バックアップとは｜3-2-1ルールと、戻せるかを年1回で確かめる方法

2026年9月9日 08:38

「バックアップは取っていますか」と聞かれて、「取っています」と答えられる会社は多いと思います。

では、そのバックアップはどこに置いてあるでしょうか。
最後に中身を見たのはいつでしょうか。
そこから実際に戻したことは、一度でもあるでしょうか。

先に答えを書きます。
バックアップで確かめる価値があるのは、取得が成功しているかどうかではありませんでした。
感染した端末から、そのバックアップに書き込めるか。
標準のごみ箱に、消したデータが何日残るか。
戻す手順書と鍵が、暗号化された日でも読める場所にあるか。
いちばん大事なデータを戻すのに、実際に何時間かかるか。
この4つです。
機器やサービスを選ぶのは、そのあとで足ります。

そこにたどり着くまでに、よく引かれる「3-2-1ルール」の出どころも確かめました。
IPAはハイフンを入れない「321ルール」という書き方で、米国CISAは「3-2-1 rule」として、同じ3つを挙げています。
ただし中小企業向けのガイドラインや警察庁の資料は、この数字を使っていません。
そして2026年3月、国が中小企業向けに示している最初の取り組み項目に、バックアップが加わりました。

この記事は、IPA・警察庁・総務省・内閣府・中小企業庁・サイバーセキュリティ戦略本部と、米国CISA、クラウド各社の公式資料をもとに、2026年9月時点の内容にしています。

「取っているつもり」は、どこで生まれるのか

国が示す最初の取り組みが、今年6項目になった

まず、今年の動きから入ります。

IPA（情報処理推進機構）は2026年3月27日、「中小企業の情報セキュリティ対策ガイドライン」の第4.0版を公開しました。
同じ日に、経済産業省とIPAの連名でもプレス発表が出ています。

改訂の中身について、IPAは次のように書いています。

はじめに取り組んでほしい情報セキュリティ5か条に「バックアップを取ろう!」を新たに追加し、情報セキュリティ6か条としました。

6か条は、順番も含めてこうなりました。

OSやソフトウェアは常に最新の状態にしよう！
ウイルス対策ソフトを導入しよう！
パスワードを強化しよう！
共有設定を見直そう！
バックアップを取ろう！
脅威や攻撃の手口を知ろう！

末尾に足されたのではなく、5番目に挿入されています。
それまで5番目だった「脅威や攻撃の手口を知ろう！」が6番目に下がりました。

この6か条は、IPAの「SECURITY ACTION」で一つ星を宣言するときの取り組み項目でもあります。
経済産業省の発表は、この変更を次のように説明しています。

OSのアップデートやウイルス対策ソフトの導入など基本5項目であったのを、ランサムウェア被害の拡大を踏まえバックアップの取得を追加し6項目とした

つまりバックアップは、5か条の外にあったものから、最初に取り組む6項目の1つになりました。
追加の理由として挙げられているのは、ランサムウェア被害の拡大です。

同じネットワークにつながっていれば、一緒に暗号化される

バックアップが役に立たなかった事例として繰り返し挙げられるのが、保存先が本番のデータと同じ場所にあった場合です。

警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」は、ランサムウェア攻撃の手口を説明する中で、こう書いています。

より広い領域にアクセスするために管理者権限の奪取やセキュリティ無効化を試みながら、ネットワーク内部を探索して重要データやバックアップを物色する。

そして、その先です。

復旧を妨害するため、バックアップも一緒に暗号化される場合が多い。

攻撃者は、感染した端末から到達できる範囲を探します。
共有フォルダも、NASも、その範囲に入ります。
社内の誰もがアクセスできる場所に置かれたバックアップは、攻撃者にとってもアクセスできる場所です。

同じ資料は、被害を抑えるものとして次を挙げています。

暗号化対策となるオフラインバックアップといった情報資産の管理、侵害範囲特定に不可欠なログの取得、ランサムウェア攻撃を受けた際の対応に関する訓練、警察との連携等、サイバー攻撃のリスクを考慮した管理体制の構築が被害の抑制に有効である。

列挙の最初に挙げられているのが、オフラインバックアップです。

クラウドに置いてあっても、同じことが起きる

これは社内の話だけではありません。

IPAが2026年3月に公開した「中小企業のための実例で学ぶサイバーセキュリティリスク事例集」に、VPN装置の脆弱性を突かれてランサムウェアに感染した事例が載っています。
その被害の記述が、次の一文です。

クラウドに保存したバックアップデータも暗号化され、データ復旧困難となった

クラウドに置いたから安全、ということにはなりません。
感染した端末から書き込める状態でつながっていれば、置き場所がどこであれ同じ結果になります。

同期は、バックアップではない

もう1つの誤解が、クラウドストレージとの同期をバックアップだと考えてしまうことです。

同期は、手元のファイルの状態をクラウド側に反映する仕組みです。
ファイルを削除すればクラウド側からも消えます。
暗号化されれば、クラウド側のファイルも暗号化された状態に置き換わります。

