中小企業のバックアップ設計｜3-2-1ルールとクラウドバックアップの選び方
バックアップは「保険」ではなく「必須」
ランサムウェアの被害が中小企業にも拡大する中、バックアップは「あったら安心」ではなく「なければ事業が終わる」レベルの必須対策です。しかし、多くの中小企業でバックアップが「取っているつもりだが復旧テストをしたことがない」状態にあります。
3-2-1ルールとは
バックアップの国際的なベストプラクティスが「3-2-1ルール」です。データのコピーを3つ持つ（本番＋バックアップ2つ）、2種類以上のメディア（異なる媒体）に保存する、1つはオフサイト（物理的に離れた場所）に保管するという3つの原則です。
ランサムウェアはネットワーク上のすべてのドライブを暗号化するため、バックアップもオンラインにあると一緒に暗号化されてしまいます。オフライン（ネットワークから切り離された場所）またはイミュータブル（書き換え不可能な）バックアップが必須です。
「同期」はバックアップではない
最も多い誤解です。OneDrive や Google ドライブ、NASの同期機能は、変更をそのまま反映する仕組みです。
- ファイルを削除すれば、同期先でも削除されます
- ランサムウェアに暗号化されれば、暗号化された状態が同期されます
- 誤って上書き保存すれば、上書き後の内容が同期されます
バックアップとの違いは「過去の時点に戻せるか」です。 バージョン履歴やごみ箱である程度は戻せますが、保持期間と世代数に上限があります。同期をバックアップ代わりにしている場合、それは3-2-1ルールの「コピー3つ」に数えられません。
中小企業での現実的な構成例
3-2-1を満たす構成は、それほど大掛かりでなくても組めます。
| 台数 | 保管先 | 役割 |
|---|---|---|
| 1つ目 | 本番データ（ファイルサーバー、M365） | 業務で使うもの |
| 2つ目 | NASまたはバックアップ専用サーバー | 日常の復旧に使う。速い |
| 3つ目 | クラウドバックアップ、または外付けHDDを金庫保管 | ランサムウェア対策の本命 |
3つ目の要件は「常時つながっていないこと」です。 具体的には次のいずれかを満たします。
- 物理的に外してある（外付けHDDをローテーションし、使わないほうは金庫や別拠点に保管）
- 削除できない設定になっている（イミュータブル、オブジェクトロック、削除保護）
- 本番とは別の認証で管理されている（M365の管理者アカウントが乗っ取られても消せない）
NASを「オフサイト」と呼ばないでください。 同じフロアに置いたNASは、火災・水害・盗難で本番と一緒に失われます。ランサムウェアに対しても、ネットワーク上にある限り暗号化の対象です。
バックアップ対象の優先順位
すべてのデータを同じ頻度でバックアップする必要はありません。業務データ（ファイルサーバー、SharePoint、メール）は毎日バックアップ、システム構成（サーバー設定、AD設定）は週次バックアップ、アプリケーション（SaaSデータ）はSaaS側のバックアップ機能を確認、が基本方針です。
M365やGWSのデータは、Microsoftの共有責任モデルにより「データの保護はユーザー企業の責任」です。M365標準のゴミ箱・バージョン履歴だけでは、ランサムウェアや管理者の誤操作からの復旧には不十分なケースがあります。詳細はSaaSバックアップ戦略の記事を参照してください。
対象から漏れやすいもの
サーバーとM365だけを見ていると、次が抜けます。
- PCのローカルに保存されたファイル — 「サーバーに置くルール」があっても、デスクトップ保存は残ります。OneDrive のフォルダー同期で救える範囲を確認してください
- ネットワーク機器の設定 — ルーター、UTM、スイッチの設定。故障時に設定を再現できないと復旧が長引きます
- 複合機のアドレス帳とスキャン設定
- 業務システムのデータベース — ベンダー任せになっていることが多く、バックアップの有無と保管場所を契約時に確認すべき項目です
