復旧（インシデントからの復旧）
サイバーセキュリティのインシデントで損なわれた資産と業務を、元の状態に戻す活動です（英語では recovery）。CISSP では
CISSPドメイン7 セキュリティ運用で、インシデント管理の一部として、また復旧の戦略や災害からの復旧（DR）として扱います。
検知・
対応と並ぶ活動で、SP 800-61 Rev. 3 は、復旧の手順を対応の最中か後に始めるとしています。事業全体を続ける計画は
BCP、戻すための備えは
バックアップです。
定義
NIST SP 800-184（サイバーセキュリティの事象からの復旧の手引き、2016年12月）は、米国の連邦政府の計画（CSIP）から、復旧（recover）を「サイバーの事象で損なわれた能力やサービスを、時宜にかなって回復し、全面的に元に戻すための、計画・過程・手順を作り、実行すること」と引いています。NIST のサイバーセキュリティフレームワーク（CSF 2.0）の6つの機能の一つ「復旧（RC）」は、SP 800-61 Rev. 3（2025年4月）の説明では、インシデントで影響を受けた資産と業務を元に戻すことです。
2つの段階
SP 800-184 は、復旧を、目的の違う2つの段階で説明しています。
| 段階 |
内容 |
| 戦術の段階（すぐに行う） |
インシデントの前に用意しておいた復旧の手順集（プレイブック）を実行して、元に戻す |
| 戦略の段階（続けて行う） |
インシデントから得た教訓や、ほかの組織・業界の実践をもとに、CSF のすべての機能を改善し、次のインシデントの起きやすさと影響を減らす |
同じ文書は、単純な場合はシステムの作り直しやバックアップからの復元で済むが、多くの場合は人・手順・技術が絡み合ってずっと複雑で、復旧は「戻った・戻っていない」の二択より、システムごとに進み具合の違う段階的な状態として表すほうがよいとしています。
何をするか
- 前もって手順集を作る：SP 800-184 は、活動中のインシデントの最中に使うためではなく、前もって組織ごとに合わせた手順集を作るための手引きだとしています。手順集は、事象の種類ごとに、人・手順・技術の依存関係に合わせて作れるとしています
- 重要なサービスから戻す：米国の CISA（サイバーセキュリティ・インフラストラクチャセキュリティ庁）などの「#StopRansomware Guide」（2023年9月）は、重要なサービスの優先順位に沿って、オフラインで暗号化して保管したバックアップからシステムをつなぎ直し、データを戻すよう勧めています（バックアップ）。どこまでの時間で戻すかの目標はRTO、どこまで遡ってよいかはRPOで決めます
- 戻す前と後に、完全性を確かめる：SP 800-61 Rev. 3 は、復元に使う前に、バックアップなどの復元の材料に、侵害の痕跡や破損などの完全性の問題が無いかを確かめること（RC.RP-03）、戻した資産に侵害の痕跡が無いかを確かめ、本番で使う前にインシデントの根本の原因を直すこと（RC.RP-05）を挙げています
- きれいな環境に戻す：#StopRansomware Guide は、復旧の最中に、きれいにしたシステムを再び感染させないよう注意し、復旧のために新しいネットワークの区画を作ったなら、そこにはきれいなシステムだけを加えるよう求めています。また、攻撃者は侵入した後の活動を隠すためにランサムウェアを置くことが多いとし、侵害が続かないよう、バックアップから作り直す前に、ほかのマルウェアを送り込む仕掛け（ドロッパー）を見つけておくよう注意しています
- 終わりを決め、教訓を残す：SP 800-61 Rev. 3 は、決めた基準で復旧の終わりを宣言し、インシデント・対応と復旧の行動・教訓を記録した事後の報告書を作るとしています（RC.RP-06）。#StopRansomware Guide も、教訓を記録し、組織の方針・計画・手順と、次の演習の改善に使うよう勧めています
- 必要なら外部の助けを求める：SP 800-184 は、手順集を実行する専門の人材が組織の中にいない場合は、対応と復旧の経験を持つ信頼できる外部の組織の助けを求めることができるとしています
違い・誤解しやすい点
- 「身代金を払えば元に戻る」：米国の FBI（連邦捜査局）・CISA と、オーストラリア信号局のサイバーセキュリティセンター（ASD's ACSC）は、身代金を払ってもファイルが戻るとは限らないとして、支払いを勧めないとしています。また、支払いは、攻撃者がほかの組織を狙うことを後押ししたり、ほかの犯罪者がランサムウェアを広めることを促したり、不正な活動の資金になったりしうるとも書いています（Play というランサムウェアについての #StopRansomware の共同の勧告 AA23-352A、2025年6月改訂）
- 「バックアップがあれば大丈夫」：#StopRansomware Guide は、多くのランサムウェアは、アクセスできるバックアップを探して消したり暗号化したりするとして、オフラインで保管するよう勧めています。戻せることを復元の試験で確かめておき（バックアップ）、使う前にはバックアップそのものに侵害の痕跡や破損が無いかを確かめます（SP 800-61 Rev. 3 の RC.RP-03）
- [[BCP]]との違い：BCP は、事業を続けるための計画の全体です。ここでいう復旧は、インシデントで損なわれた IT の資産と業務を戻すことで、BCP の一部として計画されることもあります（筆者の整理）
日本で働くなら
2026年10月時点の内容に基づきます。
| 考え方 |
日本で対応するもの |
| 被害の相談と報告 |
警察庁のサイバー警察局のサイトに、サイバー事案に関する相談窓口と、通報・相談等のオンライン受付窓口の案内がある。インシデントの報告と調整の窓口として JPCERT/CC（JPCERT コーディネーションセンター）がある（リンク集） |
| 個人データが関わるとき |
復旧と並行して、個人データの漏えい等の報告と本人への通知が要るかを確かめる（対応の「日本で働くなら」） |
| バックアップから戻せたとき |
個人情報保護委員会のガイドラインは、ランサムウェアなどで個人データが暗号化され復元できなくなった場合を「毀損」の事例とし、同じ内容のデータがほかに保管されていれば毀損に当たらないとしている。ただし、同時に個人データが盗まれた場合は、漏えいにも当たるとしている（3-5-1-4）。戻せたことだけで、報告が要らないとは限らない（この最後の文は筆者の整理） |
関連するページ
出典
確認日：2026年10月18日
最終更新：2026年10月18日 18:19