つまり同期は、被害までそのまま複製します。

多くのクラウドサービスには版の履歴やごみ箱がありますが、保持される期間には上限があります。
この日数は後で具体的に見ますが、気づくのが遅れれば戻せる範囲を超えます。

同期は「どの端末からでも同じファイルを見るため」の機能であって、「壊れたときに戻すため」の機能ではありません。

自社のバックアップが、どの型か

ここまでを踏まえて、自社がどれに当たるかを確かめてみてください。

共有フォルダやNASに、常時つながった状態で保存している
クラウドストレージと同期しているだけ
外付けのドライブに保存し、終わったら取り外している
バックアップ専用のサービスを契約している

上の2つに当てはまる場合、ランサムウェアに対しては守れていない可能性が高い状態です。
下の2つであれば、方向としては正しく、あとは頻度と復旧手順の問題になります。

判断に迷うときは、1つの問いで足ります。

感染した端末から、そのバックアップに書き込めるか。

書き込めるなら、暗号化もされ得るということです。

3-2-1ルールの出どころと、その先にある「つなぐかどうか」

この数字を使っている資料と、使っていない資料

バックアップの目安として、3-2-1という数字の並びが広く使われています。
この出どころを確かめました。

日本では、IPAが「日常における情報セキュリティ対策」のページで、ハイフンを入れない「321ルール」という書き方をしています（2023年4月20日更新）。

321ルールとは、データを3つ持ち（運用データ1つ、バックアップデータ2つ）、2種類の異なる媒体でバックアップし、そのうち1つは異なる場所（オフサイト）で保管する、という理想的なバックアップの方法とされています。

米国のCISA（サイバーセキュリティ・インフラセキュリティ庁）も、中小企業向けのページで同じ3つを挙げています（2026年9月時点の掲載）。

重要なファイルのコピーを3つ
2種類の異なる保存媒体に（ハードディスクとクラウドなど）
1つは事業所から離れた場所に保管する

CISAはこれを「信頼できる指針」としています。
IPAの情報セキュリティマネジメント試験のシラバス（Ver.4.0、2023年12月）にも、ランサムウェア対策の用語として「3-2-1ルール」が挙がっています。

一方で、この数字が出てこない資料もあります。
中小企業向けのガイドライン第4.0版、警察庁の情勢資料、総務省の実務向けのページには、3-2-1という並びは書かれていません。
同じ趣旨を、言葉のほうで書いています。

総務省の「国民のためのサイバーセキュリティサイト」は、データ復旧・バックアップの管理のページで、こう書いています（2026年9月時点の掲載）。

サイバー攻撃、災害等何がおきても、どれかひとつは残るようにするという考え方が重要です。

数字を使わずに、同じことを言っています。
そして置き場所についても、はっきり書いています。

オンラインでバックアップを実施する場合は、サイバー攻撃リスクを考慮して、バックアップ先はネットワーク的に分離できることが重要です。安易に同一ネットワーク上にバックアップシステムを接続すると、共倒れのリスクが高まります。

「共倒れ」という言い方が、この問題の本質を1語で言い当てています。

なお、3-2-1の起源としては写真家のPeter Krogh氏の著書『The DAM Book』（2005年）が挙げられることが多いのですが、公的機関が起源を認定した資料は見当たりません。
数字の並びを公的な根拠として引くなら、IPAの上のページか、CISAのページになります。

費用をかけずにいちばん効くのは、つなぎっぱなしをやめること

ここで、3-2-1とは別の軸を1つ足します。
「つないでいるか、いないか」です。

CISAの3番目は「事業所から離れた場所に」、つまり地理的に離すことを言っています。
取得のときだけつないで終わったら外す、というのは地理的に離す話ではなく、ネットワークから切り離す話です。
別の軸なので、分けて考えたほうが混乱しません。

そのうえで、費用をかけずにいちばん効くのはこちらです。

IPAは中小企業の情報セキュリティ対策ガイドライン第4.0版の付録3「5分でできる!情報セキュリティ自社診断」で、診断項目「定期的にバックアップを取る」の対策例として5つを挙げています。

・重要情報のバックアップを定期的に行う。
・バックアップに使用する装置・媒体は、バックアップ時のみパソコンと接続する。
・バックアップの取得方法を決める。（オンラインバックアップの活用等）
・バックアップしたデータを安全な場所に保管する。
・バックアップしたデータを戻せるか定期的に確認する。

