バックアップとは｜3-2-1ルールと、戻せるかを年1回で確かめる方法

「バックアップは取っていますか」と聞かれて、「取っています」と答えられる会社は多いと思います。

では、そのバックアップはどこに置いてあるでしょうか。
最後に中身を見たのはいつでしょうか。
そこから実際に戻したことは、一度でもあるでしょうか。

先に答えを書きます。
バックアップで確かめる価値があるのは、取得が成功しているかどうかではありませんでした。
感染した端末から、そのバックアップに書き込めるか。
標準のごみ箱に、消したデータが何日残るか。
戻す手順書と鍵が、暗号化された日でも読める場所にあるか。
いちばん大事なデータを戻すのに、実際に何時間かかるか。
この4つです。
機器やサービスを選ぶのは、そのあとで足ります。

そこにたどり着くまでに、よく引かれる「3-2-1ルール」の出どころも確かめました。
IPAはハイフンを入れない「321ルール」という書き方で、米国CISAは「3-2-1 rule」として、同じ3つを挙げています。
ただし中小企業向けのガイドラインや警察庁の資料は、この数字を使っていません。
そして2026年3月、国が中小企業向けに示している最初の取り組み項目に、バックアップが加わりました。

「取っているつもり」は、どこで生まれるのか

国が示す最初の取り組みが、今年6項目になった

まず、今年の動きから入ります。

IPA（情報処理推進機構）は2026年3月27日、「中小企業の情報セキュリティ対策ガイドライン」の第4.0版を公開しました。
同じ日に、経済産業省とIPAの連名でもプレス発表が出ています。

改訂の中身について、IPAは次のように書いています。

6か条は、順番も含めてこうなりました。

1. OSやソフトウェアは常に最新の状態にしよう！

2. ウイルス対策ソフトを導入しよう！

3. パスワードを強化しよう！

4. 共有設定を見直そう！

5. バックアップを取ろう！

6. 脅威や攻撃の手口を知ろう！

末尾に足されたのではなく、5番目に挿入されています。
それまで5番目だった「脅威や攻撃の手口を知ろう！」が6番目に下がりました。

この6か条は、IPAの「SECURITY ACTION」で一つ星を宣言するときの取り組み項目でもあります。
経済産業省の発表は、この変更を次のように説明しています。

つまりバックアップは、5か条の外にあったものから、最初に取り組む6項目の1つになりました。
追加の理由として挙げられているのは、ランサムウェア被害の拡大です。

同じネットワークにつながっていれば、一緒に暗号化される

バックアップが役に立たなかった事例として繰り返し挙げられるのが、保存先が本番のデータと同じ場所にあった場合です。

警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」は、ランサムウェア攻撃の手口を説明する中で、こう書いています。

そして、その先です。

攻撃者は、感染した端末から到達できる範囲を探します。
共有フォルダも、NASも、その範囲に入ります。
社内の誰もがアクセスできる場所に置かれたバックアップは、攻撃者にとってもアクセスできる場所です。

同じ資料は、被害を抑えるものとして次を挙げています。

列挙の最初に挙げられているのが、オフラインバックアップです。

クラウドに置いてあっても、同じことが起きる

これは社内の話だけではありません。

IPAが2026年3月に公開した「中小企業のための実例で学ぶサイバーセキュリティリスク事例集」に、VPN装置の脆弱性を突かれてランサムウェアに感染した事例が載っています。
その被害の記述が、次の一文です。

クラウドに置いたから安全、ということにはなりません。
感染した端末から書き込める状態でつながっていれば、置き場所がどこであれ同じ結果になります。

同期は、バックアップではない

もう1つの誤解が、クラウドストレージとの同期をバックアップだと考えてしまうことです。

同期は、手元のファイルの状態をクラウド側に反映する仕組みです。
ファイルを削除すればクラウド側からも消えます。
暗号化されれば、クラウド側のファイルも暗号化された状態に置き換わります。

つまり同期は、被害までそのまま複製します。

多くのクラウドサービスには版の履歴やごみ箱がありますが、保持される期間には上限があります。
この日数は後で具体的に見ますが、気づくのが遅れれば戻せる範囲を超えます。

同期は「どの端末からでも同じファイルを見るため」の機能であって、「壊れたときに戻すため」の機能ではありません。

自社のバックアップが、どの型か

ここまでを踏まえて、自社がどれに当たるかを確かめてみてください。

• 共有フォルダやNASに、常時つながった状態で保存している

• クラウドストレージと同期しているだけ

• 外付けのドライブに保存し、終わったら取り外している

• バックアップ専用のサービスを契約している

上の2つに当てはまる場合、ランサムウェアに対しては守れていない可能性が高い状態です。
下の2つであれば、方向としては正しく、あとは頻度と復旧手順の問題になります。

