バックアップの基礎：ネットワーク、レーティング、およびDPaaSの基礎

私が繰り返し目にする3つのパターン

顧客とのアーキテクチャレビューを7年間続けてきた中で、3つのパターンが頻繁に現れるため、今では最初の打ち合わせでこれらについて尋ねるようにしています。チームが「Data Protection as a Service」が本来どのような範囲をカバーすべきかを理解しているかどうか。 評価の過程で、バックアップベンダーにどのような質問をしているか。そして、バックアップデータが通過するネットワーク経路をどのように保護しているか。

私が話を伺うチームのほとんどは、この3つのうち少なくとも2つに課題を抱えています。 時には3つすべてに不足が見られることもあります。こうした不足は、チームの能力が低いからではありません。業界がバックアップに関してベンダーによる過剰な情報発信を積み重ねてきた結果、基本が製品のポジショニングの下に埋もれてしまっているためです。この記事は、「契約を結ぶ前に、バックアップアーキテクチャについて実際に何を知っておくべきか」と尋ねてきた同業者に、私が伝えるであろう内容です。

DPaaSの基礎：データ保護サービス（DPaaS）が実際にカバーする範囲

データ保護サービス（DPaaS）とは、バックアップ、復旧、移行、および災害復旧がマネージドサービスとして提供される提供モデルです。顧客がインストール、設定、保守を行うソフトウェアではありません。顧客はサブスクリプション契約を結びます。 サービスが稼働します。

重要なのは、DPaaSというカテゴリーが何を意味するかではありません。真のDPaaSプラットフォームが実際に何を提供しなければならないか、ということです。その範囲は3つの柱によって定義されます。

データ保護

環境内で実行されるすべてのワークロードに対する、アプリケーション一貫性のあるバックアップとリカバリ。 VM、データベース、コンテナ化されたアプリケーション、オブジェクトストレージ、SaaSアプリケーションなどです。決定的な要件は、環境を横断した一貫性です。ワークロードがオンプレミス、AWS、Azure、Google Cloud、あるいはMicrosoft 365やSalesforceのようなSaaSアプリケーション上で実行されているかに関わらず、同じポリシーフレームワーク、同じリカバリモデル、同じ管理が適用されます。 

データ移行

ワークロードを保護するバックアップデータそのものが、そのワークロードを移行させることができます。オンプレミスとクラウド間、クラウドプロバイダー間、あるいはリージョン間での移行が可能です。現代のDPaaSにおいて、移行は独立した製品カテゴリーではありません。それは、異なる移行先を対象とした復旧操作なのです。 クラウド利用者の約95％は、コストとパフォーマンスを最適化するために、常に何らかの形でワークロードの移行を行っています。そのため、移行は単発のイベントではなく、継続的な運用要件となっています。 

災害復旧

パブリッククラウドのリージョンをフェイルオーバー先として活用するクラウドネイティブなDRであり、経済的なモデルが重要な役割を果たします。 バックアップコピーを低コストで継続的に保存します。DRが実際にトリガーされた場合にのみ、コンピューティングリソースと高性能ストレージを利用します。常時稼働のレプリカ環境が高コストとなるのは、決して発生しないかもしれない事象に備えて24時間365日稼働し続けるためです。 トリガー発生時にのみ課金されるDRであれば、そのコストはごく一部で済みます。

Flexera社の「2026年クラウドの現状レポート」によると、73％の組織がハイブリッドクラウド環境を運用しており、マルチクラウドの導入は増加の一途をたどっています。その背景には、意図的な戦略というよりは、合併、SaaSの無秩序な拡大、および分散型チームの影響がしばしば見られます。 企業が運用するすべてのクラウドを網羅していないDPaaSプラットフォームは、完全なデータ保護戦略とは言えません。それは不完全なものであり、そのギャップを埋める責任は顧客にあります。

バックアップインフラの評価：効果的な5つの質問

ほとんどのデータ保護ベンダーは、レガシー製品をクラウドブランドとして再パッケージ化しています。 その基盤となるアーキテクチャ、固定サイズ、サーバーごとのエージェント、大規模な初期導入といった要素は、依然としてデータセンター型のアプローチをクラウドホスト形式に移行させたものに過ぎません。以下の5つの質問で、マーケティングの表面を素早く見抜くことができます。 

これらの質問は、マーケティングの背後にあるアーキテクチャの現実を明らかにします。 回答が「お客様の環境次第です」や「アプライアンスを追加してスケールアップできます」から始まるベンダーは、クラウドのパッケージに包んだオンプレミスモデルを販売しているに過ぎません。 

ネットワークに関する考慮事項：バックアップデータが通過する経路のセキュリティ確保

バックアップデータの保護レベルは、ソース、ホスト、およびストレージターゲット間のネットワーク経路のセキュリティレベルに左右されます。保存時の暗号化は強力であっても、ターゲットへの経路におけるネットワークセキュリティが脆弱なバックアップアーキテクチャは、そのチェーンの中で最も脆弱な部分と同じくらいセキュリティが脅かされていることになります。 特に重要なのは以下の5つのカテゴリーです。

