巧妙なサイバー攻撃や自然災害からデータを保護
端末保護からネットワーク環境の保護＆強化へ

　世界屈指の地震国の日本では、南海トラフ巨大地震は国家存亡に関わる激甚災害としてリスク認知が広まっている。発生時期は2035年±5年と予測され、今から4年後には警戒を強める必要があるだろう。政府の中央防災会議は、南海トラフ巨大地震の規模をマグニチュード9.1、海岸を襲う津波は最大34mに達すると想定している。経済被害に関しては220兆円を超える試算が出ており、人命の安全確保はもちろん経済被害を抑えるためにも早急に対策を講じておくことが重要だ。企業のデータは経営に広範囲に影響を及ぼすものであることから、こうした未曽有の状況のリスク対策として、バックアップソリューションが役に立つ。

　バックアップソリューションの適用範囲は、自然災害だけではない。昨今サイバー攻撃の問題においては、大企業のみならず、さまざまな中堅・中小企業がVPN被害やランサムウェア被害の標的になっている。こうした被害の実態から、セキュリティ対策として支給PCやスマートデバイスにマルウェア対策ツールを導入する方法は比較的一般化したが、SaaSやIaaS、ネットワーク環境の保護までは行き届いていない可能性がある。外部接続を想定したシステム保護の重要性が出てきている状況といえるだろう。

　ノークリサーチは、「2025年版 中堅・中小企業のセキュリティ/運用管理/バックアップ利用実態と展望レポート」を発表している。同調査では、企業がセキュリティ運用管理、バックアップなど、ソフトウェア、アプライアンス、クラウドサービスにかけている費用について尋ねている。セキュリティやバックアップに拠出可能な年額合計費用は、いずれの年商帯においても増加しているという。ノークリサーチ シニアアナリスト 岩上由高氏は、この状況を「経営環境が厳しい小規模・中小・中堅企業でも、セキュリティ関連の費用が横ばいないしは増加していることから、セキュリティ対策は重要視されているとみています。特に大企業から見て、直接の取引先となることも多い中堅企業は伸びが大きくなっています。コロナ禍を経て、企業のネットワーク環境としてはSaaSやVPN接続などが普及しました。オフィスに回帰する流れも増えていますが、社外から社内にアクセスする環境が整ったことで外部接続する人口が増え、そこがサイバー攻撃対象になっています。また、ファームウェアをアップデートしていない脆弱性のあるVPN機器はランサムウェアで一番多い侵入経路となっています。ですが、外部サービスとの接続ではサイバー攻撃リスクも早々に認知され、セキュリティの需要が高まっている機運があります」と分析する。

　ランサムウェア対策においては、バックアップ対策の重要性も高まっている。オリジナルのデータとは別に、複製した二つ以上のバックアップデータを作る「3-2-1 ルール」など、多層的な仕組みが求められているのだ。また、バックアップデータ自体を改ざんされたり、アクセスできなくしたりするケースも想定されることから、単にバックアップを取れば安心とも言えなくなっている。そうした状況に有効な手立てとして、ネットワークからPCやサーバー、システムを物理的に隔離する「エアギャップ」や、データを変更不可能にし、削除、暗号化、変更を阻止することで保護する「イミュータブルバックアップ」などがある。しかし中堅・中小企業の場合、強固なバックアップの仕組みの構築はなかなか難しい。岩上氏は、「同調査の中で、『LANから隔離してバックアップを保管できる』という特徴のニーズを調査したところ、全ての年商帯で上昇しています（上記グラフ参照）。2024年から2025年にかけて、ネットワークから隔離された状態でバックアップを取りたいという割合は増加しており、特に小規模企業と中小企業では、中堅企業と比べて大きく伸長しています。ネットワークから隔離するバックアップの手段としては、エアギャップだけでなくNASの筐体内に隔離された環境を作る『筐体内エアギャップ』という選択肢もあります。こうした対策もさらに増えていくのではないかと予測しています。こうしたニーズはインシデント発生時にセキュリティ権限を管掌するCISO（最高情報セキュリティ責任者）として『セキュリティ責任者の代わりとなる相談サービスがある』といった昨今の大きな経営課題の一つである人材不足に起因するニーズと同程度であることが分かります」と状況を俯瞰する。

　企業のセキュリティ課題は、さまざまな内容が点在している。そこでノークリサーチでは、「2025年版 中堅・中小セキュリティ対策のタイプ別クロスセル提案レポート（セミカスタムレポート）」にて「点」から「面」に広げるセキュリティ対策を提唱している。「単にセキュリティソリューションを導入することでデータの奪取は防げるかもしれませんが、侵入されることによる問題など一歩先を想定することが重要です。例えば、一度自社内のシステムに侵入されると、そこを踏み台に関連会社が標的にされるかもしれません。弊社の調査において、一つのセキュリティ対策から別のセキュリティ対策とのつながりを分析し、点で終わらず面で施策を取っていくというセキュリティの投資傾向にはいくつかのパターンが見られます。さまざまな課題の中の一つだけをピンポイントで提案しても、個々の課題解決にとどまってしまいます。そこで、一つの課題から派生するほかの課題についてパターンを基に予測して、一つの商材で終わらせずにセットとして提案し、面の導入提案に広げていくことが長期的なセキュリティ対策に役立ちます」（岩上氏）

　企業や業界視点で見れば、サプライチェーンを意識して段階的な対策を講じていくことは今後のセキュリティ対策に有効な一手だ。「来年から経済産業省の『サプライチェーン強化に向けたセキュリティ対策評価制度』（以下、SCS評価制度）も始まります。サプライチェーンを構成する企業のセキュリティ対策状況を共通の基準で評価・可視化するという内容です。顧客提案に際しては、保護領域を自社から関連会社に広げて対策することでビジネス基盤を強固にし、対策の実績が企業同士の信頼深化につながるように意識しておくことが大切です」と岩上氏は提言する。

　従来のセキュリティ対策は、ファイアウォールによって侵入を防ぐ境界型セキュリティが一般的だった。しかし、昨今巧妙化するサイバー攻撃を考慮すると、自然災害と同様に被害を最小限に防ぐという方針で対策を講じることが非常に重要だ。バックアップソリューションは、データの安全保護によって自然災害対策、セキュリティ対策に機能し、企業のビジネス継続に大いに役立つソリューションになり得る。