LASSIC Media らしくメディア
バックアップの外注で何が変わるか
監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）
この記事の結論
- 外注で変わるのは製品ではなく、取れているかの確認と戻す試験を誰が続けるかです。
- 確認と試験を続ける人を決めないままでは、よい製品を選んでも、いざというときに戻せません。
- 戻すまでにかけられる時間と確認の担当を決め、外注先の候補に同じ条件で見積もりを頼みます。
※ 本記事は2026年11月時点の公式情報（省庁・公的機関、および製品やサービスを提供する事業者が公開している資料）に基づきます。
バックアップの製品の候補は分かってきたものの、選定から運用まで外注した方がよいのか迷っている。比べる軸は製品の性能ではなく、取れているかの確認と、戻す試験を誰が担うかです。少人数でIT運用を兼務していると、この2つが手薄になりやすく、障害のときに初めて戻せないと分かります。
答えを先に示すと、製品や外注先を決める前に、戻すまでにかけられる時間を決め、確認と試験の担当を社内か外注かに割り当ててから見積もりを取ります。本記事では、外注で任せられる範囲と社内に残す判断、比べる材料、契約で決めることを整理します。
目次
取れているはずのデータが、戻せないかもしれない
バックアップの製品を入れて毎晩の取得を設定すれば、データは守られていると考えがちです。けれども取得が途中で失敗していても、通知を読む人がいなければ気付かないまま日が過ぎます。障害や攻撃でデータが壊れたときに初めて、最新の写しが無い、あるいは戻し方が分からないと分かり、そこで業務が止まります。
悩みごとに、先に読むとよい章を次の表にまとめました。
| 悩み | 読む章 |
|---|---|
| 取れているか毎日見る余裕がない | 外注で任せられる範囲 |
| クラウドに置いていれば別の写しは要らないのか | クラウドに預けたデータの注意 |
| 外注の費用を上長に通せるか | 費用対効果の見方 |
総務省の「国民のためのサイバーセキュリティサイト」は、情報管理担当者には「迅速に復旧可能なバックアップの運用が要求されています」*1と説明しています。ここで求められているのは取得の設定だけではなく、取得・保管・戻す確認を続ける運用です。総務省とIPA（情報処理推進機構）の資料が挙げる項目を3つの段階に分けると、次のようになります。
| 段階 | 決めておくこと | 担当が決まっていないと起きること |
|---|---|---|
| 取得 | 対象（文書だけでなく電子メールや設定も含む）、方法と頻度をルールに書く | 失敗の通知が誰にも読まれず、取れていない日が続く |
| 保管 | 元のデータと切り離した保管先、何世代分を残すか、保管の期間 | 元のデータと同じ場所に置いた写しが、障害や攻撃で一緒に壊れる |
| 戻す確認 | 戻す手順書と、定期的に戻してみる試験 | いざというときに手順も所要時間も分からない |
3つの段階のうち、製品の機能で自動にできるのは主に取得の実行です。失敗に気付いて取り直すこと、保管先を分けておくこと、戻せるかを試すことは、人が続ける作業として残ります。外注を考えるときに比べるべきなのは、この残る作業を誰が担うかです。製品そのものの比べ方は、バックアップの製品の選び方で整理しています。
危ないのは製品の性能より「戻す練習をしていない」こと
戻す試験をしていないと、障害が起きたときに、どの写しから・どの順番で・どれだけの時間で戻せるのかが分かりません。業務をいつ再開できるかを上長に伝えられず、取引先への連絡や代わりの手段の判断も遅れます。製品の性能が高くても、戻す手順を一度も通していなければ、この判断の材料は手元にありません。
IPAは2026年3月に公開した「中小企業の情報セキュリティ対策ガイドライン」第4.0版で、はじめに取り組む項目に「バックアップを取ろう!」を加えて「情報セキュリティ6か条」としました。*3 その確認の項目には「バックアップしたデータを戻せるか定期的に確認する」*4が入っており、取ることと戻せることを一組で求めています。
自社の状態は、次の3つの問いで確かめられます。
- 最後に戻す試験をした日を言えるか
- 取得の失敗の通知を誰が受け、誰が対応するかが決まっているか