2番目が、いま言っている話です。
同じ趣旨は、IPAが2017年1月に公開したテクニカルウォッチ「ランサムウェアの脅威と対策」にもあります。

外付け HDD や USB メモリは、パソコンに接続していない状態であればランサムウェアの影響は及ばないため、バックアップ時のみ接続することが望まれる。

外している間は、その媒体に影響が及びません。
特別な製品を買わなくても、外付けドライブを使うときだけつなぎ、終わったら外して保管する。
これだけで、置き場所の問題は大きく改善します。

ただし、外しておけば安全という話ではありません。
感染が残った端末に次につないだ時点で、その媒体も暗号化され得ます。
つなぐ前に端末側の安全を確かめる、という手順が要ります。

そして、外したドライブを事務所の隣の部屋に置いても、CISAの3番目（離れた場所に）は満たしません。
これがなぜ効くのかは、あとで中小企業庁の手引きを見るところで具体例が出てきます。

媒体を分ける理由も、同じ資料に書かれています。

複数のバックアップ装置・媒体でバックアップを取得しておくと、ランサムウェアに限らずバックアップ装置・媒体の故障や不具合などが発生した場合にも対応が可能となる。

ランサムウェアだけの話ではない、という点が大事です。
ドライブは壊れます。
1本しかなければ、壊れた日にバックアップはゼロになります。

書き換えられない保存は「WORM」と呼ばれている

もう一段進んだ方法が、いったん書き込んだデータを、あらかじめ決めた期間、変更も削除もできない状態にしておく方式です。

製品の宣伝では「イミュータブルバックアップ」と呼ばれることが多い機能です。
ただ、今回あたったIPAの資料（10大脅威の解説書、中小企業向けガイドライン、テクニカルウォッチ）で使われている語は「WORM」でした。

「情報セキュリティ10大脅威 2026」の解説書（組織編）は、1位のランサム攻撃への対策としてこう書いています。

WORM（Write Once Read Many）機能等バックアップ自体の改ざん耐性強化策やバックアップからの復旧訓練の実施も有効。

WORMは Write Once Read Many の頭文字で、一度書いたら読むことしかできない、という意味です。

実装の例を挙げます。
AWSのS3 Object Lockは、保持期間を設定するとその期間はオブジェクトを上書きも削除もできなくなる機能です。
コンプライアンスモードでは、AWSアカウントのrootユーザーであっても消せません。
Azure Blob Storageの不変ストレージも同じ考え方で、「WORM状態の場合、ユーザーが指定した間隔でデータを変更または削除することはできません」と説明されています。

管理者の権限を奪われても、その期間内のバックアップは書き換えられない。
これが、この方式の価値です。

検討するときは、保持する期間を先に決める必要があります。
期間が短ければ、侵入に気づくのが遅れたときに守られた版が残りません。
長ければ容量が増え、費用も上がります。

順番をつけるなら

すべてを一度に整える必要はありません。

つなぎっぱなしをやめる。外付けドライブを1本用意し、取得が終わったら物理的に外す
媒体を分ける。手元のドライブに加えて、クラウド側にも1つ置く
書き換えられない保存を検討する。WORM対応のサービスを選ぶ

1番目は費用がほとんどかからず、効果が最も大きい対策です。
3番目まで進むかどうかは、扱うデータの重要性と、止まったときの損害額で判断することになります。

クラウドに預けたデータは、誰が守るのか

責任の線引きは、あらかじめ決まっている

「うちはクラウドを使っているので、バックアップは大丈夫です」という説明を聞くことがあります。

サーバーの故障や停電でデータが消える心配は、たしかに大きく減りました。
ただ、それは事業者が守ってくれる範囲の話です。

クラウドサービスには「責任共有モデル」という考え方があります。
総務省の「クラウドサービス利用・提供における適切な設定のためのガイドライン」（2022年10月）は、こう説明しています。

クラウドサービスの情報セキュリティを高めるためには、クラウドサービス事業者とクラウドサービス利用者が協力して、クラウドサービスに対する責任を共有する必要がある

そのうえで、SaaSを使う場合の線引きを具体的に書いています。

SaaS を利用する場合、クラウドサービス利用者が責任を負う部分は、データとアプリケーションの管理の一部となる。アプリケーションの動作に係る設定（図の動作設定）は SaaS 事業者が責任を負う一方、利用者アカウントや業務データの設定（図のユーザ設定）については、クラウドサービス利用者の責任となる

事業者側も同じことを書いています。
マイクロソフトの「クラウドでの共同責任」は、「常に保持する責任」という見出しの下で、次のように述べています。

デプロイの種類に関係なく、常に次の責任を負います。
データ - データの分類、データ保護、暗号化の決定、データガバナンス要件への準拠など、データに対する責任を負います。
エンドポイント - モバイルデバイス、ノート PC、デスクトップなど、クラウドサービスにアクセスするクライアントデバイスとエンドポイントを保護する責任があります。
アカウント - ユーザーアクセスの作成、管理、削除など、ユーザーアカウントの管理を担当します。
アクセス管理 - ロールベースのアクセス制御 (RBAC)、多要素認証、条件付きアクセスポリシーなど、アクセス制御の実装と管理を担当します。

