LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

誤って消したファイルを戻そうとしたら、残っていたのは何週間も前の版だった。故障したサーバーを外付けの記憶装置から戻そうとしたら、途中で読めなかった。バックアップを取っていたはずのデータが古い、あるいは戻らないという事態は、製品を選ぶ前に決めておく事柄を飛ばしたときに起こりえます。

答えを先に示すと、製品を比べる前に「どのデータを・どの時点まで・何時間で戻すか」を業務ごとに決めると、選ぶ製品の種類が絞れます。比べる基準は、戻す目標、本体と離した保管場所、運用の手間、費用の総額の4つです。入れた後は戻す練習を続け、実際に戻せることを確かめます。

「取っているつもり」のバックアップが戻らないと何を失うか

誤って消したファイル、故障したサーバー、ランサムウェア（データを暗号化して身代金を求める不正なプログラム）。どの場合も、データが戻るまで業務は止まり、取引先への説明と、資料や帳簿の作り直しの手間が生じます。戻すまでにかかった日数が、そのまま損失の大きさになります。

悩みごとに、先に読むとよい章を表にまとめました。

IPA（情報処理推進機構）は、中小企業の情報セキュリティ対策ガイドラインを第4.0版に改訂した際、はじめに取り組む5か条に「バックアップを取ろう!」を加えて6か条としました。^*1 バックアップは、規模を問わず最初に整える対策の一つに数えられています。

IPAとJPCERT/CC（JPCERTコーディネーションセンター）が勧める内容を、取る・離して置く・戻す練習の3段階に並べました。自社の現状を段階ごとに塗り分けると、足りない所が見えます。

解決したい方向によって、先に見る点が変わります。

• 誤削除や機器の故障からすぐに戻したいなら：社内の機器に残す形を軸に、戻す速さを比べる
• 火災などの災害やランサムウェアにも備えたいなら：本体と離れた場所（クラウドや別の拠点）にも控えを置く
• 運用の手間を増やしたくないなら：取得の確認と戻す練習を、今の人数で続けられる形を選ぶ

戻らない原因は製品の性能より「同じ場所に置く」「戻したことがない」

本体と常につながった保管先は、ランサムウェアに感染したとき本体と一緒に暗号化されるおそれがあります。IPAの情報セキュリティ6か条は、対策の例として、バックアップに使う装置・媒体を「バックアップ時のみパソコンと接続する」ことを挙げています。^*2

JPCERT/CCも、定期的なバックアップと世代管理（複数の時点の控えを残すこと）を行い、「オリジナルとは別のネットワークにバックアップデータを保管することを推奨します」としています。^*3 製品の性能が高くても、保管先が本体と同じネットワークにつながったままなら、この推奨からは外れます。

もう一つの原因は、取得の成功の通知だけを見て、実際に戻したことがない状態です。取れているかと、戻せるかは別の問いで、後者は試すまで分かりません。次の3つの問いに、今すぐ答えられるかを確かめてください。

• バックアップの保管先が、社内のネットワークに常時つながっていないか
• 最後に復元を試したのはいつか
• どの業務のデータがどこに残るかの一覧があるか

答えられない問いが1つでもあれば、製品を替える前に、置き場所と戻す練習の見直しが先です。ランサムウェアの被害が長引いた事例のつまずきは、ランサムウェアの事例から分かる、被害が長引くつまずきで整理しています。

バックアップの製品を比べる4つの基準

製品を比べる前に、次の4つの基準で自社の条件を決めます。条件が先にあれば、製品の説明を読むときに、自社に要る機能と要らない機能を分けられます。

1つ目の戻す目標は、IPAのガイドラインでは目標復旧時間（RTO）と目標復旧時点（RPO）として出てきます。RTOは復旧にかける時間、RPOはどの時点のデータまで戻すかの目標で、ガイドラインはこれに合わせてバックアップの取得や手順を整え、「訓練で実効性を検証しましょう」としています。^*1

4つのうち、最初に決めるのは戻す目標です。たとえば毎晩1回取る形なら、戻せるのは前の晩の時点までで、その日の昼に入力した分は戻りません。時点の目標が先に決まれば、取る頻度と製品の種類が自然に絞れます。

