エアギャップとは？仕組み・バックアップでの使い方と限界をやさしく解説
ランサムウェア対策やバックアップの話で「エアギャップ」という言葉を見かけて、気になっていませんか。
ひとことで言えば、守りたいものをネットワークから切り離し、外から自動で届く道をなくす守り方です。
この記事では、仕組みと似た対策との違い、使われる場面と破られる経路、手元で始める方法までを図で解説します。
この記事は以下のような人におすすめ！
- エアギャップの意味を、ファイアウォールとの違いも含めて知りたい人
- ランサムウェアに備えて、バックアップの置き方を見直したい人
- 「つながない」だけで本当に安全なのか、限界も知りたい人
エアギャップとは何か
1-1. エアギャップは「つながない」ことで守る考え方
エアギャップ（air gap）は、直訳すると「空気のすき間」です。
守りたいコンピューターやネットワークと、インターネットなどの外のネットワークとの間に、ケーブルも無線もない「すき間」を作ることを指します。
米国のNISTの用語集では、2つのシステムが物理的につながっておらず、論理的なつながりがあっても自動化されていない境界として説明されています。
ここでいう「自動化されていない」とは、データが人の手で、人の管理のもとでだけ受け渡されるという意味です（参考1）。
図の左のように、ふつうのパソコンは、ケーブルや無線でいつでも外と通信できます。
便利な反面、外から届く攻撃も、同じ道を通ってやってきます。
右のエアギャップでは、その道そのものがないため、ネットワークを通って外から自動で届くことはありません。
中のデータを外へ出したいときや、外から何かを入れたいときは、人が媒体を持って運ぶことになります。
つまりエアギャップは、通信を見張るのではなく、通信の道をなくすことで守る考え方です。
大切なものを鍵のかかった別室にしまい、廊下でつながないようなイメージを持つと分かりやすいでしょう。
切り離す範囲は、1台のパソコンのこともあれば、いくつもの機器が集まったネットワーク全体のこともあります。
たとえば工場の制御用ネットワークのように、内側の機器どうしはつながっていても、外とはつながっていないという形です。
1-2. ファイアウォールやネットワーク分離との違い
エアギャップとよく比べられるのが、ファイアウォールとネットワーク分離です。
どれも外からの攻撃を防ぐという目的は同じですが、守り方が少しずつ違います。
ファイアウォールは、線はつながったまま、決めたルールに合う通信だけを通す仕組みです。
ネットワーク分離（セグメンテーション）は、ネットワークをいくつかの区画に分け、区画の境目で通信を絞る考え方です。
どちらも線はつながっているので、設定の誤りや弱点があれば、そこを通って攻撃が届く可能性は残ります。
エアギャップは線そのものをなくすため、ネットワークを経由する攻撃に対しては、とても強い守りになります。
その代わり、データの受け渡しに手間がかかり、ふだんの使い勝手は大きく下がります。
| 対策 | 線のつながり | 通信の通し方 | 運用の手間 |
|---|---|---|---|
| ファイアウォール | つながっている | ルールに合う通信だけ通す | 少ない |
| ネットワーク分離 | 区画ごとにつながる | 区画の境目で絞る | 中くらい |
| エアギャップ | つながっていない | 人が媒体で受け渡す | 大きい |
実際には、どれか1つだけを選ぶというより、守りたいものの大切さに合わせて組み合わせることができます。
たとえば、ふだんの業務はファイアウォールと分離で守り、失うと困るバックアップだけをエアギャップで守る、という分け方です。
最近よく聞くゼロトラストは、つながっていることを前提に、通信のたびに相手を確かめる考え方なので、エアギャップとは発想が逆になります。
ゼロトラストやネットワーク分離の詳しい中身は、記事の最後で紹介する記事にまとめています。
- エアギャップは、守りたいものと外の間に線のないすき間を作る守り方
- データの受け渡しは、人の手で、人が確かめて行う
- ファイアウォールや分離と違い、通信の道そのものをなくす
エアギャップが使われる場面
2-1. ランサムウェアに備えるオフラインバックアップ
いま、エアギャップがいちばん身近に語られるのは、ランサムウェアに備えるバックアップの場面です。
ランサムウェアは、パソコンに保存されたファイルを勝手に暗号化し、元に戻す代わりに金銭を要求する不正なプログラムです（参考3）。
やっかいなのは、パソコンにつないだままの外付けドライブや、ネットワークでつながったNASなどの保存先まで、まとめて暗号化されることがある点です。
