「復旧」の概要

インシデントで止まったり壊れたりしたシステムやデータを元の状態に戻し、通常の業務を再開することです。

単にシステムを動かせばよいわけではなく、攻撃者が残した侵入口やマルウェアが残っていないかを確かめてから戻す必要があります。安全を確認せずに再開すると、再び攻撃を受けるおそれがあるためです。そのため、ランサムウェア被害などでは復旧に数週間から数か月かかる例もあります。

要点

• 侵入経路をふさがずに復旧すると、再び侵入されるおそれがあります。
• バックアップ自体が暗号化・汚染されている例があるため、復元前の確認が必要です。
• どの業務から戻すかは、BCPで定めた優先順位に沿って決めます。

復旧の進め方

1. 原因（侵入経路、不正なプログラム、乗っ取られたアカウント）の除去を確認する
2. バックアップが安全か確認し、データを復元する
3. パスワードの一斉変更など、再侵入を防ぐ措置をとる
4. 優先度の高い業務から段階的に再開する
5. 再開後もしばらく監視を強化する

業務再開の判断

どのシステムから戻すか、いつ通常業務に戻るかは、業務の優先度に関わる経営判断です。例えば病院では、電子カルテの参照、会計、予約の順に段階を決めて再開します。

封じ込めとの違い

封じ込めは被害の拡大を止めること、復旧は止まったものを元に戻すことです。封じ込めが不十分なまま復旧を急ぐと、被害が再発します。

実務のポイント

• 復旧の完了基準（何を確認したら完了とするか）を事前に決めます。
• バックアップはネットワークから切り離して保管し、定期的に復元を試します。
• 復旧の各段階の判断者と日時を記録します。

GuardPlanでできること

システムの復旧作業そのものは、専門の事業者や情報システム部門が担います。GuardPlanは、復旧の各段階で誰が再開を判断したかを記録し、関係者への報告に必要な情報をまとめることを支援します。

関連用語

• 封じ込め
• BCP（事業継続計画）
• 事後レビュー（振り返り）
• ランサムウェア

参考資料

• NIST SP 800-61 Rev. 3「Incident Response Recommendations and Considerations for Cybersecurity Risk Management」
• 内閣府「事業継続ガイドライン」

執筆：GuardPlan編集部　最終更新日：2026年11月4日

← 用語集トップへ戻る