エアギャップの仕組み、不変バックアップとの比較、およびAWSやAzure上でエアギャップ環境を構築する方法を解説
ランサムウェアの攻撃グループは、まずバックアップを狙ってきます。2025年には、被害者の89％がバックアップリポジトリを標的とされ、そのうち34％のバックアップが改ざんまたは削除されました（Veeamレポート）。本番環境と同じネットワーク上にあり、同じ認証情報でアクセス可能なバックアップは、他のすべてと同様に機能停止に陥ってしまいます。エアギャップを設けることで、1つのコピーを攻撃者の手の届かない場所に確保することができます。
エアギャップバックアップとは？
エアギャップバックアップとは、本番ネットワークから隔離して保管されるデータのコピーのことで、これにより、環境を侵害した攻撃者でもそのデータにアクセスできなくなります。この名称は、文字通りの「空気の隙間（エアギャップ）」に由来しており、物理的に切り離されたテープやドライブ上のバックアップを指します。
ネットワークに接続されていないものには、ネットワーク上の何ものも触れることはできません。
クラウド環境では、物理的なメディアを使わずにこの隔離状態を再現します。日常的に使用する認証情報やシステムが到達できない場所にコピーを保管することで、ランサムウェアや悪意のある管理者、あるいは不具合のあるスクリプトによって、そのコピーが削除されたり暗号化されたりすることを防ぎます。この「ギャップ」がどれほど実効性を持つかは、分離がどれほど完全であるかにかかっており、そこが一般的なアプローチの分かれ目となります。
物理的なエアギャップと論理的なエアギャップ
従来のエアギャップは物理的なものです。テープやリムーバブルドライブにバックアップした後、それらを接続から切り離してオフラインで保管します。引き出しの中に収められたテープを、ランサムウェアが暗号化することはできません。その代償となるのが速度です。テープからの復旧には時間がかかり、誰かがメディアを管理する必要があります。
クラウドでは、「論理的エアギャップ」という用語が用いられます。これは、別のアカウントやサブスクリプションに保管され、ネットワークアクセスがブロックされ、本番環境のユーザーが削除できないというポリシーが適用されたコピーを指します。AWSは、この方式を「論理エアギャップ・ヴォルト（Vault）」と呼んでいます。これは、本番環境のすぐ隣にバックアップを置く方法に比べて大幅な改善であり、多くの攻撃を防ぐことができます。
N2WSはこの点についてより厳しい見解をとっています。別のアカウントにあるコピーであっても、依然として同じクラウド内に存在し、同じプロバイダおよび同じコントロールプレーンを通じてアクセス可能です。そのコントロールプレーン、あるいはその上位にあるプロバイダーアカウントが侵害されれば、その下のアカウントにも影響が及ぶ可能性があります。したがって、当社は同一クラウド内での分離を真のエアギャップとは見なしていません。
真のエアギャップには、攻撃者が既に奪取した認証情報やコントロールプレーンでは越えられない境界が必要です。クラウド環境において、それは別のクラウド上のコピーを意味し、これについては以下の「クロスクラウド」のセクションで説明します。
エアギャップと不変バックアップとは
これは多くの人が検索する比較対象であり、この2つの用語は混同されがちです。これらは異なる問題を解決するものであり、強力なランサムウェア防御には両方が活用されます。
不変バックアップは、設定された保存期間中は変更や削除ができません。このロックは、書き込み1回・読み取り多回（WORM）によってストレージ層で強制されます。管理者であっても、期間前に削除することはできません。
エアギャップバックアップは、そもそもアクセスすることができません。コピーは隔離されているため、攻撃者が試みる機会すらありません。
不変性の仕組みに関する詳細な解説については、不変バックアップに関する当社の特集記事をご覧ください。簡単に言えば、不変性によってコピーがロックされ、エアギャップによってコピーが隠蔽され、これらを組み合わせることで、攻撃者がリカバリポイントを破壊するために利用する両方の経路を遮断します。
AWS でのエアギャップバックアップの実装方法
