バックアップは外付けHDDに保存しているから安心ですよね？
つないだままだと、ランサムウェアで一緒に暗号化される可能性がありますよ
バックアップまで被害を受けるんですか！？
バックアップは、データをコピーするだけでは十分ではありません。パソコンとバックアップ先が同時に故障したり、ランサムウェアによって両方のデータが暗号化されたりする可能性があるからです。
中小企業がバックアップ体制を整えるときは、「3-2-1ルールに沿って複数の場所へ保存すること」と「定期的にデータを復元できるか確認すること」が重要です。
この記事では、IT担当者がいない中小企業でも実践できるバックアップ方法を、具体的な構成例やチェックリストとともに分かりやすく解説します。
中小企業のバックアップは「3-2-1ルール」が基本
3-2-1ルールとは
3-2-1ルールとは、バックアップを次の状態で保管する考え方です。
- 3：元データを含めて3つのコピーを持つ
- 2：2種類の異なる媒体へ保存する
- 1：そのうち1つを別の場所へ保管する
構成例
会社のパソコンやファイルサーバーにある元データ ＋ 社内NASのバックアップ ＋ クラウドのバックアップ
ポイントは、同じ場所や同じ仕組みだけに依存しないことです。保存先を分散させておけば、機器の故障、誤操作、災害、ランサムウェアなどが発生しても、すべてを同時に失う可能性を抑えられます。
「3」は元データを含めて3つ持つ
元データに加えて、バックアップを2つ用意します。バックアップが1つしかないと、そのバックアップ自体が壊れたときに復元できません。
「2」は異なる種類の媒体に保存する
外付けHDD・SSD、NAS、ファイルサーバー、クラウドストレージなど、同じ原因で同時に失われにくい保存先を組み合わせます。
単に機器の台数を増やすのではなく、異なる仕組みへ分散することが重要です。
「1」は会社とは別の場所に保管する
火災、水害、地震、盗難などに備え、バックアップの1つを別拠点やクラウドへ保管します。
クラウドを利用する場合は、多要素認証を設定し、データを削除できる人も制限しましょう。
中小企業におすすめのバックアップ構成例
ここでは企業ごとのおすすめ構成をお伝えします
パソコンでファイルを管理している企業
- 元データ：業務用パソコンまたは共有クラウド
- バックアップ1：社内のNAS
- バックアップ2：クラウドまたは取り外した外付けHDD
重要なファイルが社員ごとのパソコンに分散すると、バックアップ対象から漏れやすくなります。共有フォルダや法人向けクラウドなど、決められた場所へ集約しましょう。
社内にファイルサーバーがある会社
- 元データ：社内ファイルサーバー
- バックアップ1：バックアップ用NAS
- バックアップ2：クラウド型バックアップサービス
NASは素早い復元に向いていますが、同じネットワークに接続されているとランサムウェアの影響を受ける可能性があります。クラウドやオフラインの保存先も組み合わせます。
Microsoft 365などクラウド中心の会社
- 元データ：クラウドサービス
- バックアップ1：サービス内の履歴・ごみ箱・世代管理
- バックアップ2：専用バックアップサービスまたは定期エクスポート
クラウド上でも、誤削除、退職者アカウントの削除、同期されたファイルの暗号化、保存期限切れなどによってデータを失うことがあります。保存期間と復元方法を確認しましょう。
小規模な会社が最初に目指す構成
NAS、クラウド、専用サービスを全部入れられる自信がないです
最初は重要なデータを集め、自動バックアップと切り離したバックアップを用意しましょう
まずは小さく始めればいいんですね
- 重要な業務データを共有フォルダやクラウドへ集約する
- NASまたはクラウドへ自動バックアップする
- 外付けHDDなどへ定期的に保存し、保存後は取り外す
すべてを一度に対象にするのが難しい場合は、顧客情報、会計・請求データ、契約書、受発注データ、給与・人事データなど、失うと業務が止まる情報から始めましょう。
バックアップを取っていても安心できない5つのケース
1．外付けHDDを常時接続している
パソコンから自由に書き換えられる状態なら、ランサムウェアからも書き換えられる可能性があります。バックアップ後に取り外す、複数台を交代で使うなどの対策を検討します。
2．社内のNASだけに保存している
元データとNASが同じ社内にあると、火災、水害、盗難、ランサムウェアなどで同時に失う可能性があります。
RAIDは機器故障への備えであり、誤削除や災害に備えるバックアップそのものではありません。
3．クラウドへ同期しているだけ
同期では、一方の削除や暗号化がもう一方へ反映されることがあります。
バージョン履歴、ごみ箱、保存期間、削除保護などを確認してください。
4．最新のデータへ毎回上書きしている
異常に気づくまでの間に、壊れたファイルをバックアップへ上書きする可能性があります。
過去の複数時点を残す世代管理が必要です。
5．一度も復元したことがない
「バックアップ成功」と表示されても、ファイル破損、パスワード不明、手順の陳腐化などで戻せない場合があります。
実際に復元して初めて、使えるバックアップだと確認できます。
ランサムウェアに備えるバックアップ対策
バックアップの1つをオフラインにする
普段使うネットワークから切り離した状態で保管します。
- バックアップ後に外付けHDDを取り外す
- 複数のHDDを交代で使用する
- バックアップ専用機器への接続を制限する
削除・変更できないバックアップを作る
