれがあります。 復元は時刻だけでなく、感染前と判断できる世代、構成、認証情報を選び、 隔離環境で検証してから行います。
コールドストレージは「すぐ戻すための箱」ではありません。 侵害されていない再開点を選び、安全を確かめて戻すための保全層です。
攻撃後に何を止め、何を残し、どの順序で戻すかという全体設計は、 『防御の限界――防げなかった後で何をするかーサイバー攻撃が示した物流停止と事業継続 と併せて確認してください。
Power Integrity / Controlled Shutdown / Independent Recovery
6. データ保全に残る電源SPOF
サイバー対策ではネットワーク分離が注目されますが、 バックアップの書込み、検証、媒体排出、ログ保全、隔離環境での復元は、すべて電源を必要とします。
電源断で失われる作業
- 書込み中のバックアップ処理
- ハッシュ・整合性検証
- ファイルシステムの正常終了
- ログと証跡の保存
- 隔離環境での復元試験
電源設計で確認すること
- 切替時に対象機器が停止しないか
- 安全停止までの保持時間があるか
- 復元機器と通信機器を同時に動かせるか
- 停電中に容量を追加できるか
- 復電後の再投入順序が決まっているか
可搬型UPSはサイバー攻撃そのものを防ぐ装置ではありません。 しかし、通常系から切り離した機器を安定して動かし、 保存、検証、安全停止、復元を完了するための独立電源として機能します。
データの複製を分離しても、復元に使う電源が一系統なら、電源が新たなSPOFになります。
Business Priority / RPO / RTO / Minimum Data Set
7. 何を保存するかを、業務から決める
すべてのデータを同じ頻度、同じ媒体、同じ保存期間で保管すると、 容量と運用負担が増え、重要なデータが埋もれます。 先に決めるべきなのは、障害時にどの業務から再開するかです。
| 区分 | 例 | 確認すること |
|---|---|---|
| 業務再開に必須 | 顧客、商品、在庫、受注、権限、設定 | 最新許容時点、復元順序、依存関係 |
| 証拠・説明に必須 | ログ、監査記録、契約、承認履歴 | 改変防止、時刻、保管責任、閲覧権限 |
| 長期保存 | 会計、設計、品質、法定保存資料 | 保存期間、媒体寿命、読出し環境 |
| 再生成可能 | 一時ファイル、キャッシュ、中間生成物 | 保存対象から外せるか、再生成時間 |
RPOはどの時点まで戻れる必要があるか、RTOはどの時間までに業務を再開するかを決める指標です。 ただし、数値だけでなく、再開に必要な最小データセットと復元順序まで定義します。
Normal Operation / Incident / Recovery
8. 平時と有事の運用シーケンス
平時
- 対象データと世代を選定する。
- 別権限・別経路の保存先へ複製する。
- 件数、ハッシュ、ログを確認する。
- 保存先を通常系から切り離す。
- 所在、担当者、鍵、保存期限を台帳化する。
- 隔離環境で復元試験を行う。
インシデント発生後
- 本番環境と外部接続を遮断する。
- 証跡を保全し、侵害範囲を確認する。
- 安全な世代と復元対象を選定する。
- 独立電源を含む隔離環境で復元する。
- 認証、設定、データ、アプリを検証する。
- 重要業務から段階的に再接続する。
有事に初めて媒体を探し、鍵を確認し、復元方法を調べるのでは遅すぎます。 平時の復元試験が、そのまま有事の再開手順になります。
Design Review / Audit / Recovery Readiness
9. 設計・監査チェックリスト
データと権限
- 保存対象と除外対象が定義されているか。
- 本番環境と異なる認証・管理権限か。
- 削除、保持期間変更、鍵利用の承認者が分かれているか。
- 侵害前の世代を選べるか。
媒体と拠点
- 本番設備と同じ建物・ラックだけに置いていないか。
- 媒体寿命と読出し装置の維持計画があるか。
- 搬送、持出し、返却の記録が残るか。
- 災害時にも保管場所へ到達できるか。
電源と機器
- 書込みと検証を完了できる保持時間があるか。
- 復元用機器、通信、表示装置を動かせるか。
- 安全停止と再投入の順序が決まっているか。
- 電源、通信、担当者が単一障害点になっていないか。
復元と業務再開
- 復元試験の結果と所要時間を記録しているか。
- 認証、設定、アプリ、外部連携を含めて試しているか。
- 誰が安全を確認し、再接続を承認するか。
- 復旧後の差分入力と整合確認を定めているか。
Conclusion
結論：安全な再開点を残す
コールドストレージは、バックアップ製品の名称ではありません。 通常系と異なる依存関係の中へデータを残し、障害や侵害の後にも再開できる状態を維持する設計です。
保存、隔離、検証、電源、復元、再接続のどれか一つが欠ければ、 データが存在していても業務へ戻せないことがあります。
守るべきものは、データの存在だけではない。
そのデータから安全に業務を再開できる能力である。
FAQ
よくある質問
コールドストレージはバックアップと同じですか？
同じではありません。コールドストレージは主にアクセス頻度の低いデータを保管する階層を指します。バックアップは障害や誤操作から復元するための複製です。コールドストレージをバックアップ先に利用することはできますが、隔離、世代管理、検証、復元手順がなければ再開可能性は確保できません。
クラウドのアーカイブ階層に保存すればランサムウェア対策になりますか？
保存先を変えるだけでは十分ではありません。同じ認証情報、同じ管理画面、同じネットワーク経路から削除や上書きが可能なら、障害や侵害の影響が及ぶ可能性があります。権限分離、保持設定、別管理系統、復元試験を組み合わせる必要があります。
エアギャップとオフラインバックアップの違いは何ですか？
オフラインバックアップは保存媒体を通常時のシステムから切り離しておく運用です。エアギャップは、対象環境と通常ネットワークの間に到達経路を持たせない、又は接続を厳格に管理する分離設計を指します。どちらも接続する時間、担当者、検証方法、再切断の手順が重要です。
コールドウォレットとコールドストレージは同じですか？
同じではありません。コールドウォレットは暗号資産などの秘密鍵をオンライン環境から隔離して管理する仕組みです。コールドストレージは低頻度データの保管階層です。隔離という考え方は共通しますが、保護対象と復旧手順は異なります。
データ保全にUPSが必要なのはなぜですか？
バックアップの書込み、ハッシュ検証、媒体排出、復元、ログ保全の途中で電源が失われると、処理の不完了や再作業が発生します。UPSはサイバー攻撃を防ぐ装置ではありませんが、隔離と復旧を安全な手順で完了するための電源を確保します。
復元試験はどのように行うべきですか？
ファイルが読めるかだけでなく、必要な認証情報、アプリケーション、設定、依存データを含めて業務を再開できるか確認します。対象データの重要度、変更頻度、RPO、RTOに応じて試験周期を定め、構成変更後にも再確認します。
保存先ではなく、再開可能性を設計する
当社では、重要業務、RPO、RTO、保存対象、隔離方法、復元用機器、通信、電源、再接続手順を一体で整理します。
既存のNAS、サーバー、バックアップ媒体を活かしながら、 通常系から独立した検証・復元環境と、停電時にも手順を完了できる電源構成を検討します。 → データ保全と復元条件を確認する