AWS では、1 つのアカウント境界内で強力な隔離を構築するための要素が提供されており、これは多くのベンダーが「論理的なエアギャップ」と呼んでいるものです。これを「AWS内部の層」と捉えてください。後述するクラウド間の手順によって、これが真のエアギャップとなります。
バックアップアカウントを隔離します。 バックアップを、本番環境の認証情報では管理できない別のAWSアカウントにコピーします。これがギャップとなります。本番環境が侵害されても、制御できないアカウントには到達できません。バックアップアカウントをAWS Organizations内の独自の組織単位に配置し、サービス制御ポリシーを使用して、本番チームがそのアカウント内でロールを引き継ぐことをブロックします。コピーを保持するアカウントは、攻撃者が侵入する可能性が高い環境とは信頼関係を一切持たない必要があります。
リージョン間でのコピー。 別のリージョンにもコピーを送信してください。そうすれば、リージョン全体に影響するインシデントや標的型攻撃が発生しても、別の場所にクリーンなリカバリポイントが確保されます。リージョン間かつアカウント間のバックアップにより、攻撃者は1つではなく2つの境界を突破しなければなりません。
コピーを不変（イミュタブル）にロックします。 隔離と不変性は相乗効果を発揮します。S3内のバックアップにはS3 Object Lockを、スナップショットにはEBS Snapshot Lockを、いずれもコンプライアンスモードで有効にします。これにより、たとえ誰かがコピーにアクセスできたとしても、保持期間が終了するまでは削除できません。さらに、バックアップバケットにMFAによる削除制限を追加し、削除時の追加のゲートとして機能させます。
その隙間へのアクセスを厳格に制限する。 隔離は、扉が閉ざされたままである場合にのみ有効です。バックアップアカウントには、最小権限のIAMロールを割り当て、MFAを必須とし、書き込みアクセス権限は自動化されたバックアッププロセスにのみ付与します。常時有効な人間の認証情報では、バックアップを削除できないようにする必要があります。本番環境とバックアップアカウント間の接続は、書き込みが完了するまでの間だけ開いておき、その後は直ちに閉じます。
これらすべての根底にある原則は、バックアップは本番環境の認証情報が届かない場所に保存され、ロックが有効な間は削除できないということです。これは強力な分離であり、依然としてAWS内にあるため、真のエアギャップを実現するには、クロスクラウドコピーと組み合わせる必要があります。
Azure におけるエアギャップバックアップ
このパターンは、Azure 独自の制御機能を活用することで、Azure にも適用できます。
サブスクリプションを分離します。 バックアップは、本番環境とは異なる管理グループに属し、独自のアクセス境界を持つサブスクリプションに保存します。本番環境のサブスクリプションが侵害されても、権限のないサブスクリプションには到達できません。Azure RBAC により、バックアップにアクセスできるユーザを定義し、常設の管理者アカウントではなく、自動化されたプロセスにスコープを限定します。
コピーを不変にします。 Azure Blob には、時間ベースの保存ポリシーを設定したロック状態の不変ストレージを使用します。これにより、保存期間が終了するまでコピーが削除または上書きされることはありません。Azure Backup では、不変の保管庫とソフト削除を有効にします。これにより、削除された復旧ポイントも保存期間内であれば復元可能です。リソースロックを設定することで、誤操作や悪意のある削除に対するさらなる防護策が追加されます。
リージョン間のコピー。 サブスクリプション間およびリージョン間のコピーにより、AWS で別々のアカウントやリージョンが提供するのと同じレベルの隔離を Azure 上で実現できます。コピーを 2 つの境界にまたがって配置すれば、攻撃者は両方の境界を突破しなければなりません。
書き込みパスはバックアップの実行中のみ開放し、それ以外の時間は閉じておきます。
クロスクラウド：真のエアギャップ