設備を落とさないようにするのは事業者の仕事で、中身のデータをどう扱うかは利用者の仕事、という分担です。

社員が誤ってフォルダごと削除した。
退職者のアカウントを消したらファイルも消えた。
感染した端末で暗号化されたファイルが、そのまま同期された。
これらはいずれも事業者側の障害ではないため、事業者の責任範囲には入りません。

標準機能で戻せる日数

では、消してしまったらまったく戻せないのかというと、そうではありません。
どのサービスにも、一定期間だけ戻せる仕組みがあります。
日数を並べます。
以下はいずれも2026年9月時点の公式ドキュメントの記載で、事業者の仕様は変わり得るため、契約の前には必ず取り直してください。

Microsoft 365のSharePointについて、マイクロソフトはこう書いています。

ユーザーがアイテムを削除した場合、そのアイテムを元の場所から削除したときから 93 日間、サイトのごみ箱にアイテムが保持されます。

サイトのごみ箱から消えたあとはサイトコレクションのごみ箱に移りますが、そこにいられるのは93日のうちの残り日数です。
第1段階と第2段階を合わせて93日、という構造になっています。

Googleドライブは30日です。

ゴミ箱に移動したファイルは、30 日後に完全に削除されます。

法人向けのGoogle Workspaceでは、管理者が使える期間が別に定められています。
こちらは2つあって、混同しやすいところです。
利用者がゴミ箱を空にしたあと、管理者が復元できるのは25日以内。
利用者のアカウント自体を削除した場合、そのデータを戻せるのは20日以内です。

いずれも「バックアップ」ではなく「うっかり消したときの猶予」です。
気づくのが遅れて期間を過ぎれば、標準の機能では戻せません。
半年前の状態に戻したい、退職者が使っていた領域を丸ごと復元したい、といった要求には応えられない仕組みだということです。

提供元自身が、バックアップを別売りしている

この点を分かりやすく示しているのが、マイクロソフト自身が提供している「Microsoft 365 バックアップ」です。

SharePointのサイト、OneDriveのアカウント、Exchangeのメールボックスを対象に、バックアップと復元を行う機能です。
位置づけについて、公式ドキュメントはこう書いています。

Microsoft 365 バックアップは、従来のユーザーベースのライセンスとは異なり、使用量に基づいて課金される従量課金制サービスです。

料金は、2026年9月時点で、保護されるデータについて1GBあたり月額0.15米ドル。
復元は無料とされています。
日本語の製品ページでも「0.15 米国ドル/GB/月」と米ドルで表記されており、円建ての公式価格は置かれていません。
従量課金制の設定には、有効なAzureサブスクリプションが必要です。

標準機能だけで足りるのであれば、提供元がわざわざ別料金の仕組みを用意する必要はありません。
バックアップは契約に自動的に含まれているものではなく、別に用意するものだと考えたほうが実態に近いといえます。

NASとクラウド、どちらに置くか

置き場所を決めるときに見るのは、次の3点です。

戻す速さを優先するなら社内のNAS。回線の速度に左右されず、容量が大きくても短時間で戻せる
災害や盗難に備えるならクラウド。建物が使えなくなっても外から取り出せる
費用の形が違う。NASは初期費用が中心、クラウドは容量に応じた月額が続く

なお、SaaSの中にあるデータはこの2択の外にあります。
専用のバックアップサービスか、提供元の追加機能で守ることになります。

そして、どちらか1つを選ぶ問題ではありません。
3-2-1に当てはめると、手元のNASが「異なる媒体の1つ」、クラウドが「別の場所に置く1つ」に当たります（この3番目の条件については、後で中小企業庁の手引きを見るところで詳しく扱います）。

NASだけなら火災や盗難で全滅し、クラウドだけなら回線が止まった日に何も戻せません。
両方を持って、はじめて片方が使えない日をしのげます。

戻せるかどうかは、試さないと分からない

どこまで、いつまでに、どの水準で戻すか

復旧の話には、3つの目標があります。
内閣府（防災担当）の「事業継続ガイドライン」が定義しています。

さらに、この重要な事業に必要な各業務（重要業務）について、どれくらいの時間で復旧させるかを「目標復旧時間」（Recovery Time Objective、RTO）として、どの水準まで復旧させるかを「目標復旧レベル」(Recovery Level Objective、RLO)として決定し、また、重要業務間に優先順位を付ける。

