ヴィーム・ソフトウェアは6月24日、サイバー脅威動向に関する最新動向をまとめた年次調査報告「From Risk to Resilience：Veeam 2025 Ransomware Trends and Proactive Strategies Report」を発表した。
調査結果からは、暗号化を伴わずデータ漏えいだけを狙った攻撃が増加傾向にあることや、身代金支払額が減少傾向にあることも指摘されており、ランサムウェアに対する対策がある程度進んできたこともうかがわせる内容となっている。
Veeam Software 製品戦略担当バイスプレジデントのRick Vanover氏
説明を行った米Veeam Softwareの製品戦略担当バイスプレジデントのRick Vanover（リック・バノーバー）氏は、同調査が「過去12カ月間で少なくとも1回の暗号化またはデータ漏えいを伴うランサムウェア攻撃を経験した900組織のバックアップやサイバーセキュリティに関する業務の担当者を対象としたもので、Veeamユーザーを対象とした調査ではない」とした上で、調査結果から読み取れる知見について解説した。
同氏がまず指摘した点は「ランサムウェア攻撃に対処するための質の高いプレイブックの欠如」だ。プレイブックとは、アメリカンフットボールなどのスポーツで使われる、戦術やフォーメーションをまとめた作戦ノートのことだが、ここでは準備された「対応マニュアル」だと考えればよい。
調査対象組織の98％がランサムウェアプレイブックを作成していると回答したが、「バックアップの確認と頻度」「バックアップのコピーと確実なクリーンネス」「代替インフラ（サーバー／ストレージなど）の準備」など、必要と考えられる11の要素のうち、平均して3～4つしか含まれていない不十分な内容だったという。
多くの企業は災害などに被災することを想定した災害復旧計画（DR）や事業継続計画（BCP）を策定しているが、同氏はランサムウェアを「想定される災害の中でも最悪の被害をもたらし得るものであり、最も頻繁に発生する可能性のある災害」だと表現し、被災した際の復旧計画をあらかじめ策定しておき、かつその計画を確実に実施できるように定期的に検証することの重要性を強調した。
ランサムウェアプレイブックの主要な要素を備えている企業の割合
次いでVanover氏が重要なポイントとして指摘したのが「どのくらいの頻度でバックアップデータの実際の回復可能性を検証しているのか」という点だ。データ復旧機能のテストに関しては、31％の回答者が「毎月」と回答しているが、同氏は「この頻度では不十分だと考えている」と語った。
運用上のトラブルなどでバックアップが正常に作成できない場合などもあり得るほか、攻撃者もバックアップを攻撃対象として積極的に狙ってくる。回答者の66％が「バックアップが攻撃を受けた」と回答し、34％は「バックアップインフラが攻撃による影響を被った」と回答している。イミュータブルストレージ（書き換え禁止ストレージなど）の活用も拡がっているが、全体としては、復旧できたデータは被害を受けたデータの64％で、Vanover氏は「この数字は充分とは言えない。Veeamにとってもこの数字をより高めていくことが使命だと考えている」と語った。
サイバー／データ復旧タスクの実施頻度
なお、ランサムウェア攻撃を経験した組織がその反省を踏まえて何をしたか、という問いに対する答えでは、新たな防御ソリューションの導入などを意味すると思われる「テクノロジーへの投資」よりも「トレーニング」が上回っていたことも紹介された。同氏は「重要なことはいろいろあるが、中でも最も重要なのがトレーニングであることは間違いない」とし、人の力を高めていくことが最も重要だとの認識を示した。
ランサムウェア関連事象後の実装／改善点
最後にVanover氏は、同社の新たな取り組みとして、企業のレジリエンスの成熟度を評価するフレームワーク「データレジリエンス成熟度モデル」（DRMM）が発表されたことを踏まえ、その内容について解説した。DRMMは、同社の専門人材がユーザー企業の現状評価を行うもの。
- Basic（Reactive＆Manual）：問題が起きてから対応する、手作業中心でリスクが非常に高い
- Intermediate（Reliable But Limited）：ある程度の信頼性はあるが、断片的で自動化が不足している
- Advanced（Mature＆Adaptive）：戦略的で先を見越したトリックミダが、完全な連携には至っていない
- Best-in-Class（Self-optimizing）：自動化およびAIを活用し、あらゆるリスクに対応できる状態
これら4段階で評価する。日本での提供開始はこれからだと言うが、海外で先行実施された結果に関して、Basicが44％、Intermediateが30％で、大半の組織（74％）がまだ改善の余地がある状態だと指摘した。なお、Advancedは18％で、Best-in-Classと評価された組織も8％あったとのことだ。