ファイルサーバーの更新に合わせて製品を選ぶ場面

社内のファイルサーバー（共有のファイルを置くサーバー）の更新に合わせて、バックアップの製品も選び直す場面です。運用を受け持つ担当者が、4つの基準でどう判断を進めるかを表にしました。

この流れで決まるのは、会計のデータを基準にした取り方と、本体から離した控えを条件にした2つの案です。業務ごとの目標が表になっているので、上長は金額だけでなく、どの業務がどこまで戻るかを見て決められます。

後半では、製品の種類の違い、費用対効果の見積もり方、預け先の契約で確かめる点、戻す練習の手順を確かめられます。

バックアップの製品の種類と、それぞれが向く業務

社内の機器に残すか、クラウドに残すか、両方を組み合わせるかで、戻す速さと災害への強さが分かれます。どれか1つが常に優れているわけではなく、業務ごとの戻す目標と、離して置く条件をどう満たすかで選びます。

組み合わせの考え方は、IPAの情報セキュリティ6か条にある3-2-1ルールと重なります。データのコピーを本体を含めて3つ以上持ち、2種類のメディアに保管し、「そのうち1つは稼働システムとは異なる拠点等で保存する」という考え方です。^*2

離して置く方法は、クラウドだけではありません。IPAのガイドラインは、元のシステムから物理的に離した場所に保存する物理的隔離の例として、外付けストレージやバックアップテープ、銀行の貸金庫、信頼できる取引先や関連会社を挙げています。^*1 種類を選ぶときに見る点を挙げます。

• 戻す目標の時間の中で、必要な量を戻し切れるか
• 複数の時点の控え（世代）をいくつ残せるか
• 本体とつながっていない控えを、どの手順で作れるか
• 取得の失敗をどこで知り、誰が気付けるか

費用対効果：止まった日数の損失と比べて見積もる

業務が1日止まったときの損失と作り直しの時間を出し、製品と運用の費用と比べます。製品の価格だけを並べると安い案が良く見えますが、戻すまでの日数が延びたときの損失は価格表には載っていません。

IPAのガイドラインも、失ったデータの復旧は難しく、「復旧には人手と時間を要します」としたうえで、バックアップを取っておけば被害を軽くできると説明しています。^*1 見積もる項目は次の4つです。

比べ方は、案ごとに「戻すまでの日数」を置き、その日数分の損失と作り直しの時間を足して、製品と運用の費用と並べる形です。戻すのが早い案ほど費用が上がりやすいため、全部の業務を同じ目標にせず、損失の大きい業務にだけ短い目標を置くと、総額が抑えられます。

• 損失の大きい業務：戻す時間を短くし、費用をかける
• 数日止まっても代わりの手段がある業務：取る頻度を下げ、費用を抑える
• 作り直しがきかないデータ（契約書・設計の資料など）：戻す速さより、控えを残し続けることを優先する

判断の材料：上長に出す比較表の作り方

4つの基準を列にし、業務ごとの戻す目標を満たすかを○×で示します。金額の差だけでなく、どの業務がどこまで戻るかが一目で分かる表にすると、上長は費用と業務への影響を同じ紙で比べられます。

表の○×は書き方の例で、実際の判定は製品の説明と見積もりから埋めます。△を残したまま出してかまいません。△の理由を一言添えておくと、どの条件を確かめれば○になるかが上長にも伝わります。

表に添えると判断が早くなる材料を挙げます。

• 業務ごとの止まった1日の損失（前の章の見積もり）
• 今のバックアップの保管先と取得の頻度
• 最後に復元を試した日と、そのときかかった時間
• 保管の量が増えたときの費用の条件

確認点：クラウドや委託先に預けるときの規程・情報の扱い・契約

保存の場所、消去の手順、障害のときの責任の範囲を、自社の規程と相手との契約で確かめます。総務省の「クラウドの設定ミス対策ガイドブック」は、クラウドのセキュリティはサービスの提供者と利用者が責任を分担する考え方（責任共有モデル）に立つと説明しています。^*4