判断に迷うときは、1つの問いで足ります。

感染した端末から、そのバックアップに書き込めるか。

書き込めるなら、暗号化もされ得るということです。

3-2-1ルールの出どころと、その先にある「つなぐかどうか」

この数字を使っている資料と、使っていない資料

バックアップの目安として、3-2-1という数字の並びが広く使われています。
この出どころを確かめました。

日本では、IPAが「日常における情報セキュリティ対策」のページで、ハイフンを入れない「321ルール」という書き方をしています（2023年4月20日更新）。

米国のCISA（サイバーセキュリティ・インフラセキュリティ庁）も、中小企業向けのページで同じ3つを挙げています（2026年9月時点の掲載）。

• 重要なファイルのコピーを3つ

• 2種類の異なる保存媒体に（ハードディスクとクラウドなど）

• 1つは事業所から離れた場所に保管する

CISAはこれを「信頼できる指針」としています。
IPAの情報セキュリティマネジメント試験のシラバス（Ver.4.0、2023年12月）にも、ランサムウェア対策の用語として「3-2-1ルール」が挙がっています。

一方で、この数字が出てこない資料もあります。
中小企業向けのガイドライン第4.0版、警察庁の情勢資料、総務省の実務向けのページには、3-2-1という並びは書かれていません。
同じ趣旨を、言葉のほうで書いています。

総務省の「国民のためのサイバーセキュリティサイト」は、データ復旧・バックアップの管理のページで、こう書いています（2026年9月時点の掲載）。

数字を使わずに、同じことを言っています。
そして置き場所についても、はっきり書いています。

「共倒れ」という言い方が、この問題の本質を1語で言い当てています。

なお、3-2-1の起源としては写真家のPeter Krogh氏の著書『The DAM Book』（2005年）が挙げられることが多いのですが、公的機関が起源を認定した資料は見当たりません。
数字の並びを公的な根拠として引くなら、IPAの上のページか、CISAのページになります。

費用をかけずにいちばん効くのは、つなぎっぱなしをやめること

ここで、3-2-1とは別の軸を1つ足します。
「つないでいるか、いないか」です。

CISAの3番目は「事業所から離れた場所に」、つまり地理的に離すことを言っています。
取得のときだけつないで終わったら外す、というのは地理的に離す話ではなく、ネットワークから切り離す話です。
別の軸なので、分けて考えたほうが混乱しません。

そのうえで、費用をかけずにいちばん効くのはこちらです。

IPAは中小企業の情報セキュリティ対策ガイドライン第4.0版の付録3「5分でできる!情報セキュリティ自社診断」で、診断項目「定期的にバックアップを取る」の対策例として5つを挙げています。

2番目が、いま言っている話です。
同じ趣旨は、IPAが2017年1月に公開したテクニカルウォッチ「ランサムウェアの脅威と対策」にもあります。

外している間は、その媒体に影響が及びません。
特別な製品を買わなくても、外付けドライブを使うときだけつなぎ、終わったら外して保管する。
これだけで、置き場所の問題は大きく改善します。

ただし、外しておけば安全という話ではありません。
感染が残った端末に次につないだ時点で、その媒体も暗号化され得ます。
つなぐ前に端末側の安全を確かめる、という手順が要ります。

そして、外したドライブを事務所の隣の部屋に置いても、CISAの3番目（離れた場所に）は満たしません。
これがなぜ効くのかは、あとで中小企業庁の手引きを見るところで具体例が出てきます。

媒体を分ける理由も、同じ資料に書かれています。

ランサムウェアだけの話ではない、という点が大事です。
ドライブは壊れます。
1本しかなければ、壊れた日にバックアップはゼロになります。

書き換えられない保存は「WORM」と呼ばれている

もう一段進んだ方法が、いったん書き込んだデータを、あらかじめ決めた期間、変更も削除もできない状態にしておく方式です。

製品の宣伝では「イミュータブルバックアップ」と呼ばれることが多い機能です。
ただ、今回あたったIPAの資料（10大脅威の解説書、中小企業向けガイドライン、テクニカルウォッチ）で使われている語は「WORM」でした。

