「ウェブサイト」に含まれるものを定義する
サービスのインベントリから始めてください。各サイト、ポータル、ストア、キャンペーンについて、ビジネス責任者、技術責任者、ホスティングアカウント、ドメインとDNSコントロール、リポジトリ、コンテンツとメディアストア、統合、重要な資格情報を記録します。バージョン管理から再構築可能なものと、固有の記録を持つものを区別してマークします。
リダイレクト、CDNやファイアウォール設定、スケジュールされたジョブ、テンプレート、インフラストラクチャをコードとして表現したファイルなど、構成は意図的に含めます。ライブのシークレットを一般的なマニフェストにそのままコピーしないでください。代わりに承認済みのシークレットシステムと緊急アクセス手順への参照を示します。WordPressのドキュメントは一般的なギャップを示します：典型的なサイトはファイルと別のデータベースの両方を必要とします。
必須情報や取引を提供できる最小限の安全なバージョンを定義します。
互換性のあるデータベース、ファイル、メディア、設定のエクスポートに対して1つのタイムスタンプまたはバージョンラベルを付けます。
業務許容度から頻度と保持を決める
変更の頻度と価値に応じて頻度を選びます。RPOを平易な言葉で書き、各ユニークなストアが十分な頻度で捕捉されているかを確認してください。急速に変化するデータベースに対して四時間のRPOを求めるなら、夜間のファイルコピーでは間に合いません。
RTOは別に設定します。承認、クリーンなインフラ、復元、検証、トラフィック変更、社内連絡を含めてください。ベンダーの主張をそのまま採用するのではなく、ドリルで計測してください。誤操作や発見遅れに備えて古い復元ポイントを十分に保持し、データに規制やプライバシー上の注意がある場合は保持方針を法務や記録担当と見直してください。
完全な復旧ポイント間の間隔を各サービスのRPOと比較します。
認可された人物が古い承認済みの復元ポイントを見つけられることを検証します。
復旧用コピーを分離して保護する
1つのアカウント、ローカルイベント、あるいはミスによって全てのオプションが失われないように、異なる場所やサービスに複数コピーを使用してください。CISAは定期的な自動バックアップ、オフサイトコピー、暗号化、オフラインコピーを推奨しています。NCSCは常時接続されたバックアップデバイスを避け、複数のバックアップソリューションやロケーションを推奨します。
バックアップ管理は最小権限、対応する多要素認証（MFA）の利用、別個の管理アカウント、アクセスレビューで保護してください。削除保護、バージョン履歴、不変ストレージはそのコストと復旧挙動を理解した上で使います。鍵管理をテストしてください。鍵が届かない暗号化は使えませんし、広く共有されたアクセスは全てのコピーを弱めます。
コピーは本番と意味のある異なる故障モードを持つべきです。
誰がバックアップを読み取り、変更し、削除し、復元できるかを列挙し、古いアクセスを削除します。
復旧ランブックを作成し権限を割り当てる
ランブックはテスト済みの復旧手順です。影響を受けたサイト、通常のIDプロバイダ、または通常のチャットシステムが使えない場合でも参照できるコピーを保持してください。連絡先と代替、権限、システム優先度、バックアップ場所、前提条件、復元順、検証チェック、停止条件を含めます。
各重要サービスについて説明責任のある復旧オーナーと代替を命名します。本番復旧、DNS変更、業務データ検証を誰が承認するかを定義してください。カード決済データ、機微個人情報、または規制対象記録が関与する場合は、保持、通知、復元の判断前に適任のセキュリティ、プライバシー、法務、および該当する場合はPCIのレビューを受けてください。
選択した復元ポイント、承認者、触れたシステム、検証結果、例外を記録します。
管理された緊急アクセスを文書化します。1人の従業員の端末や記憶に頼らないでください。
疑わしい侵害後は安全に復元する
不正アクセス、マルウェア、疑わしい削除の可能性がある場合は、最新のコピーで自動的に本番を上書きしないでください。インシデント手順に従い、どのアカウントとバックアップが影響を受ける可能性があるかを評価し、証拠に基づくポイントを選び、接続する前に復旧環境を再構築または分離してください。
CISAは重要サービスの優先順に従った復旧を指示し、クリーンなシステムに再感染させないよう警告しています。NCSCはバックアップを既知のクリーンなデバイスにのみ接続し、復元前にスキャンすることを推奨します。これらの手順はリスクを低減しますが、クリーン性を保証するものではありません。調査、証拠保全、通知義務が生じる可能性がある場合は、適任のインシデント対応支援にエスカレーションしてください。
クリーンなインフラで最高優先度のサービスを復元し、検証してから依存関係順に続けます。
ユーザージャーニー、データ、ジョブ、統合、管理、ロギング、新しいバックアップの適用範囲を確認します。
ドリルを証拠と改善の入力に使う
部分的な復元、隔離された完全再構築、依存喪失の演習、または役割別のテーブルトップをリスクに応じて実施してください。まず安全で意味のあるテストから始め、時間をかけて現実性を高めます。CISAは完全および部分的な復元テストを推奨し、NCSCは役割、サードパーティ責任、優先順位を明確にする演習を推奨しています。
復旧ポイントの時点をRPOと比較し、経過復旧時間をRTOと比較して測定します。セット識別子、参加者、検証結果、失敗した手順、修正の責任者を記録します。ギャップを埋めた後や、基盤プラットフォーム、ID、データベース、プロバイダに重大な変更があった後は再テストしてください。SIUはこの予防的な改善作業を整理できますが、バックアップシステムやライブ監視サービスではありません。
どこに何が復元され、何が合格し何が失敗し誰が受容したかを簡潔に記録します。
重要なアーキテクチャやサプライヤーの変更後に焦点を絞ったテストを繰り返します。