データについては、別の語が用意されています。

失ったデータを過去のどの時点まで復旧させるか（例えば、１週間前のデータまで、１日前のデータまでなど）の目標値を、目標復旧時点（Recovery Point Objective、RPO）と呼ぶ。

言い換えると、RPOは「何時間前までのデータで我慢するか」、RTOは「何時間で再開するか」、RLOは「どこまでの機能で再開するか」です。

そして、費用との関係も同じガイドラインに書かれています。

データは直近まで復旧させるのがもちろん望ましいが、相応して対策費用が高くなる場合が多い。

なお、情報のバックアップについては、平常時に使用している情報データが失われた場合に、どれくらいの期間のデータ損失を許容するかを慎重に検討して決定し、それに基づいてバックアップの取得頻度を決定することが重要である。

毎日1回のバックアップなら、最悪の場合は丸1日分の入力が消えます。
それを許容できるかどうかは業務によって違います。
この3つを決めていないと、機器やサービスを選ぶ基準も、費用をかける根拠も持てません。

取得の成功通知は、戻せることの証明にならない

決めたあとに必要なのが、実際に戻してみることです。

IPAはテクニカルウォッチ「ランサムウェアの脅威と対策」の中で、こう書いています。

ファイルのバックアップを取得したとしても、有事の際にそのバックアップからリストアできなければ意味がない。

そのうえで、確認を続けることを求めています。

また、ランサムウェアのファイル暗号化の機能・仕様なども変化しうる可能性があるため、問題なくリストアができるか、現状のバックアップ方式でリスクに耐えることができるかなどを定期的に確認、検討することも重要である。

同じことは、2026年版の「情報セキュリティ10大脅威」にも「バックアップからの復旧訓練の実施も有効」として入っています。
付録3のバックアップの対策例も、最後が「バックアップしたデータを戻せるか定期的に確認する」です。

IPAが、性格の異なる3つの資料で同じことを求めています。
そしてこの記事の後半で見る国の基準にも、「バックアップリカバリー検査」という形で同じ要求が入っています。

実際には、次のような形で失敗が発覚します。

バックアップの対象から、業務に必要なフォルダが最初から外れていた
復元に必要なパスワードや暗号鍵が、暗号化された本番サーバーの中にしかなかった
戻す手順を知っているのが、退職した担当者だけだった
復元してみたら、想定の何倍も時間がかかった

どれも、事故が起きてからでは取り返しがつきません。

復旧には、思ったより時間と費用がかかる

実際にどれくらいかかるのか、公表されている数字があります。

警察庁の令和7年の資料によると、令和7年のランサムウェアの被害報告件数は226件でした。
そのうち、アンケートに回答した企業・団体等について、こう書かれています。

令和６年に引き続き、ランサムウェア被害に関する調査費用、復旧費用が高額化しており、復旧に総額1,000万円以上を要した組織の割合は全体の５割を超えている。また、復旧に要した期間については、１か月未満で復旧した組織の割合は全体の５割強に留まるなど、被害が長期化する傾向にある

「5割強」が1か月未満ということは、残りの5割弱は1か月以上かかっているということです。
ここでいう「全体」は、このアンケートに回答した組織の全体であって、被害報告件数226件の全体ではありません。
母数は、費用が89件、期間が107件です。
警察庁が情勢資料と同じページで公開している統計データに載っています。

その1か月のあいだ、受注も請求も止まる前提で業務が回るかどうか。
RTOを決めるというのは、この期間をどこまで短くするために、いくら払うかを決めるということでもあります。

戻す順番を、紙に書いて置いておく

すべてを同時に戻すことはできないため、順番を決めておきます。
決め方は、止まったときの損害が大きいものから並べるだけです。

止まると売上が直接止まるもの（受発注、販売管理、決済）
止まると顧客対応ができなくなるもの（メール、電話、顧客情報）
数日なら止まっても業務が回るもの（社内共有ファイル、過去資料）

この順番を紙に書いて、バックアップの保管場所と一緒に置いておきます。
暗号化された社内サーバーの中にしかない手順書は、その日に読めません。

そして年に1回でよいので、一覧のいちばん上にあるものを、実際にテスト用の環境へ戻してみてください。
かかった時間が、いま実際に出せる復旧時間です。
それが決めたRTO（こちらは目標のほうです）を超えていれば、方式か費用のどちらかを見直すことになります。

2026年9月時点の最新状況

バックアップをめぐる公的な資料は、2026年に入ってから続けて動いています。
時点を明記して並べます。

最初の取り組み項目に入った（2026年3月27日）

前述のとおり、IPAの「中小企業の情報セキュリティ対策ガイドライン」が第4.0版になり、情報セキュリティ5か条が6か条になりました。
追加されたのが「バックアップを取ろう！」です。
SECURITY ACTIONの一つ星も、この6項目に変わりました。