- クラウドに預けたデータの写しが、預け先とは別の場所にあるか
1つでも答えに詰まる項目があれば、そこが今の運用の空いている所です。製品を替えるより先に、その作業を誰が受け持つかを決める必要があります。戻す試験そのものの進め方と頻度の考え方は、バックアップは本当に戻せるかで取り上げています。本記事では、その試験と日々の見張りを社内と外注のどちらが担うかに絞ります。
ここまでで、比べる軸は製品ではなく確認と試験の担当だと見てきました。後半では、外注で任せられる範囲、社内と外注を比べる判断の材料、費用対効果、クラウドに預けたデータの注意、契約の確認点を順に確かめられます。
社内か外注かを決める4つの基準
社内で続けるか外注するかは、次の4つの基準で決まります。どれか1つで決めるのではなく、4つを並べたときに社内で埋まらない欄がどこかを見ます。
| 基準 | 目安 | 社内で続けにくいとき |
|---|---|---|
| 戻すまでの時間 | 業務が止まってよい時間から、試験の頻度と体制を決める | 止まってよい時間が短いのに、戻す作業ができる人が1人しかいない |
| 確認の担当 | 失敗の通知を毎日見て、その日のうちに対応できる人が社内にいるか | 担当が兼務で、休みや繁忙の日に通知を見る人がいない |
| 保管の場所の分け方 | 元のデータと同じ場所だけに写しを置いていないか | 社外の保管先を用意して管理する手間を、社内で負えない |
| 費用の上限 | 製品の費用と外注費を同じ期間で並べて上限に収まるか | 社内の担当の作業時間まで含めると、外注費との差が小さい |
4つのうち、戻すまでの時間は他の3つの前提になります。止まってよい時間が数日あるなら社内で戻す体制でも間に合うことがあり、数時間しかないなら、戻す作業を担える人を社内か外注先に置く必要があります。
兼務の担当が1人の会社での分け方
IT運用を1人で兼務している担当者が、バックアップのどこを外注するかを判断する流れの一例を、次の図にまとめました。
- 今の作業を書き出す：取得の設定、通知の確認、失敗時の取り直し、保管先の管理、戻す試験を並べ、月にどれだけ時間を使っているかを書く
- 手が回っていない作業を見つける：通知の確認が数日おきになっている、戻す試験を一度もしていない、といった所に印を付ける
- 外注する作業を決める：毎日の見張りと失敗時の対応、定期の戻す試験は、決まった手順で繰り返せるため外注の候補にする
- 社内に残す判断を決める：どのデータを残すか、何年保管するか、障害のときにどの業務から戻すかは、業務を知る社内で決める
- 上長に上げる：外注する作業と社内に残す判断を分けた表に、外注先の見積もりを添えて承認を求める
この分け方では、担当者の仕事は作業から判断と報告の確認に移ります。外注先が戻す試験の結果を報告し、担当者が所要時間と戻ったデータを確かめて上長に伝える形です。
外注で任せられる範囲
取得の見張り・失敗の対応・戻す試験は外注先に任せられ、残すデータと保管の期間の判断は社内に残します。前者は決まった手順を繰り返す作業で、後者は業務の事情を知らなければ決められない判断だからです。
| 作業 | 外注先に任せられること | 社内に残すこと |
|---|---|---|
| 取得 | 取得の設定、日々の成否の見張り、失敗したときの取り直しと原因の切り分け | 取得の対象にするデータと、取得の頻度の決定 |
| 保管 | 保管先の運用、世代の入れ替え、保管先の容量の見張り | 何世代分・何年分を残すかの決定 |
| 戻す作業 | 障害のときに写しから戻す作業、戻した後の動作の確認 | どの業務から戻すかの順番と、戻すと決める判断 |
| 戻す試験 | 定期の試験の実施と、所要時間・結果の報告 | 試験の頻度と、結果を受け入れるかの確認 |
| 手順書 | 戻す手順書の作成と、構成が変わったときの更新 | 手順書の保管場所と、社内で読める形での受け取り |
IPAのガイドラインは、バックアップの運用を「取得する」「保管する」「復旧する」に分け、保管では世代管理と保管期間を決めること、復旧では「正しく復旧できることを確認する」*4ことを挙げています。表の右の列は、このうち会社として決める部分です。
作業を任せても、責任まで移るわけではありません。IPAのガイドラインは、委託先の不備で情報が漏れた場合でも、事故の影響を受ける者から「委託元としての管理責任を問われることになります」*4と説明しています。外注先の報告を受けて確かめる担当は、社内に1人置いておきます。
