今後の侵害に備えて、CISOがストレージチームに確認するべき4つの質問

多くのCISOは、データストレージをあまり重視していません。アイデンティティ管理、アクセス制御、検知、ガバナンスを同時に管理する立場では、何かしらの問題が起きない限り、背後で働くインフラにまで目が届かないのです。そのため、サイバー脅威が発生したり、最悪のタイミングでバックアップが失敗したりして初めて、ストレージに意識が向けられることになります。

実のところ、レジリエンスは単にバックアップ頻度だけの問題ではありません。重要なのは、データがどれだけ適切に保護されているか、そして問題が発生した場合にどれだけ迅速に復旧できるかという点です。そのためストレージの保存先は、ファイアウォール、エンドポイント、アクセス制御と同じく非常に重要です。

ストレージが不変性、アクセス性、そして手頃なコストでテストを行える状態を考慮して構築されていない場合、想像以上のリスクを負うことになります。今こそ一歩下がって、全体的なレジリエンス計画におけるストレージの役割を見直すチャンスです。以下の質問をチームに投げかけることで、重要なタイミングで組織が効果的に回復できる状態かどうかを確認することができます。

１．自社のストレージは本当にビジネスリスクを下げているか？

バックアップは、ただ作成するだけで評価される傾向にあります。チェックリストを満たして監査に対応することで、安心感が生み出されるためです。しかし、その安心感がレジリエンスになるわけではありません。本質的なポイントは、バックアップがどこに保存されてどのように保護され、問題が発生した際にどれだけ確実に復旧できるかということです。

つまり、ストレージをリカバリ戦略の基盤として考えてみてください。あらゆるバックアップの保存先となるストレージの復元力が不十分だった場合、データ保護計画も脆弱になります。真にサイバーレジリエントなストレージは、攻撃者、内部関係者、さらには運用コストに足を引っ張られず、クリーンな復元を可能にする安全性と耐久性を兼ね備えています。

まず、バックアップデータが主要な運用システムから分離されたセカンダリストレージに保存されているかどうかを確認しましょう。次に、アーキテクチャ自体を詳しく調べます。イミュータブル機能によって、データの保存期間が終了するまで変更や削除ができない状態になっていますか？AES-256などの最新標準を使用して、転送中および保存中のデータが暗号化されるようになっていますか？多要素認証（MFA）によって、アカウントへのアクセスが安全に管理されていますか？単一の認証情報でバケットやアカウントを独自に削除されないように、マルチユーザー認証（MUA）などの機能を導入していますか？

こういった制御があるかどうかで、レジリエンスが迅速で検証可能なものになるか、高額な割に不確実なものになるかが分かれます。また、依然としてゴールドスタンダードとして挙げられるのが3-2-1-1-0ルールです。これは、3つのデータコピーを2種類の媒体に保存し、そのうち1つはオフサイトに、もう1つは不変の状態に保つ手法で、復旧後のエラーをゼロにすることを目的としています。

ストレージがこれらの条件を満たしていない場合、ダウンタイムのリスクがあるだけではありません。この状態では単にレジリエンス戦略を夢見ているだけで、実際には何も整っていないことを意味します。

２．理論的にではなく、実際にテスト可能なレジリエンスを構築しているか？ 

すべてのストレージがレジリエンスを前提としているわけではなく、リスクの恐れがあります。データのバックアップは多くの環境で問題なくできても、「データを復元する」のは非常に困難です。いくつかの重要な機能があるかどうかで、いつでも復旧できる状態になるか、それとも時間との戦いになるかの違いが生まれます。

まず土台となるのが、クラウドオブジェクトストレージです。これは耐久性、拡張性、リージョン間の冗長性を考慮して設計されており、単一の障害で全体が停止することを防ぎます。問題が発生した際に業務を安定させるバックボーンとなる存在です。

続いて、基本的な要素が揃っているかどうかを確認します。

• イミュータブル機能：データを書き込み後、保持期間が終了するまで不変性が維持される機能です。これにより、ランサムウェアや誤削除からクリーンなコピーを保護することができます。

• あらゆる場所での暗号化：AES-256などの強力な最新標準によって、転送中および保存中のデータを暗号化しましょう。また、最も簡単にデータ流出を防ぐため、キーを定期的にローテーションすることも重要です。

• ゼロトラストアクセス：ストレージは、自社の他環境と同じ原則に従う必要があります。つまり、暗黙の信頼は置かず、誰一人としてすべてを削除できる権限を持たせないことが重要です。マルチユーザー認証では、データ損失につながりうるアクションに対して複数の承認を要求することで、これを実現します。

• 手頃なコストの復旧テスト：高額なAPI料金や下り転送料が課せられる場合、十分な頻度でテストが行われなくなります。定期的かつ妥協せずにテストを繰り返してこそ、データの復元が可能になります。また、テストを行うことで、復旧スピード以外に２つの基本事項を確認することができます。想定するデータが本当にバックアップされているかどうか、および、そのデータは実際のインシデント発生時に回復する必要がある内容かどうかということです。

以上のポイントはそれぞれ、復旧チェーンの異なる部分を守ります。すべてが組み合わさることで、データの完全性、アクセス性、復元可能性という、レジリエントな組織に不可欠な3つの要素が保証されます。