一定期間、データを変更・上書き・削除できない仕組みを利用すると、攻撃者による破壊を防ぎやすくなります。
バックアップの管理権限を分ける
本番データとバックアップを同じ管理者アカウントで操作できる状態は避けます。
- バックアップ専用の管理者アカウントを作る
- 多要素認証を設定する
- 削除できる人を制限する
- 操作履歴を保存する
3-2-1-1-0ルールも知っておく
3-2-1ルールに「1つはオフラインまたは変更できない状態」「バックアップや復元時のエラーを0にする」を加えた考え方です。
バックアップは複数の世代を残す
世代管理とは
世代管理とは、最新の1つだけに上書きせず、過去の複数時点のデータを残す方法です。
- 過去7日分の日次バックアップ
- 過去4週間分の週次バックアップ
- 過去3～12か月分の月次バックアップ
保存期間を決める4つの質問
- 何日前の状態まで戻す必要があるか
- 1日分のデータが消えた場合に再入力できるか
- データの異常や削除に何日で気づけるか
- 法令や取引先との契約で保存期間が決められていないか
バックアップの復元確認が必要な理由
バックアップからデータを戻したことはありますか？
消えたことがないから、戻したこともない
それでは、本当に戻せるかはまだ分かりません
バックアップの目的は、データを保存することではありません。トラブル時に必要なデータを復元し、会社の仕事を再開することです。
バックアップがあっても復元できない原因
- バックアップ処理が途中で失敗していた
- 保存されたファイルが破損していた
- 復元に必要なパスワードや暗号化鍵が分からない
- 担当者しか復元方法を知らない
- 手順書や設定が古くなっていた
- 必要なアプリケーションが保存されていなかった
復元確認でチェックすること
- ファイルを正常に開けるか
- 指定した日付時点の内容か
- フォルダ構成やファイル数が正しいか
- アクセス権限が維持されているか
- 業務用ソフトから読み込めるか
- 許容できる時間内に復元できるか
中小企業が行うバックアップ復元テストの手順
手順1．テスト用のファイルを決める
過去の見積書、テスト用Excel、画像など、業務への影響が少ないファイルを選びます。
手順2．本番とは別の場所へ復元する
テスト用パソコン、復元確認フォルダ、クラウドのテスト領域などへ戻します。現在のファイルを上書きしないことが重要です。
手順3．ファイルを開いて確認する
存在するだけでなく、内容、日付、表示、関連ファイルまで確認します。
手順4．復元にかかった時間を記録する
対象データ、使用したバックアップ、開始・完了時刻、担当者、問題点、改善事項を記録します。
手順5．担当者以外にも試してもらう
担当者が不在でも対応できるよう、手順書を使って別の社員にも試してもらいます。
復元確認の頻度と記録する項目
復元確認の頻度の目安
- 重要なファイル：1～3か月に1回
- 会計・受発注などの重要システム：定期的およびシステム変更時
- Webサイト：サーバーや更新方法を変更したとき
- 手順書：担当者や契約サービスを変更したとき
復元確認で記録する項目
- 実施日
- 対象データ・システム
- 使用したバックアップと作成日時
- 復元開始・完了時刻
- 実施担当者・確認担当者
- 復元結果と発生したエラー
- 次回までの改善事項
まとめ｜バックアップは「保存」ではなく「復元」まで確認する
社長「外付けHDDにコピーして終わりではないんだな」
担当者「複数の場所へ保存し、本当に戻せるかまで確認することが大切です」
社長「まずは見積書を1つ戻してみよう」
中小企業のバックアップでは、データを1つコピーするだけでは十分ではありません。まずは次の状態を目指しましょう。
- 元データを含めて3つのコピーを持つ
- 2種類以上の異なる媒体へ保存する
- 1つは会社とは別の場所へ保管する
- 過去のデータを複数世代残す
- 1つはオフラインまたは削除しにくい状態にする
- 定期的に復元確認を行う
- 担当者以外でも復元できる手順を残す
参考文献・参照サイト
本記事で解説した「3-2-1ルール」の基準や、ランサムウェアに備えるバックアップの運用体制は、以下の公的機関および専門セキュリティ機関の公式資料を基にしています。
バックアップの基本基準・対策ガイド
- IPA 中小企業情報セキュリティ対策ガイドライン第4.0版（PDF）
独立行政法人情報処理推進機構（IPA）の公式ガイドラインです。「情報セキュリティ6か条」として新たに明記されたバックアップの取得・復元管理の重要性について、ステップ別に詳しく解説されています。 - 総務省 安心してインターネットを使うためのガイドブック（PDF）
データの誤削除や機器の故障、災害に備えるためのバックアップの必要性と、媒体（NASやクラウドなど）を分ける重要性が初心者向けに図解されています。
ランサムウェアに特化したデータ保護基準
- 内閣サイバーセキュリティセンター（NISC）重要インフラにおけるデータ保護手引書
本記事で紹介した「3-2-1-1-0ルール」の根拠となる、ランサムウェア攻撃からデータを守るための「オフライン隔離（ネットワークからの切り離し）」や「変更不可（イミュータブル）バックアップ」の技術的な推奨事項が定められています。 - JPCERT/CC ランサムウェア感染から復旧するためのバックアップ運用ガイド
一般社団法人JPCERTコーディネーションセンターが公開している資料です。「バックアップが本番データと同時に暗号化されてしまう失敗事例」を防ぐため、世代管理の方法や、定期的な「復元テスト」の手順が実務者向けに解説されています。
