クラウドだから安心？SaaS障害に備えるバックアップ戦略と具体的な設定手順
「クラウドにデータがあるから、バックアップは不要」と思っていませんか。これは多くの企業が陥る危険な誤解です。
Microsoft 365やGoogle Workspaceは、インフラの冗長化によってサービスの可用性を確保していますが、ユーザーが誤って削除したデータや、ランサムウェアで暗号化されたデータの復元は保証していません。本記事では、SaaSデータのバックアップ戦略を解説します。
SaaSベンダーの責任範囲を理解する
クラウドサービスには「共有責任モデル」があります。インフラの安定稼働はベンダーの責任ですが、データの保護はユーザーの責任です。
Microsoftの公式ドキュメントにも、データのバックアップはユーザー自身が管理すべきであるという趣旨の記載があります。つまり、Microsoft 365のデータが消失した場合、Microsoftは復旧を保証しません。
バックアップが必要な5つのリスク
誤削除: 社員がSharePointのファイルやメールを誤って削除し、ごみ箱の保持期間（93日）を過ぎると完全に消失します。
退職者データの消失: 退職者のアカウントを削除すると、OneDrive上のデータは30日後に完全削除されます。引き継ぎが不十分な場合、重要なデータが消失します。
ランサムウェア: ランサムウェアがOneDriveやSharePointの同期経由でクラウド上のファイルも暗号化するケースがあります。
悪意のある内部者: 退職前に大量のデータを削除する、機密ファイルを持ち出すといった内部不正への対策として、バックアップは証跡保全の役割も果たします。
SaaS側の障害: 稀ではありますが、SaaS側の障害によるデータ消失の可能性もゼロではありません。
まず標準機能でどこまで戻せるかを把握する
サードパーティ製品を検討する前に、標準機能の範囲を確認してください。 中小企業の事故の多くは、標準機能で復旧できます。
| 機能 | 戻せるもの | 限界 |
|---|---|---|
| ごみ箱（2段階） | 削除したファイル | 保持期間を過ぎると消える |
| バージョン履歴 | 上書き保存前の内容 | 世代数の上限がある |
| 削除済みアイテムの回復 | 削除したメール | 保持期間を過ぎると消える |
| 保持ポリシー | 期間内のデータ全般 | 上位プランが必要な場合がある |
まず自社の保持期間を管理センターで確認してください。 既定値のまま運用している企業がほとんどで、「何日前まで戻せるか」を把握していないと、事故が起きてから調べることになります。
標準機能で足りなくなるのは、次のような場面です。
- 削除に気づくのが遅く、保持期間を過ぎていた（数ヶ月前のファイルが必要になった）
- 退職者のアカウントを削除した後にデータが必要になった
- 大量のファイルを一括で、特定時点の状態に戻したい（ランサムウェア被害後）
- 監査や訴訟対応で、長期の保全が必要になった
バックアップ対象と方法
Microsoft 365のバックアップ対象
Exchange Online（メール、カレンダー、連絡先）、SharePoint Online（サイト、ドキュメントライブラリ）、OneDrive for Business（個人ファイル）、Teams（チャット、チャネルデータ）が主なバックアップ対象です。
サードパーティのバックアップツール
Microsoft 365のデータをバックアップするには、サードパーティのバックアップソリューションを利用するのが一般的です。主な製品として、Veeam Backup for Microsoft 365、AvePoint Cloud Backup、Acronis Cyber Protect Cloudなどがあります。
これらのツールは、Microsoft 365の各サービスのデータを自動的に日次バックアップし、任意の時点のデータを復元できます。バックアップ先はクラウドストレージ（Azure、AWS等）が一般的です。
バックアップの設定ポイント
バックアップ頻度は日次を推奨します。保持期間は最低1年、法的要件に応じて延長します。復元テストは四半期に1回実施し、データが正しく復元できることを確認します。
製品選定で確認すべき5点
カタログの対応範囲だけで選ぶと、いざ復元する段階で困ります。
- 復元の粒度 — メール1通、ファイル1つ単位で戻せるか。サイト全体しか戻せない製品では、日常の誤削除に使えません
- 復元先の選択 — 元の場所に戻すだけでなく、別の場所やローカルにダウンロードできるか。上書きが怖い場面で効きます
- 復元にかかる時間 — 大量データの復元は数時間〜数日かかることがあります。RTO（何時間以内に戻したいか）と照らして確認してください
- データの保管場所 — 国内か海外か。取引先との契約や社内規程で制約がある場合は確認が必要です
- 退職者データの扱い — アカウント削除後もバックアップが残るか。ここが目的の1つであれば必ず確認してください
ランサムウェア対策としての設定
バックアップ自体が攻撃対象になります。 管理者アカウントが乗っ取られれば、バックアップも削除され得ます。
- バックアップ管理用のアカウントを、M365の管理者アカウントと分ける
- 削除操作に多要素認証や承認を要求する設定があれば有効にする
- 一定期間は削除できない設定（イミュータブル、削除保護）が使えるか確認する
復元テストは「誰でもできるか」を見る
四半期に1回、実際に復元してください。確認するのは次の3点です。
- 担当者以外でも手順を実行できるか（手順書があるか）
- どれくらい時間がかかるか（業務停止の見積もりに直結します）
- 復元したデータが実際に開けるか（形式が壊れていないか）
コストの目安
Microsoft 365のバックアップツールの費用は、2026年8月時点で1ユーザーあたり月額300〜500円程度が一般的な目安です。50名の企業であれば月額1.5〜2.5万円程度になります。製品、契約ユーザー数、保持期間、保管容量によって変動するため、検討時点で見積もりを取って確認してください。
判断材料として、復旧できなかった場合の損失と比較します。数日分の受発注データが失われた場合の再入力工数、顧客対応の手間、取引先への説明——これらを金額に換算すると、多くの場合バックアップ費用を上回ります。
まとめ
- まず標準機能の保持期間を確認する。中小企業の事故の多くは標準機能で復旧できる
- 標準機能で足りないのは、保持期間超過・退職者データ・一括復元・長期保全の場面
- 製品選定では復元の粒度・復元先・所要時間・保管場所・退職者データの扱いを確認する
- バックアップ自体が攻撃対象。管理アカウントを分離し、削除保護の設定を確認する
- 復元テストでは担当者以外が実行できるか、何時間かかるか、開けるかを見る
- 費用は2026年8月時点で1ユーザーあたり月額300〜500円程度が目安。検討時に見積もりで確認する
- 判断は復旧できなかった場合の損失（再入力工数、顧客対応、説明責任）と比較して行う
バックアップ全般の考え方は3-2-1ルールの記事、災害・障害時の事業継続はIT-BCP入門で解説しています。
情シス365では、Microsoft 365のバックアップ設計・導入・運用監視を支援しています。60分無料相談をご利用ください。