同じガイドブックは、利用規約や約款にある免責条項や責任制限条項について、「クラウドサービスの契約の時に注意して読んでおく必要があります」としています。^*4 構築を委託する場合も、委託先が行った設定であっても最終的な責任は利用者が負うことになると書かれています。

IPAは、ガイドライン第4.0版の付録7として、中小企業がクラウドサービスを使う前に確かめる項目の手引きを出しています。^*5 バックアップに関わる項目を表にまとめました。

自社の規程で、預けてよい情報の区分が決まっていれば、表の項目と並べて確かめます。区分が決まっていないなら、守るデータの一覧に「社外へ持ち出してよいか」の列を足し、承認する人を決めておくと、製品を選ぶ段階で迷いが減ります。総務省のガイドブックは、データのバックアップがランサムウェアによる暗号化への対策にもなるとしています。^*4

入れた後に戻す練習を続ける手順

復元の練習の時期と担当を決め、結果を記録して戻す目標を見直します。IPAの6か条は対策の例として、「バックアップしたデータを戻せるか定期的に確認する」ことを挙げています。^*2 練習は、入れたときの1回で終わらせず、続ける形にしておくことが肝心です。

練習の記録は、毎月の運用の報告に1行で載せておくと、戻せる状態が続いているかを上長と共有できます。記録の形を決めておけば、報告の文面の下書きをAIチャットに作らせることもできます。

練習で戻らなかった、時間がかかりすぎたという結果は、失敗ではなく見直しの材料です。復旧の練習の進め方は、バックアップは本当に戻せるかでも詳しく扱っています。続けるうえで押さえる点を挙げます。

• 担当者が1人なら、代わりの人も手順を見て戻せるようにしておく
• 業務やデータが増えたら、守るデータの一覧と戻す目標を先に直す
• 取得の失敗の通知を、誰が・いつ見るかを決めておく

まとめ：守るデータの一覧と戻す目標から選ぶ

バックアップの製品は、業務ごとにどの時点のデータを何時間で戻すかを決めてから、戻す目標・保管場所の分け方・運用の手間・費用の総額の4つで比べると選びやすくなります。本体とつながっていない控えを持つことと、入れた後に戻す練習を続けることまで含めて、一つの選択です。今日からは、守るデータの一覧を作り、業務ごとに戻す時点と時間を1行ずつ書くところから始めてください。

よくある質問

出典

1. *1　参考：独立行政法人情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン 第4.0版」（2026年3月、ページ最終更新日2026年9月30日）（https://www.ipa.go.jp/security/guide/sme/about.html）。出典：ページの改訂のポイント（情報セキュリティ6か条への改訂）と、本編PDFのコラム「適切なバックアップ運用を行う」、物理的隔離の例、目標復旧時間（RTO）・目標復旧時点（RPO）の記述を参照（確認日2026年11月4日）（2026年11月確認）
2. *2　参考：独立行政法人情報処理推進機構（IPA）「情報セキュリティ6か条（解説編）」（https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/jouhousecurity6kajou(kaisetsuhen)_r16.pdf）。出典：No.5 バックアップの対策例と3-2-1ルールを参照（確認日2026年11月4日）（2026年11月確認）
3. *3　参考：一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）「ランサムウエア対策特設サイト」（最終更新2026年6月18日）（https://www.jpcert.or.jp/magazine/security/nomore-ransom.html）。出典：予防の対策のうち、ファイルやシステムの定期的なバックアップの記述を参照（確認日2026年11月4日）（2026年11月確認）
4. *4　参考：総務省「クラウドの設定ミス対策ガイドブック」（2024年4月）（https://www.soumu.go.jp/menu_news/s-news/01cyber01_02000001_00209.html）。出典：第2章 2-1 責任分担の原則（責任共有モデル・免責条項・SI事業者と設定ミス）と、データのバックアップの記述を参照（確認日2026年11月4日）（2026年11月確認）
5. *5　参考：独立行政法人情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン 第4.0版」付録7（中小企業向けのクラウドサービスの利用の手引き）（https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0_app_7.pdf）。出典：チェックシートの項目と、提供者の品質保証の基準と障害のときの責任、バックアップ、利用終了時のデータ、適用法令や契約条件の例を参照（確認日2026年11月4日）（2026年11月確認）

Tweet