「情報セキュリティ10大脅威 2026」の解説書（組織編）は、1位のランサム攻撃への対策としてこう書いています。

WORMは Write Once Read Many の頭文字で、一度書いたら読むことしかできない、という意味です。

実装の例を挙げます。
AWSのS3 Object Lockは、保持期間を設定するとその期間はオブジェクトを上書きも削除もできなくなる機能です。
コンプライアンスモードでは、AWSアカウントのrootユーザーであっても消せません。
Azure Blob Storageの不変ストレージも同じ考え方で、「WORM状態の場合、ユーザーが指定した間隔でデータを変更または削除することはできません」と説明されています。

管理者の権限を奪われても、その期間内のバックアップは書き換えられない。
これが、この方式の価値です。

検討するときは、保持する期間を先に決める必要があります。
期間が短ければ、侵入に気づくのが遅れたときに守られた版が残りません。
長ければ容量が増え、費用も上がります。

順番をつけるなら

すべてを一度に整える必要はありません。

1. つなぎっぱなしをやめる。外付けドライブを1本用意し、取得が終わったら物理的に外す

2. 媒体を分ける。手元のドライブに加えて、クラウド側にも1つ置く

3. 書き換えられない保存を検討する。WORM対応のサービスを選ぶ

1番目は費用がほとんどかからず、効果が最も大きい対策です。
3番目まで進むかどうかは、扱うデータの重要性と、止まったときの損害額で判断することになります。

PR

クラウドに預けたデータは、誰が守るのか

責任の線引きは、あらかじめ決まっている

「うちはクラウドを使っているので、バックアップは大丈夫です」という説明を聞くことがあります。

サーバーの故障や停電でデータが消える心配は、たしかに大きく減りました。
ただ、それは事業者が守ってくれる範囲の話です。

クラウドサービスには「責任共有モデル」という考え方があります。
総務省の「クラウドサービス利用・提供における適切な設定のためのガイドライン」（2022年10月）は、こう説明しています。

そのうえで、SaaSを使う場合の線引きを具体的に書いています。

事業者側も同じことを書いています。
マイクロソフトの「クラウドでの共同責任」は、「常に保持する責任」という見出しの下で、次のように述べています。

設備を落とさないようにするのは事業者の仕事で、中身のデータをどう扱うかは利用者の仕事、という分担です。

社員が誤ってフォルダごと削除した。
退職者のアカウントを消したらファイルも消えた。
感染した端末で暗号化されたファイルが、そのまま同期された。
これらはいずれも事業者側の障害ではないため、事業者の責任範囲には入りません。

標準機能で戻せる日数

では、消してしまったらまったく戻せないのかというと、そうではありません。
どのサービスにも、一定期間だけ戻せる仕組みがあります。
日数を並べます。
以下はいずれも2026年9月時点の公式ドキュメントの記載で、事業者の仕様は変わり得るため、契約の前には必ず取り直してください。

Microsoft 365のSharePointについて、マイクロソフトはこう書いています。

サイトのごみ箱から消えたあとはサイトコレクションのごみ箱に移りますが、そこにいられるのは93日のうちの残り日数です。
第1段階と第2段階を合わせて93日、という構造になっています。

Googleドライブは30日です。

法人向けのGoogle Workspaceでは、管理者が使える期間が別に定められています。
こちらは2つあって、混同しやすいところです。
利用者がゴミ箱を空にしたあと、管理者が復元できるのは25日以内。
利用者のアカウント自体を削除した場合、そのデータを戻せるのは20日以内です。

いずれも「バックアップ」ではなく「うっかり消したときの猶予」です。
気づくのが遅れて期間を過ぎれば、標準の機能では戻せません。
半年前の状態に戻したい、退職者が使っていた領域を丸ごと復元したい、といった要求には応えられない仕組みだということです。

提供元自身が、バックアップを別売りしている

この点を分かりやすく示しているのが、マイクロソフト自身が提供している「Microsoft 365 バックアップ」です。

SharePointのサイト、OneDriveのアカウント、Exchangeのメールボックスを対象に、バックアップと復元を行う機能です。
位置づけについて、公式ドキュメントはこう書いています。

料金は、2026年9月時点で、保護されるデータについて1GBあたり月額0.15米ドル。
復元は無料とされています。
日本語の製品ページでも「0.15 米国ドル/GB/月」と米ドルで表記されており、円建ての公式価格は置かれていません。
従量課金制の設定には、有効なAzureサブスクリプションが必要です。

標準機能だけで足りるのであれば、提供元がわざわざ別料金の仕組みを用意する必要はありません。
バックアップは契約に自動的に含まれているものではなく、別に用意するものだと考えたほうが実態に近いといえます。

