SCS★3に向けてNASを確認していたら、セキュリティソフトの期限切れが見つかった
世代バックアップの確認中、NASのセキュリティソフトが約5か月前に期限切れになっていたと気付きました。SCS★3の準備で見つかった情報管理の穴と、その後の対応を記録します。
先日、SCS★3に向けて世代バックアップを設定し、初回バックアップ、2回目以降の差分動作、さらに過去世代からファイルを取り出して開くところまで確認しました。
その後も、毎日のバックアップが動いているか、外付けのバックアップ先がどのような状態かを見るため、NASの管理画面を確認していました。
そこで、まったく別のことに気付きました。
NASに入れているTrend Micro NAS Securityのサポート契約が切れていました。
バックアップとは別の画面で、たまたま見つけた
管理画面のセキュリティ関係を見ていると、次の表示が出ていました。
サポート契約期間は終了しました
有効期限は2026年4月11日。確認したのは2026年9月なので、約5か月前に切れていたことになります。
セキュリティソフトの期限を調べるために管理画面を開いたわけではありません。世代バックアップの動作を確認しながら、関連する画面を見ている途中で偶然見つけました。
3年前に設定したことと、「3年後には更新が必要」ということは何となく覚えていました。ただ、何月何日までだったかは覚えていませんでした。
NASは普通に動き、社員もいつもどおりファイルを使えていました。仕事が止まるようなエラーが出たわけでもありません。この画面を見なければ、もうしばらく気付かなかった可能性があります。
毎月の状態レポートは「問題なし」だった
当社のNASは、I-O DATAのクラウド状態管理サービス「NarSuS」に登録しています。
毎月届く定期レポートには、ファームウェア、稼働時間、温度、ディスク使用量などの情報があり、4月以降も次のように記載されていました。
現在の状態：問題は検出されておりません
少なくとも、普段受け取っているメールを確認した範囲では、今回のライセンスについて「間もなく切れます」「更新してください」といった専用の通知は見つけられませんでした。
これはNarSuSに問題があるという話ではありません。NAS本体の状態と、別に導入したセキュリティソフトの契約期限は、同じ「NASの管理」に見えても確認する対象が異なります。
ただ、利用する側としては、毎月「問題なし」というメールが届き、NASも普通に動いていれば、全体に問題がないように感じやすいところです。機器の稼働監視だけでは、契約期限まで確認したことにはならないと分かりました。
3年後の更新を、記憶だけで管理するのは難しい
1年ごとの更新なら、毎年の恒例行事として覚えやすいかもしれません。3年となると、購入時には覚えていても、その間に会社の情報管理環境が変わります。
当社でもこの3年間に、Google Workspaceの導入、NASとクラウドを組み合わせたバックアップ、DX認定、AIを使った社内ナレッジ基盤、BCPや情報セキュリティの見直しなどを進めてきました。
その中で、購入時に把握した一つの更新日だけを、人の記憶に残しておくのは難しいと感じます。
今回はたまたま見つかりました。しかし、「見つかってよかった」で終われば、別の契約で同じことが起こります。
その場で1年の延長ライセンスを購入した
期限切れに気付いた後、使用しているNASに対応するライセンスを確認し、1年分の延長ライセンスを購入しました。
I-O DATAの公式案内では、Trend Micro NAS Securityは延長ライセンスを用意したうえで、NASの管理画面から追加できます。期限切れ後に追加する場合の手順も案内されています。
この記事を書いている時点では、まだライセンスの到着待ちです。届いた後に更新作業を行い、正常に有効化されたことまで確認する予定です。
したがって、現時点で完了したのは購入までです。更新作業そのものは未完了であり、実際に有効化できたことまで確認してから、社内の対応記録も完了にします。
バックアップを「設定して終わり」にしなかったから見つかった
今回の出来事で一番印象に残ったのは、世代バックアップを設定したことではなく、その後も状態を見に行ったことで期限切れが目に入ったことです。
今回のバックアップでは、次のところまで確認しました。
- 初回バックアップが完了したか
- 2回目が差分で動いたか
- 実際の使用容量はどうなっているか
- 過去のファイルを本当に取り出せるか
もし「バックアップ用の機器を付けたから大丈夫」で終わっていたら、今回の期限切れには気付かなかったかもしれません。
SCS★3の要求事項を確認し始めたことで、以前よりNASの管理画面を見るようになりました。その結果、バックアップとは別の場所に残っていた問題も見つかりました。
認定への準備は、決められた項目を埋めるだけではなく、普段は見ていなかった場所を実際に確認するきっかけにもなるのだと思います。
次からは、機器だけでなく「期限」も管理する
会社には、一定期間ごとに更新が必要なものがあります。
- セキュリティソフト
- UTMなどのネットワーク機器
- 各種ソフトウェア
- ドメインやSSL証明書
- クラウドサービス
- 保守契約
それぞれの管理画面を毎日見ることはできません。「期限が来たら思い出す」という運用にも限界があります。
少なくとも重要なものは、何を使っているか、いつまで有効か、誰が確認するか、更新時期をどう知らせるかを一覧で分かるようにしておく必要があります。
今回購入したライセンスも、有効化を確認した時点で次回期限を記録し、期限前に確認できるようにします。
数か月間気付いていなかったことは、決して格好のいい話ではありません。ただ、今気付けたので更新でき、次に同じことを起こさないための管理方法も考えられます。
バックアップを確認する。復元してみる。機器の状態を見る。契約や設定も確認する。そうやって一つずつ触ることで、それまで気付いていなかった弱いところが見えてきます。
認定を目指す過程で、実際に少し強い会社になっていく。
今回も、その途中で見つかった一つの穴と、その後の対応として記録しておこうと思います。