３．予算内かつSLAを守りながら復旧できるか？

どんなに優れた防御策であっても、決して失敗しないということはあり得ません。ポイントは、問題が発生した際の復旧速度です。これによって、ビジネスへの影響が軽度なものでおさまるか、大規模な停止に陥るかが決まります。復旧計画がきちんと文書化されている場合でも、それが実行可能かつ、十分な頻度でテストされていなければ意味がありません。

まず、ストレージとバックアップシステムがフェイルオーバーをどのように処理するかを確認します。重要なアプリケーションを迅速に復元できる状態か、もしくはデータがどのクラウド層に存在するかによって復元時間が異なるかどうかを確かめましょう。また、コストについても正直に向き合う必要があります。コールドストレージは一見、お手頃で良い選択肢に思えますが、大規模な復旧時に役に立たない場合があります。高額な下り転送料が掛かったり、インシデント発生時にデータ取得するために何時間も待たされたりすると、節約したコストもすぐに消えてしまいます。

続いて、アクセスやリカバリにかかる時間について、ストレージプロバイダーのサービスレベル契約が社内のRTO（目標復旧時間）と一致しているかどうかを確認しましょう。RTOは、インシデント発生後にシステムとデータをどれだけ早くオンラインに復旧できるかを示すものです。そのスピードによって、業務停止の長さ、失われる信頼や収益、そして問題に対処できたと証明するまでの時間が左右されます。

次に、RPO（目標復旧ポイント）です。ここではより具体的に、最後のバックアップからどのくらい遡ってデータを復元できるかを確かめます。これは、バックアップがどのくらいの頻度で行われるかによって完全に異なります。ストレージコストが経済的かつ予測可能であれば、頻繁にバックアップをすることでデータ損失の可能性を減らすことができます。コストが原因でバックアップの間隔を長くせざるを得なくなった場合、その分リスクが増大します。

最後に、テストの頻度とコストを確認します。復旧テストは少なくとも四半期ごと、ビジネスのなかで重要もしくは更新頻度が高いシステムの場合は、より頻繁に行う必要があります。下り転送料またはAPI料金が課されるストレージプロバイダーを選んでいた場合、復旧テストの頻度は次第に減っていきます。テストが行われなくなることは、その分の信頼も低下することを意味します。

費用もしくは時間がかかりすぎるテスト計画は、単なる机上の空論に終わります。定期的かつ手頃な価格でテストを実施することで、サイバーレジリエンス戦略のあらゆる側面が裏付けられます。

４．自社のストレージがコンプライアンスと監査の要件を満たしているか？

コンプライアンスは単なる形式的なものではなく、制御が機能していることを証明する責任を担います。ストレージはこの点において、多くの人が認識しているよりも大きな役割を果たしています。

まず、組織に適用される規制と内部ポリシーを確認します。HIPAA、FERPA、GDPR、SOXなどのフレームワーク、またはPCI DSS、CJIS、FedRAMPなどの業界標準は、データ保持、プライバシー、セキュリティの領域で重なり合う部分が多くあります。これは、データの保存場所、暗号化、アクセス方法など、あらゆるストレージの決定がコンプライアンスに関わることを意味します。

また、新たなEU規制により、監視がさらに強化されました。サイバーレジリエンス法とEUデータ法は、サイバーセキュリティ、データガバナンス、透明性に関する新たな義務を課しています。これらは、データの保存および保護方法を示すだけでなく、レジリエンスと信頼性の基準がより広範かつ世界的に引き上げられたことを反映しています。

そのため、ストレージはコンプライアンスを実際に満たす機能を備えている必要があります。以下の要件を満たすかどうか、ストレージチームと確認してください。

• 保持と不変性：規制の対象となるデータは、保存期間全体にわたって保持され、変更または削除できない状態になっていますか？イミュータブル機能とバージョン管理を導入することで、監査が求める保証が提供されます。

• 暗号化とキー管理：機密データは、AES-256などの強力な最新標準を使用して、転送中・保存時に暗号化されていますか？キーは定期的にローテーションされ、ストレージ資格情報とは異なるキー専用管理サービス（KMS）で管理されていますか？

• ゼロトラストの原則：ストレージ環境では、管理アクションに対して最小限の権限、継続的な検証、職務の分離が課されていますか？MUAなどの機能を通して、内部リスクを減らすことができます。

• 監査への準備と可視性：監査の際、データアクセス、保持、復旧に関するエビデンスをどれだけ迅速に提示できますか？ログとメタデータは、規制当局の基準を満たしていますか？

これらのポイントの中で何かしらの不明点がある場合は、そこをさらに深掘りする必要があります。暗号化、不変性、専用キー管理、透明性のある監査ログをサポートするストレージは規制要件を満たすだけでなく、セキュリティとコンプライアンス全体にわたる信頼性を強化します。

まとめ

レジリエンスは偶然手に入るものではありません。不可避のトラブルを想定した計画・テスト・適応を通し、意図的に積み重ねてゆくものです。

ストレージはレジリエンス全体において目立つ要素ではありませんが、残りの部分がどれだけ早く復旧できるかを決定づける存在です。本稿で取り上げた不変性、アクセス、テスト、コンプライアンスに関しての質問は、今後の対応が可能かどうかを確認する指針となります。

こういった問いかけに答えられない部分があったとすれば、そこが着手し始めるべきポイントということです。レジリエンスはただ考えるだけでなく、検証があってこそ構築されます。復元をテストすることで、最悪の事態が発生した場合でも組織が事業を継続できるという自信につながります。