警察庁は、ランサムウェアによってバックアップのデータまで暗号化されてしまう事例が多く確認されていると注意を呼びかけています。
そのうえで、バックアップをこまめに取り、ネットワークから切り離してオフラインで保存するなどの備えを勧めています。
英国のNCSCも、つないだままのUSBドライブやネットワーク上の保存先にあったバックアップまで暗号化された事例を挙げ、少なくとも1つのバックアップは常にオフラインにしておくよう説明しています（参考4）。
図の右のように、外して保管したドライブには線がないので、パソコンが暗号化されても届きません。
これが、バックアップにおけるエアギャップの役割です。
ここで大切なのは、すべてのバックアップを外すことではなく、少なくとも1つを攻撃の届かない場所に置いておくことです。
ふだんの自動バックアップはつないだままの保存先に任せ、それとは別に、外して保管するコピーを持つ形が現実的でしょう。
なお、警察庁は、感染に気づいたときにもLANケーブルを抜いたり無線をオフにしたりして、パソコンをネットワークから隔離するよう呼びかけています。
このとき、調査に必要な記録が消えないよう、電源は落とさないようにとされています（参考2）。
これは感染の広がりを止めるための緊急の対応で、ふだんから線のない場所にコピーを置いておくエアギャップとは、目的が少し違います。
ランサムウェアそのものの手口や、感染したときの対応の全体像は、記事の最後で紹介するランサムウェア対策の記事にまとめています。
2-2. 工場や重要インフラなどの制御システム
エアギャップがよく話題になるもう1つの場面が、工場の生産設備や、電力・水道などを動かす制御システムです。
制御システムは、止まったり誤作動したりすると、生産や暮らしに大きな影響が出ます。
そのため、事務用のネットワークやインターネットから切り離して運用されることがあります。
攻撃の手口を整理したMITRE ATT&CKでも、会社のネットワークから切り離された制御システムの環境へ、持ち込み媒体でマルウェアを入れる手口が取り上げられています。
媒体を持ち込むのは、事情を知らない取引先や保守の業者である場合もあるとされています（参考6）。
一方で、遠隔からの監視やデータの活用のために、制御システムを外のネットワークとつなぐ場合もあります。
「うちはエアギャップだから安全」と思い込まず、本当に線がないかを定期的に確かめることが大切です。
2-3. 機密情報を扱う端末を切り離す
業務によっては、特に重要な情報を扱うパソコンを、ネットワークにつながずに使うこともあります。
たとえば、暗号の鍵や重要な設計データのように、漏れると取り返しがつかない情報を扱う場面が考えられます。
このような端末では、ネットワーク経由で情報を抜き取られる道がなくなる、という利点があります。
一方で、USBメモリでの持ち出しや、画面の盗み見など、ネットワーク以外の道は残ります。
エアギャップはネットワークの道をふさぐ対策であり、すべての情報漏えいを防ぐものではない点を覚えておきましょう。
ここまでの3つの場面を、表にまとめておきます。
| 場面 | 守りたいもの | 切り離す主な理由 | 残る道 |
|---|---|---|---|
| オフラインバックアップ | 元に戻すためのコピー | 暗号化に巻き込まれないため | つなぎっぱなし、媒体の持ち込み |
| 制御システム | 設備の安定した動き | 止まると影響が大きいため | 保守の媒体、一時的な接続 |
| 機密情報の端末 | 漏れては困る情報 | ネットワーク経由の抜き取りを防ぐため | 媒体での持ち出し、盗み見 |
この「ネットワーク以外の道」については、4章でもう少し詳しく見ていきます。
エアギャップを作るしくみと運用
3-1. 物理的に切り離す方法
物理的なエアギャップの作り方は、考え方としてはとても単純です。
守りたい機器からLANケーブルを外し、Wi-FiやBluetoothなどの無線も使えないようにします。
無線は目に見えないので、設定でオフにするだけでなく、無線の機能をもたない機器を選ぶ場合もあります。
バックアップ用のドライブなら、使うときだけつなぎ、終わったら外して保管するのが基本の形です。
外付けドライブやテープのように、取り外して持ち運べる媒体は、この使い方に向いています。
保管場所を元のパソコンと別の部屋や建物にすれば、火事や盗難にも備えやすくなります。
| 切り離す対象 | 方法 | 見落としやすい点 |
|---|---|---|
| 有線LAN | ケーブルを抜く | 予備のポートや別の線 |
| 無線（Wi-Fi・Bluetooth） | 機能をオフにする、または無い機器を選ぶ | 自動で再接続する設定 |