NASとクラウド、どちらに置くか

置き場所を決めるときに見るのは、次の3点です。

• 戻す速さを優先するなら社内のNAS。回線の速度に左右されず、容量が大きくても短時間で戻せる

• 災害や盗難に備えるならクラウド。建物が使えなくなっても外から取り出せる

• 費用の形が違う。NASは初期費用が中心、クラウドは容量に応じた月額が続く

なお、SaaSの中にあるデータはこの2択の外にあります。
専用のバックアップサービスか、提供元の追加機能で守ることになります。

そして、どちらか1つを選ぶ問題ではありません。
3-2-1に当てはめると、手元のNASが「異なる媒体の1つ」、クラウドが「別の場所に置く1つ」に当たります（この3番目の条件については、後で中小企業庁の手引きを見るところで詳しく扱います）。

NASだけなら火災や盗難で全滅し、クラウドだけなら回線が止まった日に何も戻せません。
両方を持って、はじめて片方が使えない日をしのげます。

戻せるかどうかは、試さないと分からない

どこまで、いつまでに、どの水準で戻すか

復旧の話には、3つの目標があります。
内閣府（防災担当）の「事業継続ガイドライン」が定義しています。

データについては、別の語が用意されています。

言い換えると、RPOは「何時間前までのデータで我慢するか」、RTOは「何時間で再開するか」、RLOは「どこまでの機能で再開するか」です。

そして、費用との関係も同じガイドラインに書かれています。

毎日1回のバックアップなら、最悪の場合は丸1日分の入力が消えます。
それを許容できるかどうかは業務によって違います。
この3つを決めていないと、機器やサービスを選ぶ基準も、費用をかける根拠も持てません。

取得の成功通知は、戻せることの証明にならない

決めたあとに必要なのが、実際に戻してみることです。

IPAはテクニカルウォッチ「ランサムウェアの脅威と対策」の中で、こう書いています。

そのうえで、確認を続けることを求めています。

同じことは、2026年版の「情報セキュリティ10大脅威」にも「バックアップからの復旧訓練の実施も有効」として入っています。
付録3のバックアップの対策例も、最後が「バックアップしたデータを戻せるか定期的に確認する」です。

IPAが、性格の異なる3つの資料で同じことを求めています。
そしてこの記事の後半で見る国の基準にも、「バックアップリカバリー検査」という形で同じ要求が入っています。

実際には、次のような形で失敗が発覚します。

• バックアップの対象から、業務に必要なフォルダが最初から外れていた

• 復元に必要なパスワードや暗号鍵が、暗号化された本番サーバーの中にしかなかった

• 戻す手順を知っているのが、退職した担当者だけだった

• 復元してみたら、想定の何倍も時間がかかった

どれも、事故が起きてからでは取り返しがつきません。

復旧には、思ったより時間と費用がかかる

実際にどれくらいかかるのか、公表されている数字があります。

警察庁の令和7年の資料によると、令和7年のランサムウェアの被害報告件数は226件でした。
そのうち、アンケートに回答した企業・団体等について、こう書かれています。

「5割強」が1か月未満ということは、残りの5割弱は1か月以上かかっているということです。
ここでいう「全体」は、このアンケートに回答した組織の全体であって、被害報告件数226件の全体ではありません。
母数は、費用が89件、期間が107件です。
警察庁が情勢資料と同じページで公開している統計データに載っています。

その1か月のあいだ、受注も請求も止まる前提で業務が回るかどうか。
RTOを決めるというのは、この期間をどこまで短くするために、いくら払うかを決めるということでもあります。

戻す順番を、紙に書いて置いておく

すべてを同時に戻すことはできないため、順番を決めておきます。
決め方は、止まったときの損害が大きいものから並べるだけです。

• 止まると売上が直接止まるもの（受発注、販売管理、決済）

• 止まると顧客対応ができなくなるもの（メール、電話、顧客情報）

• 数日なら止まっても業務が回るもの（社内共有ファイル、過去資料）

この順番を紙に書いて、バックアップの保管場所と一緒に置いておきます。
暗号化された社内サーバーの中にしかない手順書は、その日に読めません。

そして年に1回でよいので、一覧のいちばん上にあるものを、実際にテスト用の環境へ戻してみてください。
かかった時間が、いま実際に出せる復旧時間です。
それが決めたRTO（こちらは目標のほうです）を超えていれば、方式か費用のどちらかを見直すことになります。