同じ日に、IPAは「中小企業のための実例で学ぶサイバーセキュリティリスク事例集」も公開しています。
126社へのASM診断などをもとに、脆弱性・被害・取組の30事例を整理したもので、先に引いた「クラウドに保存したバックアップデータも暗号化され」の記述はこの中にあります。

10大脅威の対策に、復旧訓練が並んだ（2026年1月29日順位決定、解説書は同年3月）

「情報セキュリティ10大脅威 2026」で、ランサム攻撃による被害は組織編の1位でした。

対策として書かれているのが、「適切な取得日時、頻度を検討し、バックアップ運用を行う」と、先に引いたWORM機能・復旧訓練の一文です。

前の年の版と比べると、どこが動いたかが分かります。
2025年版は「バックアップ自体の暗号化対策として WORM（Write Once Read Many）機能等も有効である」と書いていました。
WORMはすでに入っていて、2026年版でそこに「バックアップからの復旧訓練の実施」が並んだ形です。
取ること、書き換えられないこと、戻せること。
3つ目が加わりました。

重要インフラをめぐる基準に、独立した項ができた（2026年7月31日決定、10月1日適用）

サイバーセキュリティ戦略本部は2026年7月31日、「重要インフラのサイバーセキュリティ対策のための統一基準」を決定しました。
適用開始は2026年10月1日です。

この基準は、第2部で政府機関が行う施策の基準を、第3部で所管省庁等が定める安全基準等に規定されるべき事項を示す構造になっています。
バックアップは第3部にあり、重要インフラ事業者等が分野・事業者横断的に講ずべき対策として書かれた項です。
事業者に直接適用される規則ではなく、まして中小企業に適用されるものでもありません。

その項の中身が、次の2つです。

システムイメージやデータ等に対するバックアップの方針及び手順を整備する。その際、サイバー攻撃によるバックアップデータ削除等のリスクがあることを考慮し、バックアップデータをバックアップ元のシステムと異なるセグメントやオフラインで保管する等の対応を検討する。

取得したシステムイメージやデータ等に対するバックアップリカバリー検査の実施を検討する。

直接の名宛人ではなくても、読む価値はあります。
国が水準として書いているのが、別セグメントかオフラインでの保管と、戻せるかの検査だからです。
ここまで見てきた内容と、同じところに着いています。

事業継続計画の側からも書かれている（令和8年7月17日版）

中小企業庁の「事業継続力強化計画策定の手引き」は、脆弱性のリストに「データのバックアップを実施していない」と「バックアップデータを近隣の施設で保管している」を挙げています。

前半で、外したドライブを隣の部屋に置いてもCISAの3番目は満たさない、と書きました。
その具体例がここにあります。
取得のときだけつないで外す運用にしても、その外付けドライブを同じ建物や近隣に置いているなら、災害の側から見た弱点は残ったままだということです。

対策の記載例も具体的です。

バックアップデータについて、○○などにより、同時に被災しないような仕組みを構築する※遠隔地への保管、クラウドサービスの利用など

災害の側から見ても、同じ「別の場所に置く」に行き着きます。

補助金の側には、まだ反映されていない

ここは、材料をそろえたうえで書きます。

中小企業がセキュリティのサービス費用に使える補助金として、「デジタル化・AI導入補助金2026」のセキュリティ対策推進枠があります。
2026年9月時点で公募中で、1次から5次締切分の締切は2026年9月29日17時です。
補助率は中小企業が2分の1以内、小規模事業者が3分の2以内、補助額は5万円から150万円、対象はサービス利用料の最大2年分とされています。

ただし、この枠の対象は「サイバーセキュリティお助け隊サービスリスト」に掲載され、かつIT導入支援事業者によってITツール登録されたサービスに限られます。

そして、お助け隊サービスの基準（2.1版、令和7年9月8日）には、バックアップに関する要件がありません。
1類サービスに求められているのは、相談窓口、異常の監視、緊急時の対応支援、導入・運用できる簡単さ、簡易サイバー保険、これらのワンパッケージ提供、導入・維持できる価格などです。
IPAが公開しているサービスの比較一覧にも、バックアップの項目はありません。

つまり、国は6か条にバックアップを入れた一方で、補助金の対象を決める基準のほうにはまだ入っていません。
バックアップのサービス単体がこの枠の対象になるかどうかは、公的な資料からは断定できない状態です。
登録されたパッケージにバックアップが含まれていれば費用に入り得る、というところまでが、資料から言えることになります。

補助金を当てにする場合は、この点を事業者に直接確かめてから進めることになります。

では、今日何を確かめるか

機器やサービスを選ぶ前に、確かめられることが4つあります。
どれも費用がかかりません。

置き場所について

いま取っているバックアップは、どこに保存されているか
感染した端末から、その保存先に書き込めるか
書き込めるなら、書き込めない時間帯を作れるか（取得のときだけつなぐ、で足ります）