上記の対策はすべて、1 つのクラウド内でのコピーの隔離に留まります。これによりほとんどの攻撃は阻止されますが、多くのベンダーはそこで手を打っています。N2WSの立場としては、同じプロバイダーとコントロールプレーンを共有するコピーは完全なエアギャップとは言えません。なぜなら、そのコントロールプレーンを乗っ取った者は、その下にあるすべてのアカウントにアクセスできてしまうからです。
真のエアギャップとは、コピーを別のクラウドに配置することです。AWSのワークロードを自身が所有するAzureアカウントにバックアップするか、その逆を行うことで、コピーは別のプロバイダー、別の認証情報、そして別のコントロールプレーンの背後に配置されます。AWS環境を乗っ取った攻撃者であっても、Azure上に存在するコピーへ侵入する経路は一切ありません。これは、テープを取り出して別の建物に施錠して保管するのと同じ効果をクラウド上で実現するものです。
これこそが、N2WSが定義する「エアギャップ」です。N2WSはバックアップをクラウド間でコピーしてユーザーが所有するストレージに保存し、各プラットフォームのネイティブロック機能を通じて改ざん防止を確保するとともに、AWSボリュームのバックアップをAzureに直接復元するなど、迅速な復旧を実現します。この「ギャップ」は、お客様が管理するアカウント内に留まり、外部のプラットフォームには何も保持されません。
規制対象データに関する注意点： データ居住地や主権に関する規則がある場合は、エアギャップ化されたコピーが実際にどこに保存されるかを確認してください。一部のベンダーのマネージド・ヴォールトではリージョンの選択が許可されておらず、データ居住地の要件に違反する可能性があります。N2WSではコピーがお客様のアカウント内に保持されるため、クラウドとリージョンを自由に選択でき、この「ギャップ」によってデータ居住地の管理権を失うことはありません。
エアギャップと不変性：ランサムウェアに対する多層防御
ランサムウェアは、データを暗号化するだけでなく、身代金を支払わずに復旧できるバックアップを標的にするようになっています。現在、データ侵害の48％がランサムウェアによるものです（Verizon 2026 DBIR）。バックアップにアクセスされた場合、復旧にかかるコストは大幅に高くなります。
強力なランサムウェア防御には、以下の制御策を組み合わせます：
不変性：これにより、コピーが改ざんされたり削除されたりすることを防ぎます。
エアギャップ：これにより、コピーにアクセスできなくなります。
頻繁な復旧ポイント：これにより、クリーンなコピーが最新の状態に保たれます。
復旧テスト：これにより、実際の環境下で復元が可能であることを確認できます。
計画段階で留意すべき点として、隔離されたコピーは、迅速に復元できる場合にのみ有効です。コピーを保護するエアギャップそのものが復旧プロセスに追加の手順をもたらすため、エアギャップ化されたアカウントやサブスクリプションからの復元は、年に1回ではなく、定期的にリハーサルを行う必要があります。実際の環境下で復旧テストを行うチームは、インシデントが発生する前にボトルネックを発見することができます。
N2WSの仕組み
N2WSは、お客様自身のAWSまたはAzureアカウント内で動作するインフラストラクチャソフトウェアです。お客様のデータをベンダーの保管庫に保持することは一切ないため、隔離環境は完全に自社環境内に留まり、攻撃者がアクセスできる外部プラットフォーム上のデータは一切存在しません。
隔離処理は自動化されています。スケジュールされたバックアップは、アカウント間、リージョン間、あるいはクラウド間で、お客様が所有するストレージにコピーされ、その後、AWSおよびAzureのネイティブAPI（EBSスナップショットロック、S3オブジェクトロック、WasabiおよびAzure Blobの不変性機能）を通じて、変更不可能な状態にロックされます。インストールが必要なエージェントはなく、プロセス内に外部への依存関係も一切ありません。
FAQ
不変バックアップとエアギャップバックアップは同じものですか？
いいえ。不変バックアップは、保存期間中は変更や削除ができません。一方、エアギャップバックアップは、ネットワーク経由で一切アクセスできません。これらは互いに補完し合うものであり、最も堅牢な構成では両方を併用します。