| バックアップ用ドライブ | 使い終わったら外す | 外し忘れ、つなぎっぱなし |
見落としやすいのが、スマートフォンをUSBケーブルでつなぐ場面です。
MITRE ATT&CKによると、スマートフォンをつなぐとUSBドライブのように見えることがあり、そこにマルウェアがあれば感染のきっかけになりえます（参考5）。
充電のつもりでも、隔離した機器にスマートフォンや私物の機器をつながないようにしましょう。
大切なのは、外したつもりで終わらせず、線がない状態が保たれているかを確かめ続けることです。
3-2. 物理的なエアギャップと論理的な隔離の違い
最近は、「論理的なエアギャップ」や「論理的な隔離」という言葉を目にすることもあります。
これは、線はつながったまま、別の管理者や別のアカウントで管理したり、一定の期間は消したり書き換えたりできない設定にしたりして、保存先を守る方法です。
物理的なエアギャップは、線を抜くだけなので仕組みが分かりやすい反面、毎回つないだり外したりする手間がかかります。
論理的な隔離は、自動で運用しやすい反面、設定や権限の管理に穴があると守りが崩れます。
NISTの用語集の説明に照らすと、自動で通信できる論理的な隔離は、厳密な意味でのエアギャップとは分けて考えたほうが整理しやすいでしょう（参考1）。
製品の説明でも、Synologyは書き換えできず「エアギャップ」にしたコピーを1つ、離れた場所の別の機器に置く方法を紹介しています（参考7）。
このような「エアギャップ」が物理的な切り離しなのか、仕組みによる隔離なのかは、説明を確かめる必要があります。
確かめるときは、次の3点を見ると整理しやすくなります。
- 保存先と元のパソコンの間に、ふだんから線がつながっているか
- つながっている場合、保存したデータを決めた期間は消したり書き換えたりできない設定があるか
- 保存先を管理するアカウントが、ふだん使うアカウントと分かれているか
3-3. データの受け渡しは人が確かめて行う
エアギャップの内側にも、ソフトの更新ファイルや作業データを持ち込む必要は出てきます。
そのときの受け渡しを、どう安全に行うかが運用の要です。
NISTの説明にあるとおり、エアギャップを越えるデータは、人の手で、人の管理のもとで受け渡されます（参考1）。
図の流れを、文章でも確認しておきましょう。
- 受け渡し専用の媒体を用意し、私物のUSBメモリとは使い回さない
- 検査用のパソコンで、マルウェアが含まれていないかを確かめる
- いつ、誰が、何を渡したかを記録する
- 決められた人だけが、隔離された側へ持ち込む
専用の媒体にするのは、外のパソコンで使った媒体にマルウェアがまぎれ込んでいても、気づきにくいからです。
検査用のパソコンを分けておけば、万一マルウェアが見つかっても、隔離された側の機器に影響を広げずにすみます。
記録を残しておくと、あとで問題が見つかったときに、いつ持ち込んだデータが原因かをたどれます。
持ち込める人を決めておくのは、誰でも媒体を挿せる状態だと、ほかの手順が守られなくなるためです。
手順の細かさは、組織や守る対象によって変わります。
会社で運用する場合は、自分で手順を作らず、管理者が決めたルールに従ってください。
エアギャップの限界と破られる経路
4-1. USBメモリなどの持ち込み媒体
エアギャップは強力ですが、絶対に破られないわけではありません。
いちばん知られている経路が、USBメモリなどの持ち込み媒体です。
MITRE ATT&CKは、攻撃者がマルウェアを取り外しできる媒体にコピーし、媒体が挿されたときに動かすことで、切り離されたネットワークやエアギャップのあるネットワークのシステムへ入り込みうると説明しています。
図のように、外とつながるパソコンで感染したUSBメモリを人が内側へ持ち込めば、線がなくてもマルウェアが入り込みます。
だからこそ、3-3で見た受け渡しのルールが、エアギャップの守りを支える柱になります。
落ちていたUSBメモリや、出どころの分からない媒体を、隔離された機器に挿してはいけません。
MITRE ATT&CKでも、不要な自動実行の機能を止めることや、業務に必要のない持ち込み媒体を組織のルールで禁止・制限することが対策に挙げられています（参考5）。
実際の例としてよく知られているのが、制御システムを狙ったマルウェアのStuxnet（スタックスネット）です。
MITRE ATT&CK for ICSでは、Stuxnetが取り外しできるドライブを通じて広がり、その媒体は内部の協力者や事情を知らない請負業者が持ち込んだ可能性があると説明されています（参考6）。
線がつながっていなくても、人と媒体の動きを管理しなければ、エアギャップは越えられてしまうということです。