- クラウド上の設定情報 — テナントの構成、条件付きアクセスのポリシー。設定のエクスポートを定期的に取っておくと再構築が早くなります
世代管理と保持期間を決める
「毎日上書き」は最も危険な運用です。 ランサムウェアの被害に気づくのが3日後なら、暗号化されたデータで3回上書きされています。
- 日次で最低7〜14世代を保持する
- 月次のバックアップを数ヶ月〜1年残す（誤削除に気づくのが遅れた場合に効きます）
- 容量が足りなくなったときに世代数を減らして対応しない。増設か、対象の絞り込みで対処してください
クラウドバックアップの選択肢
中小企業向けのクラウドバックアップサービスとして、Acronis Cyber Protect（バックアップ＋セキュリティの統合製品）、Veeam Backup for M365（M365データの専用バックアップ）、AvePoint Cloud Backup（M365/GWS対応）、Druva（クラウドネイティブのバックアップ）などがあります。
復旧テストの重要性
バックアップは「取ること」よりも「復旧できること」が重要です。四半期に1回は復旧テスト（リストアテスト）を実施してください。テストでは、バックアップデータが破損していないか、復旧にかかる時間（RTO）が許容範囲内か、復旧したデータが業務に使えるかを確認します。
復旧テストを一度もやったことがない企業は、今すぐ実施してください。「テストしたら復旧できなかった」という発見は、本番の障害で発見するよりはるかにマシです。
テストで見るのは「担当者以外でもできるか」
手順を知っている人が実行できるのは当然です。確認すべきは次の3点です。
- 手順書だけを見て、別の人が実行できるか — IT担当者が被災・不在の場合に備えます
- どれくらい時間がかかるか — 数百GBの復元は数時間〜数日かかります。この数字が、業務停止の見積もりになります
- 復元したファイルが実際に開けるか — バックアップは成功していても、データが破損していることがあります
バックアップの暗号化キーやパスワードの保管場所も確認してください。 暗号化したバックアップのパスワードが、暗号化されたファイルサーバーの中にしかない、という状態は珍しくありません。
日常の運用でつまずく点
- 失敗通知が届いていない — 成功通知だけ設定していると、ジョブが止まっても気づけません。失敗時に通知する設定にしてください
- 容量不足で静かに止まる — 保存先の空き容量を監視対象に入れます
- 対象が増えていない — 新しく導入したシステムやサーバーがバックアップ対象に追加されていないケース。システム導入時のチェック項目に入れてください
まとめ
- 同期はバックアップではない。削除も暗号化もそのまま反映される
- 3つ目のコピーの要件は**「常時つながっていないこと」**。物理的な分離、削除保護、別認証のいずれか
- 同じフロアのNASはオフサイトではない。火災・水害・ランサムウェアで本番と一緒に失われる
- 対象から漏れやすいのは、PCローカル・ネットワーク機器の設定・複合機・業務DB・テナント設定
- 業務システムのバックアップはベンダー任せにせず、有無と保管場所を契約時に確認する
- 「毎日上書き」は危険。日次7〜14世代＋月次を数ヶ月残す
- 容量不足を世代削減で解決しない。増設か対象の絞り込みで対処する
- テストで見るのは担当者以外が手順書だけで実行できるか、何時間かかるか、開けるか
- 暗号化キーの保管場所を確認する。暗号化された本番の中にしかない状態は珍しくない
- 失敗時に通知する設定にし、保存先の空き容量も監視対象に入れる
- 新システム導入時に、バックアップ対象への追加をチェック項目にする
バックアップ設計は「3-2-1ルール」を基本に、オフライン/イミュータブルバックアップと定期的な復旧テストで完成します。災害・障害時の事業継続についてはIT-BCP入門もあわせてご覧ください。
情シス365では、バックアップ設計から復旧テストの定期実施まで、包括的にサポートしています。