クラウドについて

使っているサービスのごみ箱は、何日で空になるか
退職者のアカウントを消したとき、そのデータは何日残るか
半年前の状態に戻したい要求が来たら、いまの契約で応えられるか

戻すことについて

いちばん大事なデータは何か。それを紙に順番で書いてあるか
その手順書は、社内サーバーが暗号化された日でも読める場所にあるか
復元に必要なパスワードや暗号鍵は、どこにあるか

時間について

年に1回、いちばん上のデータを実際に戻してみて、かかった時間を測る

最後の1つが、この記事でいちばん伝えたい項目です。
取得の成功通知は毎日届いていても、戻す作業は事故が起きるまで一度も実行されません。
測った時間が、いまの自社の実力です。

ここで挙げた戻す順番を書面にするなら、書式があります。
事前準備チェックリストと、暗号化された日に戻す手順を含む6種をまとめています。

まとめ

2026年3月27日、IPAの中小企業向けガイドラインが第4.0版になり、情報セキュリティ5か条に「バックアップを取ろう！」が加わって6か条になった。SECURITY ACTIONの一つ星の基準も同じく6項目になった
バックアップが役に立たなかった事例として繰り返し挙げられるのが、置き場所である。警察庁は「復旧を妨害するため、バックアップも一緒に暗号化される場合が多い」と書いている
クラウドに置いても同じで、IPAの事例集には「クラウドに保存したバックアップデータも暗号化され、データ復旧困難となった」という被害が載っている
同期はバックアップではない。被害までそのまま複製する
3-2-1は、IPAが「321ルール」として、米国CISAが「3-2-1 rule」として、同じ3つを挙げている。ただし中小企業向けガイドライン第4.0版や警察庁の情勢資料はこの数字を使っておらず、総務省は「どれかひとつは残るようにする」と言葉で書いている
費用をかけずにいちばん効くのは、取得のときだけつなぐこと。IPAは装置・媒体を「バックアップ時のみ接続」としている。これはオフライン化であって、3-2-1の「離れた場所に」とは別の軸である
書き換えられない保存は、IPAの資料では「WORM」と呼ばれている。AWSのS3 Object LockやAzure Blobの不変ストレージが実装の例
クラウドの標準機能で戻せるのは、2026年9月時点で、SharePointが93日、Googleドライブが30日、Google Workspaceの管理者による復元がゴミ箱を空にした後25日・アカウント削除後20日。いずれも猶予期間であって、バックアップではない
マイクロソフト自身が、Microsoft 365 バックアップを1GBあたり月額0.15米ドルの従量課金で別売りしている（2026年9月時点）
RTO・RLO・RPOは内閣府の事業継続ガイドラインが定義している。決めていないと、費用をかける根拠を持てない
警察庁のアンケート（費用89件、期間107件）では、1か月未満で復旧した組織の割合は回答組織の5割強にとどまる
年に1回、実際に戻して時間を測る。その時間が、いまの自社の実力である