- 外注先に任せる：毎日の見張り、失敗の対応、戻す作業、定期の試験、手順書の更新
- 社内に残す：取得の対象、保管の世代と期間、戻す業務の順番、試験の結果の確認
- 報告の形を決める：毎月の取得の成否、試験の所要時間、気付いた問題を、どの頻度で受け取るか
社内と外注を比べる判断の材料
担当の人数、戻すまでの時間、費用の上限の3点で、社内と外注の表を作って比べます。同じ表に書き込むと、どちらかが埋まらない欄がはっきりします。
| 材料 | 社内で運用する場合に確かめること | 外注する場合に確かめること |
|---|---|---|
| 担当の人数 | 通知を見る人が休む日の代わりがいるか。兼務の業務と重なったときにどちらを先にするか | 外注先の窓口と、夜間や休日に失敗が起きたときの対応の範囲 |
| 戻すまでの時間 | 担当者だけで戻すと、業務が止まってよい時間に収まるか | 戻す作業に着手するまでの時間と、所要時間の目安を契約に書けるか |
| 費用の上限 | 製品・保管先の費用に、担当の作業時間を足して年間でいくらか | 外注費に、残る社内の作業時間と製品の費用を足して年間でいくらか |
戻すまでの時間は、2つの目標で決めておくと比べやすくなります。IPAのガイドラインは、目標復旧時間（RTO。目標の水準まで戻すのにかける時間）と目標復旧時点（RPO。どの時点のデータまで戻すか）に合わせてバックアップと手順を整え、「訓練で実効性を検証しましょう」*4としています。
IPAの規程のサンプルには、目標の書き方の例が載っています。例えば業務システムは目標復旧時点を1時間以内・目標復旧時間を2時間以内、ファイルサーバーは24時間以内・4時間以内とし、リストア作業の訓練は「例：年2回」としています。*5 これは書き方の例で、自社の値は業務が止まってよい時間から決めます。
| 対象 | 目標復旧時点（RPO） | 目標復旧時間（RTO） |
|---|---|---|
| 業務システム | 1時間以内 | 2時間以内 |
| ファイルサーバー | 24時間以内 | 4時間以内 |
この2つの値が決まると、試験の頻度と体制の要り方が見えてきます。目標の時間が短いほど、社内の担当1人では間に合わない場面が増え、外注先に戻す作業の着手時間を取り決める意味が大きくなります。
費用対効果の見方
外注費と、担当の作業時間・止まったときの損失を同じ期間で並べます。外注費だけを見ると高く見えても、担当が見張りと試験に使っている時間を金額にすると差が縮まることがあり、逆の結果になることもあります。
| 項目 | 社内で運用する場合 | 外注する場合 |
|---|---|---|
| 製品と保管先の費用 | 年間の費用 | 外注費に含まれるかを確かめ、含まれなければ足す |
| 担当の作業時間 | 見張り・取り直し・試験・手順書の更新の時間 | 報告の確認と、社内に残す判断に使う時間 |
| 外注費 | なし | 見張り・試験・戻す作業の範囲ごとの金額 |
| 止まったときの損失 | 戻すまでの時間に止まる業務と、その間の受注や出荷の遅れ | 契約で取り決めた戻す時間の場合の、同じ業務の遅れ |
止まったときの損失は、金額で出しにくい項目です。止まると困る業務ごとに、1日止まると何が遅れるかを業務ごとの担当者に書き出してもらうと、上長が比べやすい材料になります。担当の作業時間も、月ごとの記録から年間の時間に直して並べます。
- 期間をそろえる：どの項目も年間で並べる
- 範囲をそろえる：外注先ごとに、見張り・試験・戻す作業のどこまでが入っているかを同じ表に書く
- 残る作業を書く：外注しても社内に残る確認の時間を、外注する場合の欄に入れる
承認の場で問われやすいのは、外注しても社内の手間が残るのかという点です。社内に残る作業を先に書いておくと、外注費で何が減るのかを具体的に示せます。
クラウドに預けたデータの注意
預け先でデータが消えた事例があるため、預け先とは別の場所に写しを持つかを確かめます。クラウドのサービスに置いていることと、バックアップを取っていることは別の話です。