2026年9月時点の最新状況

バックアップをめぐる公的な資料は、2026年に入ってから続けて動いています。
時点を明記して並べます。

最初の取り組み項目に入った（2026年3月27日）

前述のとおり、IPAの「中小企業の情報セキュリティ対策ガイドライン」が第4.0版になり、情報セキュリティ5か条が6か条になりました。
追加されたのが「バックアップを取ろう！」です。
SECURITY ACTIONの一つ星も、この6項目に変わりました。

同じ日に、IPAは「中小企業のための実例で学ぶサイバーセキュリティリスク事例集」も公開しています。
126社へのASM診断などをもとに、脆弱性・被害・取組の30事例を整理したもので、先に引いた「クラウドに保存したバックアップデータも暗号化され」の記述はこの中にあります。

10大脅威の対策に、復旧訓練が並んだ（2026年1月29日順位決定、解説書は同年3月）

「情報セキュリティ10大脅威 2026」で、ランサム攻撃による被害は組織編の1位でした。

対策として書かれているのが、「適切な取得日時、頻度を検討し、バックアップ運用を行う」と、先に引いたWORM機能・復旧訓練の一文です。

前の年の版と比べると、どこが動いたかが分かります。
2025年版は「バックアップ自体の暗号化対策として WORM（Write Once Read Many）機能等も有効である」と書いていました。
WORMはすでに入っていて、2026年版でそこに「バックアップからの復旧訓練の実施」が並んだ形です。
取ること、書き換えられないこと、戻せること。
3つ目が加わりました。

重要インフラをめぐる基準に、独立した項ができた（2026年7月31日決定、10月1日適用）

サイバーセキュリティ戦略本部は2026年7月31日、「重要インフラのサイバーセキュリティ対策のための統一基準」を決定しました。
適用開始は2026年10月1日です。

この基準は、第2部で政府機関が行う施策の基準を、第3部で所管省庁等が定める安全基準等に規定されるべき事項を示す構造になっています。
バックアップは第3部にあり、重要インフラ事業者等が分野・事業者横断的に講ずべき対策として書かれた項です。
事業者に直接適用される規則ではなく、まして中小企業に適用されるものでもありません。

その項の中身が、次の2つです。

直接の名宛人ではなくても、読む価値はあります。
国が水準として書いているのが、別セグメントかオフラインでの保管と、戻せるかの検査だからです。
ここまで見てきた内容と、同じところに着いています。

事業継続計画の側からも書かれている（令和8年7月17日版）

中小企業庁の「事業継続力強化計画 策定の手引き」は、脆弱性のリストに「データのバックアップを実施していない」と「バックアップデータを近隣の施設で保管している」を挙げています。

前半で、外したドライブを隣の部屋に置いてもCISAの3番目は満たさない、と書きました。
その具体例がここにあります。
取得のときだけつないで外す運用にしても、その外付けドライブを同じ建物や近隣に置いているなら、災害の側から見た弱点は残ったままだということです。

対策の記載例も具体的です。

災害の側から見ても、同じ「別の場所に置く」に行き着きます。

補助金の側には、まだ反映されていない

ここは、材料をそろえたうえで書きます。

中小企業がセキュリティのサービス費用に使える補助金として、「デジタル化・AI導入補助金2026」のセキュリティ対策推進枠があります。
2026年9月時点で公募中で、1次から5次締切分の締切は2026年9月29日17時です。
補助率は中小企業が2分の1以内、小規模事業者が3分の2以内、補助額は5万円から150万円、対象はサービス利用料の最大2年分とされています。

ただし、この枠の対象は「サイバーセキュリティお助け隊サービスリスト」に掲載され、かつIT導入支援事業者によってITツール登録されたサービスに限られます。

そして、お助け隊サービスの基準（2.1版、令和7年9月8日）には、バックアップに関する要件がありません。
1類サービスに求められているのは、相談窓口、異常の監視、緊急時の対応支援、導入・運用できる簡単さ、簡易サイバー保険、これらのワンパッケージ提供、導入・維持できる価格などです。
IPAが公開しているサービスの比較一覧にも、バックアップの項目はありません。

つまり、国は6か条にバックアップを入れた一方で、補助金の対象を決める基準のほうにはまだ入っていません。
バックアップのサービス単体がこの枠の対象になるかどうかは、公的な資料からは断定できない状態です。
登録されたパッケージにバックアップが含まれていれば費用に入り得る、というところまでが、資料から言えることになります。

