金融機関の厳しい要件に応えるストレージとは データを守る3つの手段：保護だけでなく「復旧」まで考える

PR／ITmedia

PR

　顧客の資産を預かる金融業界においても、データは「生命線」だ。データ侵害の影響は計り知れないだけに業界全体で厳しく対策しているが、サイバー攻撃は激化している。2025年には金融庁が大手銀行や地方銀行に耐量子コンピュータ暗号（PQC）への対応を求め始めており、対策は急がれる。厳しいセキュリティニーズに対応するために、どのようなインフラを選べばよいのか。

　その一つの解となるのが、デル・テクノロジーズのミッションクリティカルストレージ「PowerMax」だ。2025年11月20日に開催されたオンラインカンファレンス「金融サイバーセキュリティカンファレンス 2025秋 ─金融機関のPQC対応を中心に─」におけるデル・テクノロジーズのセッションでは、ミッションクリティカルなインフラの要件とともに、PowerMaxがどのようにニーズに対応できるかが解説された。

データの「回復力」が鍵になる

　「サイバー攻撃では防御も重要だが、回復までのシナリオをきっちり考えることがより重要だ」──デル・テクノロジーズの森山輝彦氏はこう始めた。

　必要なのは、セキュリティとレジリエンスという観点だ。セキュリティはデータやネットワークを保護し、リスクを低減することにフォーカスする。レジリエンスではその先の検知から復旧までを考慮する。脅威を検知するだけでなく、検知後に適切な判断を即座に下してリカバリーのプロセスに移行するなどの総合的な回復力が要求される。

デル・テクノロジーズの森山輝彦氏（執行役員 インフラストラクチャー・ソリューションズSE統括本部 統括本部長）

　特に重要なのがデータだ。サイバー攻撃は一般的にネットワークやアプリケーションのレイヤーで検知されることが多いが、ランサムウェアなどは企業が抱えるデータを狙う。侵害された場合、暗号化や削除、外部への公開（情報漏えい）、身代金の要求などの直接的な被害だけでなく、企業価値の毀損（きそん）などにも波及しかねない。

　近年はビジネスでのAI活用に伴って「ステルスデータ改ざん」のリスクも高まっている。データを改変することでAIが誤ったアウトプットを生成するように誘導するもので、間違った経営判断などにつながるリスクが生じる。

　「このようなリスクを回避するためにも、データの回復に当たってはクリーンなデータを確保したり業務の再開に利用できるデータを見極めたりすることが重要だ」（森山氏）

データ保護には「不可変性」「隔離」「インテリジェンス」が必要

　デル・テクノロジーズの田中宏幸氏によれば、データ保護には「不可変性」「隔離」「インテリジェンス」が不可欠だという。

　不可変性とは、特定の期間においてデータの改変や削除を防止する仕組みのこと。ソフトウェアを通じてバックアップやアーカイブ、スナップショットなどのデータに適用する。ただし、「悪意ある攻撃は、このソフトウェアに対してシステムの時間を変更するなどの攻撃を仕掛けてくる」と田中氏は注意点を挙げた。

デル・テクノロジーズの田中宏幸氏（インフラストラクチャー・ソリューションズSE統括本部 クラウドプラットフォーム ソリューションズ アドバイザリシステム エンジニア）

　そこで有効なのが隔離だ。バックアップなどのデータを本番環境のネットワークから隔離された環境に保存する方法で、攻撃対象自体を減らすプロアクティブな戦略として各国のガイドラインで推奨されている。本番環境と隔離環境の間にエアギャップ領域を設け、ネットワークを分離するストレージボールティングという技術で実現する。

　インテリジェンスは、事前戦略・事後戦略の両方からAI活用が進んでいる領域だ。事前戦略のポイントは、データが失われるような最終段階に到達する前に侵害や攻撃の兆候を検出・ブロックすることにある。事後戦略で重要なのはデータの完全性とリカバリー機能の信頼性だ。つまり、整合性のあるデータを早く、正確に回復することが求められる。

　不可変性を持つバックアップデータと隔離環境に保存した完全なコンテンツがそろうことで、インテリジェンスによる迅速・確実な検出、リカバリーが可能になる。

　これらの手法は、さまざまな機関が公開しているセキュリティフレームワークや規制、ガイドラインにも合致する。共通しているのは「定期的かつ確実にバックアップを取得すること」、そのデータを「分離されたクリーンな環境で保護すること」の2点だ。「バックアップを取得せずに災害対策やサイバー攻撃対策を行っても意味がない。まずバックアップを取得し、それを隔離することが重要だ」と森山氏は強調した。

