「2026年の回収可能性の現状」

災害復旧という分野には、その基礎となる一つの前提があります。それは、システムに障害が発生したとしても、その周囲の環境は「誠実」であるということです。洪水によって認証情報が盗まれることはありません。停電によってバックアップリポジトリが探し回られることもありません。あらゆる従来の災害復旧モデルにおいて、復旧インフラは、その事象の影響を受けない安全な場所に配置されています。

ランサムウェアは、こうした前提をすべて覆すものであり、インシデントデータはその手法がいかに周到であるかを示しています。パロアルト・ネットワークスの2026年グローバルインシデントデータによると、侵入の3分の2はIDから始まっており、サイエンティア・インスティテュートの長期分析においても、認証情報の漏洩は過去10年間にわたり最も一般的な侵入手法としてランクインしています。この統計がもたらす復旧上の影響は、ほとんどの事業継続計画では想定されていないものです。 組織が復旧に用いるアカウント、ディレクトリサービス、および管理パスは、攻撃者がまさに奪ったのと同じIDプレーン上に存在します。復旧チームは、もはや信頼できない認証情報を使い、それ自体が侵害されている可能性のあるディレクトリ内で、環境を復元するという課題に日常的に直面しています。Fenix24の現場データは、この密接な関連性を具体的に示しています。 当社の侵害対応専門家チームが実施する事実上すべての復旧作業において、Active Directoryが関与しており、通常は最初に侵害される主要システムとして登場します。また、バックアップインフラストラクチャも通常、同じディレクトリに接続されています。インフラストラクチャ管理が企業のIDプロバイダーに依存している場合、最初のシステムを安全に復旧させる前に、IDの再構築、あるいは認証システムの全面的な再設計から復旧作業が始まることになります。

最初の制約は「身元」であり、2つ目は「時間」である。CrowdStrikeのグローバル脅威データによると、初期アクセスから横方向の移動に至るまでの平均所要時間は2025年に29分に短縮され、最速では27秒、侵入から4分以内に被害者からデータが流出する事例も確認されている。電話会議の招集、対応マニュアルの検索、経営陣へのエスカレーションに依存する復旧モデルは、攻撃者が何年も前に放棄してしまったタイムラインに基づいて機能しているに過ぎない。

バックアップインフラは、技術的な理由というよりは経済的な理由から、早期かつ具体的に標的とされます。復旧できる組織には、身代金を支払う理由がないからです。復旧経路を破壊することこそが、ITインシデントを取締役会レベルでの恐喝事件へと変貌させるものであり、だからこそ、バックアップの存在とバックアップの存続可能性は、別個の特性となったのです。 本番環境と同じネットワーク上、同じディレクトリ下にあり、同じ認証情報でアクセス可能なリポジトリは、攻撃者の視点から見れば、より価値の高いペイロードを持つ単なる別の標的に過ぎない。そして、生存性こそが最後のハードルではない。Fenix24が対応した案件のうち、バックアップが攻撃を無傷、あるいはほぼ無傷で乗り切ったケースの38％において、それでも復旧に至らなかった。 データが古すぎて運用を再開できなかったり、攻撃のずっと前に不完全または破損していたり、ワークロードに適さないタイプであったり、あるいは一から再構築するよりも復元にかかる時間が長すぎたりしたためです。また、不変性（immutable）とラベル付けされているにもかかわらず、不変性を実現できないインフラ上で稼働しているケースもあります。存在、生存性、そして有用性は3つの異なる特性であり、ビジネスを回復させることができるのは、そのうちの3つ目だけなのです。

攻撃の手口そのものは常に変化し続けています。アリアンツの保険金請求分析によると、2025年初頭には高額な保険金請求の40％でデータ流出が確認され、これは前年のほぼ2倍に上りましたが、一方、暗号化率は6年ぶりの低水準に低下しました。 画面をロックすることのないインシデントの割合が増加している。こうしたインシデントでは、データの窃取、資金の流用、あるいはIDシステムへの信頼を損なう行為が行われる。「ディレクトリを信頼できない」状態からの復旧は、「ファイルが暗号化されている」状態からの復旧とは異なるプロジェクトであり、オペレーショナル・レジリエンス・プログラムは、その両方に耐えうるものでなければならない。

この分析で測定されたあらゆるギャップは、結局のところ、同じ能力の欠如に起因しています。組織は、影響が発生した後に何が起こるのかについて、継続的に検証され、証拠に基づいた回答を提示することができません。どのビジネスサービスが復旧するのか。どのような順序で。何時間以内に。どの程度の確信を持って。

20年にわたるセキュリティへの投資により、脅威への耐性を測定するための精緻な仕組みが構築されました。業界は、エンドポイントの数を把握し、脆弱性を評価し、リスクの度合いをリアルタイムでランク付けすることができます。これは、そうした数値が重要であると判断し、それらを算出するシステムを構築してきたからです。しかし、復旧に関しては、それに相当する仕組みを構築することは決してありませんでした。 復旧はIT運用の一分野として扱われ、文書によって管理され、証明によって評価されてきた。その結果、攻撃対象領域をきめ細かく説明できる業界でありながら、破壊された環境から事業が再開されるまでに何時間かかるかを、証拠を伴って示すことができないという状況に陥ってしまったのである。