総務省は、クラウドのサービスに重要なデータを預けていた企業の事例を紹介しています。事業者側の障害でデータが消えて戻せなくなり、そのデータはそのサービスにしか保存されていませんでした。規約には、データのバックアップや復旧は「最終的には利用者の責任である」*2と書かれていたとされています。
| 確かめること | 中身 |
|---|---|
| 写しの置き場所 | 預け先のサービスとは切り離した場所に、定期的に写しを取っているか |
| サービスの機能 | サービスにバックアップの機能があれば使い、それとは別に社内の機器などにも写しを取っているか |
| 世代 | 直前の写しより前の状態にも戻せるよう、複数の世代を残しているか |
| 使えなくなったとき | サービスが止まったときの代わりの手段を考えてあるか |
| 契約の終わり | サービスの利用をやめるときのデータの扱いの条件を確かめたか |
IPAのガイドラインの付録7は、クラウドのサービスを使うときの確認の項目に「バックアップに責任を持つ」*6を挙げ、拡張機能のバックアップを使うことに加えて、社内の専用ハードディスクなどにも定期的に写しを取る例を示しています。総務省も、事業者側の障害でデータが消えた場合を想定して、データのバックアップを取得しておく必要があるとしています。
外注する場合は、クラウドに預けているデータも見張りと試験の対象に入れるかを、範囲を決めるときに確かめます。社内のサーバーだけが対象になっていると、クラウド側の写しが誰の担当にもならないまま残ります。
契約と情報の扱いの確認点
外注先が触れるデータの範囲、秘密保持、事故の連絡、契約の終わりのデータの返却と消去を確かめます。バックアップの外注では、外注先が会社のほぼ全部のデータの写しに触れるため、作業の範囲と同じくらい情報の扱いを決めておく必要があります。
IPAのガイドラインは、業務の一部を委託する場合は「委託先でも少なくとも自社と同等の対策が行われるようにしなければなりません」*4とし、契約書に委託先の責任や実施すべき対策を明記して合意する必要があるとしています。規程のサンプルは、委託契約書に明記する事項として次の項目を挙げています。*5
| 確認点 | バックアップの外注で確かめる中身 |
|---|---|
| 守秘義務と情報の定義 | どのデータを社外秘として扱うか、写しを含めて対象にするか |
| 情報の取扱い | 保管の方法、複製してよいか、第三者に渡してよいか |
| 再委託 | 外注先がさらに他社に作業を任せるか、その場合の扱い |
| 事故時の責任分担と通知 | 取得の失敗や情報の漏れに気付いたときの連絡先と、知らせるまでの手順 |
| 契約の終わりの返却と消去 | 預けた写しと情報を返すのか消すのか、その方法 |
| 監査の方法と権限 | 外注先の対策の実施状況を、どの方法で確かめられるか |
| 守られない場合の措置 | 契約の内容が守られないときにどうするか |
契約の後も確認は続きます。規程のサンプルは、委託を始めた後に外注先の対策の実施状況を「年1回以上の頻度で評価する」*5とし、再委託には事前の書面による報告を求める形にしています。
- 契約の前に、外注先が触れるデータと触れないデータを一覧にして合意する
- 取得の失敗と事故の連絡先、知らせる手順を契約に書く
- 契約が終わるときの写しの返却と消去の方法と、終えたことの報告の形を決める
- 戻す手順書は、社内で読み、外注先を替えても使える形で受け取る
最後の手順書は見落とされやすい点です。手順書が外注先の手元にしか無いと、外注先を替えるときや契約が終わるときに、戻し方が社内に残りません。
まとめ：確認と試験の担当を決めて見積もる
バックアップの外注で変わるのは、取れているかの確認と戻す試験を誰が続けるかです。見張り・失敗の対応・戻す試験は外注先に任せられ、残すデータと保管の期間、戻す業務の順番は社内で決めます。今日からは、戻すまでにかけられる時間と確認の担当を決め、外注先の候補に同じ条件で見積もりを依頼してください。
よくある質問
外注すると何を任せられますか
取得の見張り、失敗の対応、戻す試験を任せられます。あわせて、障害のときに写しから戻す作業や、戻す手順書の更新も外注の範囲に入れられます。どのデータを残すか、何年保管するか、どの業務から戻すかは社内で決めます。
クラウドに置いていれば別のバックアップは要りませんか