4-2. つなぎっぱなしの「名ばかりエアギャップ」
次に多いのが、いつの間にかエアギャップでなくなっている、というケースです。
たとえば、バックアップのたびにつなぐのが面倒で、外付けドライブをつなぎっぱなしにしてしまう場合です。
つなぎっぱなしのドライブは、パソコンから見れば、いつでも読み書きできるふつうの保存先です。
パソコンがランサムウェアに感染すれば、そのドライブも暗号化の対象になりえます。
図の下の段のように、バックアップのときだけつなぎ、終わったらすぐ外せば、外している間は届きません。
英国のNCSCも、バックアップをつなぐのは本当に必要なときだけにし、すべてのバックアップを同時につないだ状態にしないよう勧めています（参考4）。
作業が終わったら、パソコンの画面でドライブを取り外す操作をしてから、ケーブルを抜く習慣をつけましょう。
工場などでも、保守のために一時的につないだ線が、そのまま残ってしまうことがありえます。
エアギャップのはずの場所に本当に線がないかを、定期的に確かめましょう。
4-3. 更新や監視が遅れやすい
エアギャップには、守る側にとっての不便さもあります。
外とつながらないため、ソフトの更新やウイルス対策の定義ファイルを、自動では受け取れません。
更新を人の手で運ぶ手間がかかるぶん、古いまま置かれやすくなります。
その状態で媒体からマルウェアが入り込めば、古い弱点を突かれるおそれがあります。
また、外から状態を見守りにくいので、異常に気づくのが遅れることもあります。
対策としては、更新を運ぶ日をあらかじめ決めておき、3-3の受け渡しの手順に沿って定期的に持ち込む方法があります。
異常に早く気づくためには、隔離した機器の動きや記録を、決めた日に人が見て確かめる仕組みも必要です。
エアギャップを選ぶときは、更新を運ぶ手順と、ふだんの点検の方法まで、あわせて決めておくことが大切です。
- エアギャップはネットワークの道をふさぐ対策で、媒体や人を通る攻撃は防げません
- 隔離した機器にも、更新を運ぶ手順と点検の手順が必要です
家庭や小さな職場で始めるエアギャップ
5-1. 3-2-1ルールにオフラインの1つを加える
ここからは、家庭や小さな職場でも始めやすい、バックアップでのエアギャップの取り入れ方です。
バックアップの基本としてよく知られているのが、「3-2-1ルール」です。
Synologyの説明では、データのコピーを少なくとも3つ持ち、2種類の媒体に保存し、そのうち1つは別の場所に置くことを3-2-1ルールとしています。
同じ説明では、書き換えできず「エアギャップ」にしたコピーを1つ、離れた場所の別の機器に置き、バックアップを試すことまで含めた「3-2-1-1-0」という考え方も紹介されています（参考7）。
英国のNCSCも3-2-1ルールを紹介していますが、このルールだけでは、オフラインの保存先を持つことまでは求めていないと指摘しています。
3つのコピーのうち1つを、ふだんはどこにもつながっていないオフラインのコピーにすれば、エアギャップを取り入れたことになります。
家庭で考えると、たとえば次のような組み合わせです。
| コピー | 置き場所の例 | つながり方 |
|---|---|---|
| 元のデータ | パソコン本体 | いつも使う |
| コピー1 | NASや常設の外付けドライブ | 自動でバックアップ（オンライン） |
| コピー2 | 外して保管する外付けドライブ（パソコンから離れた別の部屋や実家などに置く） | バックアップのときだけ接続（オフライン）・別の場所 |
3つとも同じ部屋に置いたままでは、火事や盗難で一度に失うおそれがあるので、コピー2はパソコンから離れた場所に保管しましょう。
クラウドを別の場所の保存先として使う方法もあります。
ただし、パソコンのフォルダーと自動で同期するタイプのサービスでは、暗号化されたファイルがそのまま同期される場合があるので、使い方を確かめておきましょう。
NCSCは、クラウドは線を抜いて切り離せないため、使っていない間は保存先へ接続できないようにする工夫を紹介しています。
たとえば、バックアップを書き込む機器に、使っていない間は保存先に入れる認証情報を持たせないことや、書き込める機器の数をできるだけ絞ることです。
また、ファイルを以前の版に戻せる機能や、消したデータを一定期間取り戻せる機能があるかも、サービスを選ぶときの確認点として挙げられています（参考4）。
5-2. 外付けドライブで回す手順と復元テスト
オフラインのコピーは、作って終わりではなく、回し続けることで役に立ちます。
外付けドライブを使う場合の1サイクルは、次の図のようになります。
- 外付けドライブをパソコンにつなぐ
- バックアップを保存する