バックアップVMのマルチホーミング

単一の仮想NICでも機能しますが、2つのvNIC（1つは管理用、もう1つはストレージネットワーク用）を使用してバックアップVMをマルチホーミングすることで、より明確な分離が図れ、管理者はストレージ用NIC上のWebリスナーを無効にすることができます。 本番環境のバックアップトラフィックは、管理アクセス用のインターフェースと共有すべきではありません。認証情報の漏洩により攻撃者がWebコンソールを乗っ取った場合、バックアップデータと同じネットワーク上に攻撃者が存在することは避けなければなりません。

ストレージ先への接続のセキュリティ確保

ストレージ先ごとに、ネットワークセキュリティの要件は異なります。

証明書および認証の適切な管理

自己署名証明書は初期導入時には問題ありませんが、本番環境では組織のCAが発行した証明書に置き換える必要があります。 ハイパーバイザー管理（Nutanix Prism、VMware vCenter）への接続では、サポートされている場合は証明書認証を使用してください。バックアップVMへのSSHアクセスは、初期設定後に無効化してください。 継続的な管理は、シェルではなく、Web UI またはプラットフォーム管理インターフェースを通じて行ってください。

管理アクセスの制限

バックアップインフラストラクチャを含む環境における Prism Element、vCenter、またはクラウドプロバイダーのコンソールへのアクセスは、IT チーム全体ではなく、特定の管理者およびワークステーションに限定する必要があります。 マイクロセグメンテーションにより、この制限を強制します。バックアップ管理ネットワークには、一般的なワークステーションや開発者のマシンからはアクセスできず、指定された管理用ジャンプホストからのみアクセス可能にする必要があります。

攻撃対象領域の大部分を封じ込める基本的な対策

3つの習慣を実践することで、バックアップインフラに対するネットワーク上の攻撃対象領域の大部分を排除できます。 本番サーバーへのインターネットアクセスを禁止し、プロキシやバスティオンを経由してルーティングします。 バックアップの認証情報を保持する管理者に対しては、ワークステーションのセキュリティ対策を厳格に実施してください。なぜなら、ほとんどのランサムウェアにとって、最も侵入しやすい経路は侵害された管理者のマシンを通るものだからです。また、ストレージ層自体にランサムウェア対策機能（不変性、WORM、オブジェクトロック）を備えたストレージターゲットを選択してください。 

バックアップの基礎に関するよくある質問

DPaaSとBaaSの違いは何ですか？

「Backup-as-a-Service（BaaS）」はより狭い意味の用語であり、具体的にはマネージドサービスとしてのバックアップおよびリカバリを指します。 Data Protection as a Service（DPaaS）はより広範な概念であり、バックアップ、復旧、移行、および災害復旧を、単一のプラットフォームを通じて統合された機能としてカバーします。 最新のサービスの多くは、BaaSとして販売されている場合でも、実際にはDPaaSを提供しています。両者の違いは、プラットフォームがバックアップと同じ管理プレーンを通じて移行やDRを処理するかどうかという点にあります。

バックアップベンダーが真のクラウドネイティブなのか、それとも単に「クラウド風」なのか、どのように見分ければよいでしょうか？

3つの診断質問があります。 そのソリューションでは、クラウド上にバックアップ用仮想アプライアンスを展開・維持する必要がありますか？もしそうであれば、オンプレミスのアーキテクチャがクラウドホスト型に移行されたに過ぎません。料金体系は実際の使用量に応じて変動しますか、それともライセンスやストレージのプロビジョニングに関する事前の契約が必要ですか？ そのソリューションは、クラウドAPIを通じて新しいワークロードを自動検出しますか、それとも新しいVMごとに手動での設定が必要ですか？手動設定や固定サイズの割り当ては、データセンターの運用モデルに属するものです。

バックアップ導入において最も一般的なネットワークセキュリティの脆弱性とは何でしょうか？ 

あまりにも多くのマシンに接続されたSMBバックアップ共有です。管理者はSMBターゲットを設定し、サービスアカウントを使用して正しく構成した後、利便性のために同じ共有を他のサーバー（ファイルサーバー、アプリケーションサーバー、さらにはデスクトップなど）にマウントしてしまいます。共有がマウントされているすべてのマシンが、潜在的な攻撃経路となります。 バックアップ先共有には、バックアップ用VM自体からのみアクセスできるようにすべきです。

iSCSIトラフィックがプライベートネットワーク内に留まる場合、CHAPは必要ですか？

はい。現代の攻撃では、攻撃者がすでにネットワーク内に侵入していることが前提とされています。境界防御はもはや脅威モデルではありません。 CHAPはiSCSIイニシエーターをターゲットに対して認証するため、同じネットワーク上の侵害されたホストがストレージをマウントすることはできません。設定には数分しかかかりません。その保護効果は非常に有意義です。

この記事から一つだけ覚えていただきたいこと

今四半期中に、現在のバックアップベンダーと5つの評価質問について話し合ってください。 もしその回答に違和感を覚えたなら、その違和感が調査すべき兆候です。これらの質問に明確に答えられるベンダーこそ、貴社が事業を展開する環境に合わせて構築されたベンダーです。答えられないベンダーは、貴社がそのベンダーと契約を続ける限り、そのような不快な回答を出し続けることになるでしょう。