クラウドバックアップをエアギャップ化することはできますか？
はい。コピーを別のアカウントまたはサブスクリプションに隔離し、ネットワークおよび認証情報によるアクセスをブロックし、バックアップの書き込み時のみ接続を開きます。この「同一クラウド内での隔離」が一般的なアプローチですが、N2Wでは、コピーが同じプロバイダーとコントロールプレーンを共有しているため、これを「部分的なギャップ」として扱います。真のエアギャップを実現するには、コピーを完全に別のクラウドに配置し、別のプロバイダー、別の認証情報、別のコントロールプレーンの背後に置く必要があります。これは、クラウド環境において物理的なエアギャップに最も近い状態と言えます。N2Wはこの手法を採用しており、クラウド間（AWSからWasabiやAzureへ）でバックアップをコピーし、お客様が所有するストレージに保存することで、ほぼ瞬時の復旧を実現します。
論理的なエアギャップを備えた保管庫とは何ですか？
本番システムがその内容にアクセスしたり削除したりできないよう、隔離・ロック・暗号化されつつ、復旧時には利用可能な状態が保たれているバックアップ・ヴォルトのことです。AWS Backupはこれをマネージド機能として提供しており、別のアカウントと不変ストレージを使用することで同様の隔離環境を構築することも可能です。ただし、これらはすべて単一のクラウド内に存在するため、N2Wではこれを真のエアギャップではなく、強力な論理的ギャップとみなしています。真のエアギャップを実現するには、コピーが保護対象のクラウドの外に出る必要があります。
エアギャップはランサムウェアを阻止できるか？
ランサムウェアがそのコピーに到達するのを阻止します。これこそがエアギャップの真の目的です。現在、ランサムウェアはバックアップを直接標的としています（Veeamによると、2025年には被害者の89％がバックアップを標的にされました）。そのため、攻撃者が手を付けられない隔離されたコピーがあるかどうかが、復旧できるか、身代金を支払うかの分かれ目となることがよくあります。
物理的なエアギャップと論理的なエアギャップ、クラウドにはどちらが適しているか？
クラウドの場合、物理テープは避けるべきです。確かにオフラインですが、復旧に時間がかかり、管理コストもかかります。クラウドベースのエアギャップなら、隔離性を確保しつつ迅速な復旧が可能です。ただし、単一のクラウド内での隔離は部分的なエアギャップに過ぎないことを覚えておいてください。最も強力なクラウドエアギャップはクロスクラウド、つまり別のプロバイダーにコピーを置くことであり、これによりテープと同等の隔離性を維持しつつ、復旧におけるパフォーマンスの低下を回避できます。
エアギャップは、単に2つ目のバックアップコピーを保持することとどう違うのでしょうか？
同じアカウント内にあり、同じ認証情報でオンライン状態にある2つ目のコピーは、オリジナルとともに削除される可能性があります。エアギャップは隔離性を追加します。つまり、別のアカウントを使用し、アクセスをブロックすることで、その追加のコピーは実際に攻撃者の手の届かない場所にあるのです。
エアギャップバックアップはどのくらいの頻度で更新すべきでしょうか？
必要なときに隔離されたコピーが最新の状態であるように、十分な頻度で更新する必要があります。あらゆるエアギャップにおける課題は、隔離措置によってコピーの更新頻度が低下してしまうことです。クラウド環境では、このギャップを埋めることができます。コピーを自動化することで、攻撃が発生した時点で既に古くなっている週次スナップショットではなく、常に最新かつ隔離されたバージョンが待機している状態を維持できるのです。
ランサムウェアの攻撃からどれだけうまく生き残れるかは、2つの要素によって決まります。それは、クリーンなコピーの更新頻度と、それをどれだけ迅速に復元できるかです。N2WSは60秒ごとにポイント・イン・タイムのバックアップを取得し、ほぼ瞬時に復元します。そのため、最悪の場合のデータ損失は数秒単位で済み、隔離されたコピーは本番環境とほとんど遅れをとることがありません。
RSSフィードを取得する