皆さんの会社では、いちばん大事なデータを戻すのに何時間かかるか、答えられるでしょうか。

参考・引用元

国の資料

IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版（2026年3月27日公開） https://www.ipa.go.jp/security/guide/sme/about.html
IPA プレス発表「『中小企業の情報セキュリティ対策ガイドライン』第4.0版を公開」（2026年3月27日） https://www.ipa.go.jp/pressrelease/2025/press20260327.html
経済産業省「中小企業のセキュリティ対策強化に向けて事例集とガイドライン第4.0版を公表します」（2026年3月27日） https://www.meti.go.jp/press/2025/03/20260327002/20260327002.html
IPA「中小企業のための実例で学ぶサイバーセキュリティリスク事例集」（2026年3月） https://www.ipa.go.jp/security/reports/sme/rcu1hd0000009k82-att/sme-jirei.pdf
IPA「SECURITY ACTION 一つ星」（情報セキュリティ6か条） https://www.ipa.go.jp/security/security-action/onestar/
IPA「中小企業の情報セキュリティ対策ガイドライン第4.0版付録3 5分でできる!情報セキュリティ自社診断」 https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0_app_3.pdf
IPA「日常における情報セキュリティ対策」（「321ルール」の説明。2023年4月20日更新） https://www.ipa.go.jp/security/anshin/measures/everyday.html
IPA「情報セキュリティマネジメント試験（レベル2）シラバス Ver.4.0」（2023年12月、変更箇所表示版。「3-2-1ルール」の記載） https://www.ipa.go.jp/shiken/syllabus/nq6ept00000014jz-att/syllabus_sg_ver4_0_henkou.pdf
IPA「情報セキュリティ10大脅威 2025 解説書［組織編］」（2025年2月。WORMの記載の前年版） https://www.ipa.go.jp/security/10threats/eid2eo0000005231-att/kaisetsu_2025_soshiki.pdf
IPA テクニカルウォッチ「ランサムウェアの脅威と対策〜ランサムウェアによる被害を低減するために〜」（2017年1月23日公開） https://www.ipa.go.jp/security/reports/technicalwatch/20170123.html
IPA「情報セキュリティ10大脅威 2026」（順位決定は2026年1月29日、解説書は同年3月） https://www.ipa.go.jp/security/10threats/10threats2026.html
IPA「サイバーセキュリティお助け隊サービス基準」2.1版（令和7年9月8日） https://www.ipa.go.jp/security/sme/otasuketai/nq6ept000000faii-att/000092713.pdf
IPA「サイバーセキュリティお助け隊サービス」監視種別サービス一覧（比較） https://www.ipa.go.jp/security/otasuketai-pr/hikaku/index.html
警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（令和8年3月公表） https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf
統計データ（Excel。調査費用の総額89件、復旧等に要した期間107件、バックアップの取得状況116件） https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_jousei_data.xlsx
総務省「クラウドサービス利用・提供における適切な設定のためのガイドライン」（2022年10月） https://www.soumu.go.jp/main_content/000843318.pdf
総務省「データ復旧・バックアップの管理」（国民のためのサイバーセキュリティサイト） https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/security/business/admin/13/
内閣府（防災担当）「事業継続ガイドライン－あらゆる危機的事象を乗り越えるための戦略と対応－」（令和5年3月） https://www.bousai.go.jp/kyoiku/kigyou/pdf/guideline202303.pdf
中小企業庁「事業継続力強化計画策定の手引き」（令和8年7月17日版） https://www.chusho.meti.go.jp/keiei/antei/bousai/download/keizokuryoku/tebiki_tandoku.pdf
サイバーセキュリティ戦略本部「重要インフラのサイバーセキュリティ対策のための統一基準」（令和8年7月31日決定、令和8年10月1日適用） https://www.cyber.go.jp/pdf/policy/kihon-s/260731decision2.pdf
デジタル化・AI導入補助金2026「セキュリティ対策推進枠」（中小企業庁監督、独立行政法人中小企業基盤整備機構） https://it-shien.smrj.go.jp/applicant/subsidy/security/
デジタル化・AI導入補助金2026「事業スケジュール」 https://it-shien.smrj.go.jp/schedule/

海外の政府機関の資料

CISA「Back Up Business Data」（中小企業向け） https://www.cisa.gov/audiences/small-and-medium-businesses/secure-your-business/back-up-business-data

事業者の公式ドキュメント

Microsoft Learn「クラウドでの共同責任」 https://learn.microsoft.com/ja-jp/azure/security/fundamentals/shared-responsibility
Microsoft Learn「Microsoft 365 SharePoint データの削除」 https://learn.microsoft.com/ja-jp/sharepoint/sharepoint-data-deletion
Microsoft Learn「Microsoft 365 バックアップの概要」 https://learn.microsoft.com/ja-jp/microsoft-365/backup/backup-overview
Microsoft Learn「Microsoft 365 バックアップの価格モデル」 https://learn.microsoft.com/ja-jp/microsoft-365/backup/backup-pricing
Microsoft Learn「Microsoft 365 バックアップを設定する」（Azureサブスクリプションの要件） https://learn.microsoft.com/ja-jp/microsoft-365/backup/backup-setup
Google ドライブヘルプ「Google ドライブ内のファイルを削除する」 https://support.google.com/drive/answer/2375102
Google Workspace 管理者ヘルプ「Recover deleted files and folders for Drive users」 https://knowledge.workspace.google.com/admin/drive/recover-deleted-files-and-folders-for-drive-users
Google Workspace 管理者ヘルプ「Restore a deleted user's Drive files」 https://knowledge.workspace.google.com/admin/drive/restore-a-deleted-users-drive-files
AWS「Locking objects with Object Lock」 https://docs.aws.amazon.com/AmazonS3/latest/userguide/object-lock.html
Microsoft Learn「BLOB データの不変ストレージ」 https://learn.microsoft.com/ja-jp/azure/storage/blobs/immutable-storage-overview

書籍

翔泳社「実務で役立つバックアップの教科書」（増井敏克著／2025年2月19日／288ページ／2,618円税込） https://www.shoeisha.co.jp/book/detail/9784798188386

実務で使う書式について

この連載の内容を、社内でそのまま使える書式にまとめたものを、別のマガジンで公開しています。
規程のひな形、対応フロー、チェックシート、報告書式などです。

実務で使う書式・キット
https://note.com/yunta_fukurou/m/mfc25857fab40