補助金を当てにする場合は、この点を事業者に直接確かめてから進めることになります。

では、今日何を確かめるか

機器やサービスを選ぶ前に、確かめられることが4つあります。
どれも費用がかかりません。

置き場所について

• いま取っているバックアップは、どこに保存されているか

• 感染した端末から、その保存先に書き込めるか

• 書き込めるなら、書き込めない時間帯を作れるか（取得のときだけつなぐ、で足ります）

クラウドについて

• 使っているサービスのごみ箱は、何日で空になるか

• 退職者のアカウントを消したとき、そのデータは何日残るか

• 半年前の状態に戻したい要求が来たら、いまの契約で応えられるか

戻すことについて

• いちばん大事なデータは何か。それを紙に順番で書いてあるか

• その手順書は、社内サーバーが暗号化された日でも読める場所にあるか

• 復元に必要なパスワードや暗号鍵は、どこにあるか

時間について

• 年に1回、いちばん上のデータを実際に戻してみて、かかった時間を測る

最後の1つが、この記事でいちばん伝えたい項目です。
取得の成功通知は毎日届いていても、戻す作業は事故が起きるまで一度も実行されません。
測った時間が、いまの自社の実力です。

ここで挙げた戻す順番を書面にするなら、書式があります。
事前準備チェックリストと、暗号化された日に戻す手順を含む6種をまとめています。

まとめ

• 2026年3月27日、IPAの中小企業向けガイドラインが第4.0版になり、情報セキュリティ5か条に「バックアップを取ろう！」が加わって6か条になった。SECURITY ACTIONの一つ星の基準も同じく6項目になった

• バックアップが役に立たなかった事例として繰り返し挙げられるのが、置き場所である。警察庁は「復旧を妨害するため、バックアップも一緒に暗号化される場合が多い」と書いている

• クラウドに置いても同じで、IPAの事例集には「クラウドに保存したバックアップデータも暗号化され、データ復旧困難となった」という被害が載っている

• 同期はバックアップではない。被害までそのまま複製する

• 3-2-1は、IPAが「321ルール」として、米国CISAが「3-2-1 rule」として、同じ3つを挙げている。ただし中小企業向けガイドライン第4.0版や警察庁の情勢資料はこの数字を使っておらず、総務省は「どれかひとつは残るようにする」と言葉で書いている

• 費用をかけずにいちばん効くのは、取得のときだけつなぐこと。IPAは装置・媒体を「バックアップ時のみ接続」としている。これはオフライン化であって、3-2-1の「離れた場所に」とは別の軸である

• 書き換えられない保存は、IPAの資料では「WORM」と呼ばれている。AWSのS3 Object LockやAzure Blobの不変ストレージが実装の例

• クラウドの標準機能で戻せるのは、2026年9月時点で、SharePointが93日、Googleドライブが30日、Google Workspaceの管理者による復元がゴミ箱を空にした後25日・アカウント削除後20日。いずれも猶予期間であって、バックアップではない

• マイクロソフト自身が、Microsoft 365 バックアップを1GBあたり月額0.15米ドルの従量課金で別売りしている（2026年9月時点）

• RTO・RLO・RPOは内閣府の事業継続ガイドラインが定義している。決めていないと、費用をかける根拠を持てない

• 警察庁のアンケート（費用89件、期間107件）では、1か月未満で復旧した組織の割合は回答組織の5割強にとどまる

• 年に1回、実際に戻して時間を測る。その時間が、いまの自社の実力である

皆さんの会社では、いちばん大事なデータを戻すのに何時間かかるか、答えられるでしょうか。

参考・引用元

国の資料

• IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版（2026年3月27日公開） https://www.ipa.go.jp/security/guide/sme/about.html

• IPA プレス発表「『中小企業の情報セキュリティ対策ガイドライン』第4.0版を公開」（2026年3月27日） https://www.ipa.go.jp/pressrelease/2025/press20260327.html

• 経済産業省「中小企業のセキュリティ対策強化に向けて事例集とガイドライン第4.0版を公表します」（2026年3月27日） https://www.meti.go.jp/press/2025/03/20260327002/20260327002.html

• IPA「中小企業のための実例で学ぶサイバーセキュリティリスク事例集」（2026年3月） https://www.ipa.go.jp/security/reports/sme/rcu1hd0000009k82-att/sme-jirei.pdf

• IPA「SECURITY ACTION 一つ星」（情報セキュリティ6か条） https://www.ipa.go.jp/security/security-action/onestar/

• IPA「中小企業の情報セキュリティ対策ガイドライン第4.0版 付録3 5分でできる!情報セキュリティ自社診断」 https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0_app_3.pdf

• IPA「日常における情報セキュリティ対策」（「321ルール」の説明。2023年4月20日更新） https://www.ipa.go.jp/security/anshin/measures/everyday.html