その不均衡は現在是正されつつあり、本レポートで取り上げたあらゆる勢力が同じ方向へと力を注いでいます。保険会社は、事業中断による損害が支払額の大部分を占めるため、復旧体制を保険料に反映させています。規制当局は、実証済みの復旧策を法律に盛り込み、紙上の計画のみを提示する姿勢を拒否し始めています。取締役会は、組織が安全かどうかを問うことから、事業停止がどのくらいの期間続くかを問う段階へと移行しました。アナリストのコンセンサスも、影響を回避することではなく、影響を乗り切ることを目標として再定義しています。 互いに独立して、リスクを評価し、執行し、規制し、研究する各機関は、復旧の専門家たちが何年も前に実際のインシデントの現場から導き出した結論にたどり着きました。すなわち、「抵抗は不可欠だが、事業をその後も維持し続けるのは復旧である」ということです。今後10年間のセキュリティ投資は、この認識に基づき、防御のために構築された仕組みと同様に厳格な復旧のための仕組みへと向かうでしょう。

これを構築するには、現在のモデルでは分離されている2つの要素が必要です。1つ目は「測定」です。これは、ビジネスが実際に何を、どのくらいの速さで復旧できるかを、証拠に基づいて継続的に把握するものであり、監査人を満足させるだけで何の予測もできない年次証明に取って代わるものです。2つ目は「実行」です。なぜなら、測定だけでは結果を変えることはできないからです。評価を行ったからといって、バックアップリポジトリの堅牢性が高まるわけではありません。依存関係マップを作成したからといって、復旧に不可欠なID層が隔離されるわけでもありません。 調査結果がどれほど正確であっても、ビジネスサービスをオンラインに戻したことは一度もありません。この点を正しく理解している組織は、業界が検知に対処する方法を学んだのと同じように、復旧可能性に対処するでしょう。つまり、継続的に計測・運用・演習を行い、ITタスクとして委任するのではなく、ビジネス成果として責任を持つのです。

その測定において考慮すべき点が何であるかは、決して謎ではありません。復旧のスケジュールを左右する障害は一貫性があり、業界やインシデントの種類を問わず繰り返し発生しています。これらは、攻撃者が侵入する前から存在していた状況であり、それらを測定していれば誰の目にも明らかだったはずです。

そのリストにある項目はすべて、事前に把握可能です。ストレージ容量、バックアップの可用性、依存関係マップ、ID復旧パス、意思決定権限などは、インシデントの最中に発見されるのではなく、発生前に測定、評価、是正することができます。これこそが、業界が現在確立しつつある規律であり、まだ一般的に使われていない名称を付けるに値するものです。 Fenix24はこれを「リカバリーアビリティ・インテリジェンス」と呼んでいる。これは、企業が実際に何を、どのくらいの速さで復旧できるかを、実稼働環境から継続的に測定する分野であり、その依存関係、バックアップの生存性、復旧手順、および達成可能な復旧時間を対象とする。これは、企業が何を、どのくらいの速さで復旧できるかを、証拠に基づいて継続的に測定するものであり、業界がすでに攻撃の可能性を測定するために採用しているのと同じ基準に基づいて構築されている。 「検知」は、組織に対して「何が起きているか」を伝えていました。「リカバリー・インテリジェンス」は、組織がそれを知らざるを得なくなるその日が来る前に、「何が取り戻せるか」を伝えてくれるのです。

その日は、もはや誰にとっても仮定の話ではなくなった。今やあらゆる組織が直面している課題は、いかにして攻撃を回避するかということではなく、環境が機能停止に陥った際に何が起こるかということだ。事業が消滅する前に、業務を復旧させることができるだろうか。予防策の導入は常に比較的容易であったが、復旧こそが企業の存続を左右する鍵であった。保険会社、規制当局、取締役会、アナリストの間で現在進行中の清算は、数十年にわたって蓄積されてきた測定誤差を市場が是正しているに他ならない。

この是正措置は、先手を打った組織には報い、様子見をした組織には罰を与えるものです。なぜなら、復旧能力は必要な瞬間に金で買うことはできないからです。それは事前の静かな時期に築き上げられていなければ、そもそも存在しないものであり、誰が監視していようとも環境は絶えず変化し続けます。企業が復旧を「テスト済みの能力」ではなく「単なる文書」として扱う四半期がある限り、その実際の態勢は計画で謳われている内容からますます乖離していき、やがて攻撃者がその差を突くことになるでしょう。 この事実を深く理解した組織は、ビジネスが直面しうる最悪の事態を乗り切り、事業を継続することができる。理解していない組織は、本レポートのインシデントデータが示すような事態に直面し、もはや何も変えられないその瞬間に、実際に何が復旧可能だったのかを痛感することになる。抵抗の度合いによって、その日がどれほど頻繁に訪れるかが決まる。復旧能力によって、その先にもなお事業が存続しているかどうかが決まる。業界はついに、正しい指標を測定し始めたのだ。