- 終わったら、すぐにケーブルを外す
- パソコンから離れた場所に保管する
つなぐ前に、パソコンのウイルス対策ソフトが最新で、怪しい動きがないかを確かめておくと安心です。
暗号化されたファイルをそのままバックアップしてしまうと、オフラインのコピーまで使えなくなるからです。
外付けドライブを2台用意して交互に使えば、片方をつないでいる間も、もう片方は外したままにできます。
| 時期 | つないで保存するドライブ | 外して保管するドライブ |
|---|---|---|
| 1回目 | ドライブA | ドライブB |
| 2回目 | ドライブB | ドライブA |
| 3回目 | ドライブA | ドライブB |
交互に使うと、もし片方に問題のあるコピーを保存してしまっても、1つ前のコピーがもう片方に残ります。
バックアップをとる間隔は、データがどれくらいの頻度で増えたり変わったりするかで決めましょう。
英国のNCSCも、バックアップはこまめに作るほど戻すときに失うデータが少なくなり、作ったバックアップは定期的に試すべきだとしています（参考4）。
たとえば、写真を月に1回まとめて整理するなら、その整理のあとにオフラインのコピーを更新する、という決め方なら続けやすいでしょう。
そして忘れてはいけないのが、ときどき復元テストをすることです。
バックアップがあっても、いざというときに取り出せなければ意味がありません。
Synologyも、別の環境でバックアップを試し、実際に戻せることを確かめる訓練を勧めています（参考7）。
警察庁も、実際の被害では日ごろの運用の問題でバックアップからの復旧がうまくいかない例があるとして、復旧の手順を訓練で確かめておくことを勧めています（参考2）。
一部のファイルを別の場所へ戻してみて、きちんと開けるかを確かめるだけでも、安心感は大きく変わります。
会社のデータの場合は、自分でバックアップを持ち出さず、管理者が決めた保管場所と手順に従ってください。
- オフラインのコピーは、つなぐ時間をできるだけ短くする
- 2台を交互に使うと、いつも1台は外しておける
- 復元テストをした日付と結果をメモしておく
よくある質問
6-1. エアギャップでよくある質問
Q1. エアギャップがあれば、ランサムウェアは完全に防げますか？
いいえ、完全には防げません。
パソコン自体は感染しうるので、エアギャップは「感染しても戻せるコピーを残す」ための備えと考えましょう。
USBメモリなどの媒体を通じて入り込む道も残る点は、4-1で見たとおりです。
Q2. Wi-Fiをオフにするだけでエアギャップになりますか？
一時的に通信を止めることはできますが、設定はかんたんに戻せますし、自動で再接続されることもあります。
守りたいものの大切さに合わせて、ケーブルを抜く、無線のない機器を選ぶなど、線がない状態を保てる方法を選びましょう。
Q3. クラウドバックアップはエアギャップですか？
ネットワーク経由で保存するので、物理的なエアギャップではありません。
別の管理や消せない設定で守るものは、3-2で紹介した論理的な隔離にあたります。
使う場合は、5-1で紹介したように、使っていない間は接続できない設定や、以前の版に戻せる機能があるかを確かめておくと安心です。
Q4. USBメモリをバックアップ先にしてもいいですか？
使えますが、つないだままにせず、使い終えたら外して保管しましょう。
ほかの機器と使い回すと感染を運ぶおそれがあるので、バックアップ専用にしておくと安心です。
小さくてなくしやすいので、保管場所を決め、最後にバックアップした日付をラベルに書いておきましょう。
Q5. 家庭でもエアギャップは必要ですか？
写真や大切な書類など、失いたくないデータがあるなら取り入れる価値があります。
外付けドライブ1台を、バックアップのときだけつなぐところから始めてみてください。
パソコンが壊れたときや盗まれたときにも、離れた場所のコピーから戻せるので、ランサムウェア以外の備えにもなります。
ここまで読んでくださって、ありがとうございます。
エアギャップは、難しい専門技術というより「大切なものは、つながない場所にも置いておく」という、シンプルな考え方です。
その一方で、媒体や人を通る道は残るので、受け渡しのルールと確認の習慣があってはじめて、守りとして働きます。
まずは手元の大切なデータについて、つながっていないコピーが1つあるかどうかを、確かめるところから始めてみましょう。
今日できることを1つ選ぶなら、外付けドライブにバックアップをとり、終わったらケーブルを抜いて、パソコンから離れた引き出しにしまうことです。
ランサムウェアへの備えや、ネットワークを分けて守る考え方をもっと知りたい方は、次の記事もどうぞ。