データ保護の3本柱に対応したミッションクリティカルストレージ

　デル・テクノロジーズのラインアップは、サーバからストレージ、データ保護、クラウドまで幅広く、しかも米国をはじめとする規制やガイドラインに準拠している。森山氏は「開発や製造、物流といったプロセスも含めてエンド・ツー・エンドでカバーしており、どの時点でも脅威が入り込まない体制を実現する」と自信を見せた。

　同社がミッションクリティカルストレージとして提供しているのがPowerMaxだ。30年以上進化し続け、「Fortune 100」企業の約95％が採用している。金融業界をはじめ、多岐にわたる業種・業界での導入実績を誇る。24時間稼働する無停止オペレーション、ミッションクリティカルな運用を支えるAIOps＆オートメーション、不可変性や隔離などを実現するサイバーレジリエンスに対応する。

PowerMaxは金融機関のインフラに求められるさまざまな機能をカバー（提供：デル・テクノロジーズ）《クリックで拡大》

　重要機能を深掘りすると、セキュリティ機能にはユーザーアクセスの制御や高度な脅威の検出、データの暗号化などを標準で搭載する。OSをロードするタイミングでカーネルやドライバなどの信頼性を確認することで、起動時を狙う攻撃手法を回避する「セキュアブートチェーン オブ トラスト」も実装済みだ。いずれもハードウェアに組み込むことで高水準の安全性を実現している。

　AIOpsではIT運用の自動化に加えてセキュリティ対策も行う。データ削減パターンやI/Oアクセスパターンなどの異常をAIが検出することで脅威の特定を高速化する。脆弱（ぜいじゃく）性チェックも可能だ。

　セキュアスナップショットは、不変データを担保する。「PowerMaxは最大6500万個のセキュアスナップショットを保存可能で、ランサムウェア攻撃対策に必要な大量のスナップショットにも対応する」（田中氏）

　データの隔離も仮想ヴォールト機能で実現している。さまざまな製品と連携できるため、本番環境のブロックストレージのデータを隔離環境のPowerMaxに保存することも可能だ。

米国金融機関向けガイドラインに準拠したセキュリティを実現

　これらの機能の実装に当たってデル・テクノロジーズが注目したのが、米国金融機関の非営利団体Sheltered Harborが策定したガイドラインだ。

　「サイバー攻撃を受けた際にサービスを可能な限り早く再開することを目的としたガイドラインだ。業界のゴールドスタンダードとして各国の規制当局にも認知されている」（田中氏）

　このガイドラインでも、まずバックアップを取得してネットワークを遮断した隔離環境に保管し、隔離データを基に復元してサービスを再開するプロセスが重視される。PowerMax搭載の「Dell PowerProtect Cyber Recovery」は、その実践が可能だ。復旧前にデータをチェックして安全であることを担保するディープスキャン機能を備えた「PowerMax Advanced Ransomware Detection」もリリース予定だという。復旧したデータにマルウェアが残る事態を回避し、確実な復旧を支援できるようになる。

PowerProtect Cyber Recoveryは米国金融業界のセキュリティ基準にも対応済み（提供：デル・テクノロジーズ）《クリックで拡大》

　「PowerMaxは、米国連邦政府のセキュリティ要件であるSTIGコンプライアンスに対応し、米国防総省の認定製品リストにも掲載されている。最高レベルのセキュリティに対応している証明と言える」（田中氏）

強みの開発力でPQCへの対応も

　PQC対応についても「すでに実装に取り組んでいる」と森山氏は語った。ネットワークベンダーなどとの共同研究やガイドライン策定への参画などを進めており、「次世代から対応できるのではないか」との見通しを示した。

　この背景には、開発力というデル・テクノロジーズの強みが見える。同社が幅広いポートフォリオを展開することは上述したが、それぞれのワークロードに必要な機能は異なる。ミッションクリティカルな領域で活用されるPowerMaxにはセキュリティ機能が多く搭載されるが、オールフラッシュのバックアップ用ストレージ「PowerProtect Data Domain」はデータ保護機能に強みがある。セキュアブート関連の機能はもともと「Dell PowerEdgeサーバ」用に開発されたものが展開されている。ワークロードに合わせて実装した機能を他製品に展開できるのは、エンド・ツー・エンドでさまざまな製品を扱う同社ならではだ。

　「PowerMaxで実装したセキュリティ機能も他の製品やソリューションに広がるだろう。今後も、お客さまがより簡単に運用し、脅威を検知・防御できる製品の提供を目指す。セキュリティやサイバー攻撃対策ということであればデル・テクノロジーズにご相談いただきたい」と森山氏はセッションを締めくくった。