預け先でデータが消えた事例があるため、別の場所の写しが要るかを確かめます。総務省が紹介する事例では、サービスの規約にデータのバックアップや復旧は最終的には利用者の責任と書かれていました。サービスの機能に加えて、預け先と切り離した場所に写しを取るかを決めます。
戻す試験はどのくらいの頻度で行いますか
業務が止まってよい時間から決め、外注先と頻度を取り決めます。IPAの規程のサンプルではリストア作業の訓練を例として年2回としていますが、自社の値は戻すまでの目標の時間に合わせて決めます。
外注の費用はどう説明すればよいですか
担当の作業時間と止まったときの損失を、同じ期間で並べて示します。外注しても社内に残る確認の時間も書き添えると、外注費で何が減るのかが伝わります。
契約が終わったらデータはどうなりますか
返却と消去の方法を、契約の前に書面で確かめます。預けた写しを返すのか消すのか、終えたことをどう報告してもらうかを決めておきます。戻す手順書も社内で使える形で受け取ります。
IT運用保守の外注の相談
今の取得の方法と最後に戻す試験をした日、担当の人数と兼務している業務をお手元にご用意いただければ、外注する範囲と運用の体制をご相談いただけます。
Remoguとリラシクなら、リモートワークで働く社員の候補者も、業務委託で開発に加わる専門人材も探せます。
Remoguは、リモート前提で全国から即戦力のITプロ人材を調達するサービスです。リラシクは、扱う求人がすべてリモートワークのITエンジニア専門転職エージェントです。どちらもLASSICが運営しています。
出典
- *1 参考：総務省「データ復旧・バックアップの管理」（国民のためのサイバーセキュリティサイト）（https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/security/business/admin/13/）。出典：データ復旧・バックアップの管理、クラウドサービスの利用を参照（確認日2026年11月5日）（2026年11月確認）
- *2 参考：総務省「事例9 クラウドサービスに預けていた重要データが消えた」（国民のためのサイバーセキュリティサイト）（https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/case/business/09/）。出典：事故・被害事例、予防法を参照（確認日2026年11月5日）（2026年11月確認）
- *3 参考：IPA「中小企業の情報セキュリティ対策ガイドライン」（https://www.ipa.go.jp/security/guide/sme/about.html）。出典：第4.0版への改訂の主なポイント（情報セキュリティ6か条）を参照（確認日2026年11月5日）（2026年11月確認）
- *4 参考：IPA「中小企業の情報セキュリティ対策ガイドライン 第4.0版」（https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0.pdf）。出典：第1部 取組6（委託や外部サービス利用の際の責任）、委託先の情報セキュリティ対策、コラム「適切なバックアップ運用を行う」、5分でできる！情報セキュリティ自社診断のバックアップの項目、インシデント対応体制等の整備（RTO・RPO）を参照（確認日2026年11月5日）（2026年11月確認）
- *5 参考：IPA「中小企業の情報セキュリティ対策ガイドライン 第4.0版 付録5 情報セキュリティ関連規程（サンプル）」（https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0_app_5.docx）。出典：組織的対策 8.委託管理（8.3 委託契約の締結・8.4 委託先の評価・8.5 再委託）、技術的対策 5.リストア手順（5.2 リストア前の準備・定期的な訓練と手順書の見直し）を参照（確認日2026年11月5日）（2026年11月確認）
- *6 参考：IPA「中小企業の情報セキュリティ対策ガイドライン 第4.0版 付録7」（https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0_app_7.pdf）。出典：チェックシート、Ⅱ．運用するときのポイント（バックアップに責任を持つ）を参照（確認日2026年11月5日）（2026年11月確認）