• IPA「情報セキュリティマネジメント試験（レベル2）シラバス Ver.4.0」（2023年12月、変更箇所表示版。「3-2-1ルール」の記載） https://www.ipa.go.jp/shiken/syllabus/nq6ept00000014jz-att/syllabus_sg_ver4_0_henkou.pdf

• IPA「情報セキュリティ10大脅威 2025 解説書［組織編］」（2025年2月。WORMの記載の前年版） https://www.ipa.go.jp/security/10threats/eid2eo0000005231-att/kaisetsu_2025_soshiki.pdf

• IPA テクニカルウォッチ「ランサムウェアの脅威と対策 〜ランサムウェアによる被害を低減するために〜」（2017年1月23日公開） https://www.ipa.go.jp/security/reports/technicalwatch/20170123.html

• IPA「情報セキュリティ10大脅威 2026」（順位決定は2026年1月29日、解説書は同年3月） https://www.ipa.go.jp/security/10threats/10threats2026.html

• IPA「サイバーセキュリティお助け隊サービス基準」2.1版（令和7年9月8日） https://www.ipa.go.jp/security/sme/otasuketai/nq6ept000000faii-att/000092713.pdf

• IPA「サイバーセキュリティお助け隊サービス」監視種別サービス一覧（比較） https://www.ipa.go.jp/security/otasuketai-pr/hikaku/index.html

• 警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（令和8年3月公表） https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf
  統計データ（Excel。調査費用の総額89件、復旧等に要した期間107件、バックアップの取得状況116件） https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_jousei_data.xlsx

• 総務省「クラウドサービス利用・提供における適切な設定のためのガイドライン」（2022年10月） https://www.soumu.go.jp/main_content/000843318.pdf

• 総務省「データ復旧・バックアップの管理」（国民のためのサイバーセキュリティサイト） https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/security/business/admin/13/

• 内閣府（防災担当）「事業継続ガイドライン －あらゆる危機的事象を乗り越えるための戦略と対応－」（令和5年3月） https://www.bousai.go.jp/kyoiku/kigyou/pdf/guideline202303.pdf

• 中小企業庁「事業継続力強化計画 策定の手引き」（令和8年7月17日版） https://www.chusho.meti.go.jp/keiei/antei/bousai/download/keizokuryoku/tebiki_tandoku.pdf

• サイバーセキュリティ戦略本部「重要インフラのサイバーセキュリティ対策のための統一基準」（令和8年7月31日決定、令和8年10月1日適用） https://www.cyber.go.jp/pdf/policy/kihon-s/260731decision2.pdf

• デジタル化・AI導入補助金2026「セキュリティ対策推進枠」（中小企業庁監督、独立行政法人中小企業基盤整備機構） https://it-shien.smrj.go.jp/applicant/subsidy/security/

• デジタル化・AI導入補助金2026「事業スケジュール」 https://it-shien.smrj.go.jp/schedule/

海外の政府機関の資料

• CISA「Back Up Business Data」（中小企業向け） https://www.cisa.gov/audiences/small-and-medium-businesses/secure-your-business/back-up-business-data

事業者の公式ドキュメント

• Microsoft Learn「クラウドでの共同責任」 https://learn.microsoft.com/ja-jp/azure/security/fundamentals/shared-responsibility

• Microsoft Learn「Microsoft 365 SharePoint データの削除」 https://learn.microsoft.com/ja-jp/sharepoint/sharepoint-data-deletion

• Microsoft Learn「Microsoft 365 バックアップの概要」 https://learn.microsoft.com/ja-jp/microsoft-365/backup/backup-overview

• Microsoft Learn「Microsoft 365 バックアップの価格モデル」 https://learn.microsoft.com/ja-jp/microsoft-365/backup/backup-pricing

• Microsoft Learn「Microsoft 365 バックアップを設定する」（Azureサブスクリプションの要件） https://learn.microsoft.com/ja-jp/microsoft-365/backup/backup-setup

• Google ドライブ ヘルプ「Google ドライブ内のファイルを削除する」 https://support.google.com/drive/answer/2375102

• Google Workspace 管理者ヘルプ「Recover deleted files and folders for Drive users」 https://knowledge.workspace.google.com/admin/drive/recover-deleted-files-and-folders-for-drive-users

• Google Workspace 管理者ヘルプ「Restore a deleted user's Drive files」 https://knowledge.workspace.google.com/admin/drive/restore-a-deleted-users-drive-files

• AWS「Locking objects with Object Lock」 https://docs.aws.amazon.com/AmazonS3/latest/userguide/object-lock.html

• Microsoft Learn「BLOB データの不変ストレージ」 https://learn.microsoft.com/ja-jp/azure/storage/blobs/immutable-storage-overview

書籍

• 翔泳社「実務で役立つ バックアップの教科書」（増井敏克 著／2025年2月19日／288ページ／2,618円 税込） https://www.shoeisha.co.jp/book/detail/9784798188386

実務で使う書式について

この連載の内容を、社内でそのまま使える書式にまとめたものを、別のマガジンで公開しています。
規程のひな形、対応フロー、チェックシート、報告書式などです。

実務で使う書式・キット
https://note.com/yunta_fukurou/m/mfc25857fab40

関連する記事

NASを置いている会社が、そのNASをどう守るかは別の記事で扱っています。
外からアクセスできる状態にしていることの意味と、バックアップ体制の作り方をまとめています。
https://note.com/yunta_fukurou/n/n3da1f48b059c

そもそもNASを入れるかどうかから考える場合は、こちらです。
クラウドとの違いと、総額がHDDで決まる理由をまとめています。
https://note.com/yunta_fukurou/n/n52ad8513a230

暗号化に気づいてからの3日間に何が起きるかは、別の記事で扱っています。
バックアップから戻す作業が、その3日間のどこに入るかもこの記事で確かめられます。
https://note.com/yunta_fukurou/n/n10bc6d66e71e

暗号化される前に気づくための仕組みについては、こちらで扱っています。
EDRとウイルス対策ソフトの違いと、ログを何日さかのぼれるかをまとめています。
https://note.com/yunta_fukurou/n/n20e1dbff2596

バックアップと復元テストは、サイバー保険の見積もりでも別々の設問として聞かれます。
何を聞かれ、その回答が保険料にどう跳ね返るかは、こちらで扱っています。
https://note.com/yunta_fukurou/n/n7d055d350f79

暗号化されて戻せなくなった場合は、個人情報保護法では「毀損」として報告の対象になります。
同じデータが他に保管されていれば毀損に当たらない、という整理もあります。
報告と通知の手続きは、こちらで扱っています。
https://note.com/yunta_fukurou/n/nfcbb88c4a3af

そもそも何年残さなければならないのかは、別の記事で扱っています。
電子で受け取った請求書や領収書を電子のまま保存する義務と、法人なら原則7年という期間、置き場の決め方をまとめています。
https://note.com/yunta_fukurou/n/nbe7a8a0cb5de

切り離す判断を含めた初動の手順は、別の記事で扱っています。
最初の10分でやることと、そのあとどこに相談してどこに届け出るのかをまとめています。
https://note.com/yunta_fukurou/n/ndb7fdddb2cf5

ログをどれだけ残すかは、別の記事で扱っています。
保存期間の目安が1年であることと、被害のときにログが消えている3つの原因をまとめています。
ログもバックアップと同じように保管することが推奨されています。
https://note.com/yunta_fukurou/n/n25176ae28da1

戻せなかった会社が、次に何を迫られるかは別の記事で扱っています。
9割が取得していて復元できたのは4件に1件という数字と、支払いをめぐる公的機関の見解をまとめています。
https://note.com/yunta_fukurou/n/nde158fba40a4

6か条にバックアップが入った文書そのものは、別の記事で扱っています。
25項目の自社診断と、SECURITY ACTIONの一つ星・二つ星の要件をまとめています。
https://note.com/yunta_fukurou/n/n7c99f30282b5

削除したのに残っているものは、別の記事で扱っています。
ごみ箱の2段目と、プログラムから消したときにごみ箱を通らないことをまとめています。
https://note.com/yunta_fukurou/n/n08277ce46aef

同期しているフォルダーで消えたファイルをどこから戻すかは、別の記事で扱っています。
仕事用のアカウントで93日であることと、端末のごみ箱に入る場合と入らない場合をまとめています。
https://note.com/yunta_fukurou/n/n42a8fbd13b62

向こうに置いたままにできない例として、AIで作った動画があります。
生成された動画が2日で消える仕様と、作ったその日に落とす手順をまとめています。
https://note.com/yunta_fukurou/n/nba062653664e

置き場所そのものが寿命で止まる話は、別の記事で扱っています。
書いた量をS.M.A.R.T.から数える方法と、年に1回の点検に落とす形をまとめています。
https://note.com/yunta_fukurou/n/ncab65f480736

撮ったものを向こうに置いたままにしない、という点はSDカードでも同じです。
空きが残っていても録画できなくなる理由と、移したら初期化するという運用をまとめています。
https://note.com/yunta_fukurou/n/n7d5faa7c6ff9