バックアップの3-2-1ルールとは？中小企業の現実的な取り方と復元テスト

バックアップの3-2-1ルールとは？「3つ・2種類・1つは別の場所」

3-2-1ルールとは、重要なデータのコピーを3つ持ち（原本1つ＋バックアップ2つ）、2種類の異なる媒体に保存し、そのうち1つは離れた場所に置く、というバックアップの基準です。米国のセキュリティ機関CISA（US-CERT）が公開している資料「Data Backup Options」でも、どの保存方法を選ぶ場合でもこのルールに従うよう勧めています。

数字	意味	中小企業での例
3	コピーを3つ持つ（原本1＋バックアップ2）	業務で使うデータ＋外付けディスク＋クラウドの保管先
2	2種類の異なる媒体に保存する	手元のディスクと、性質の違うクラウド保管の組み合わせ
1	1つは離れた場所に置く	事務所の外。クラウドや別拠点に1部

なぜこの形なのかは、「同時に失われない組み合わせを作る」と考えると分かりやすくなります。コピーが2つでも、同じ机の上にあれば火災や盗難で一緒に失われます。同じ機器の中にあれば、1回の故障やランサムウェア（データを暗号化して身代金を要求する攻撃）で一緒に暗号化されます。3つ・2種類・1つは別の場所、という組み合わせは、1つの原因で全部を失わないための最低ラインです。

バックアップは、いまや基本対策の1つに数えられています。IPA（情報処理推進機構）の中小企業の情報セキュリティ対策ガイドライン（第4.0版）では、改訂でそれまでの「情報セキュリティ5か条」に「バックアップを取ろう!」が追加され、6か条になりました。基本の6つの全体像は中小企業のセキュリティ対策は何から始める？で解説しています。

「取っているのに戻せない」——警察庁の統計が示す現実

ここで、バックアップの失敗がどれだけ起きているかを数字で確認します。警察庁が2026年9月に公表した「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」には、ランサムウェア被害に遭った組織へのアンケート結果が載っています。

項目	令和8年上半期の回答
バックアップの取得	有効回答50件のうち44件が「取得有」。約9割は取っていた
復元の結果	有効回答40件のうち、復元できたのは11件（約4分の1）。29件は復元できなかった
復元できなかった理由	29件のうち「バックアップの暗号化・消去」が14件、「運用不備」が8件

過去5年の合算ではさらにはっきりします。復元を試みた547件のうち、復元できたのは120件。約8割は、バックアップがあったのに戻せませんでした。理由の最多は「バックアップの暗号化・消去」、つまりバックアップが業務のネットワークにつながったままで、本体と一緒に暗号化されたり消されたりしたケースです。次に多いのが「運用不備」で、取れていると思っていたバックアップが止まっていた、必要なデータが対象から漏れていた、といった状態を指します。

「入れた」と「動いている」は別物

この「運用不備」は、弊社も現場で繰り返し見てきました。情報漏えいが許されない業種のWebサイトの保守を引き受けると、何年も更新されていないWordPressと並んで、バックアップがそもそも無いという状態に行き当たります。放置されたサイトで何が起きるかは何年も放置したホームページの実例に書いたとおりです。

また、弊社が開発を引き継いだあるWebサービスの点検では、改ざんを検知する仕組みは入っていたのに、設定エラーで止まったままになっていた例がありました。仕組みを入れた時点で安心してしまい、動いているかを誰も確認していなかったのです。バックアップもまったく同じ構造で失敗します。「入れたか」ではなく「動いているか」「戻せるか」を確認して初めて、対策として成立します。この点検の詳細はWebアプリの点検で見つかった3つの穴にまとめています。

従業員10人規模の現実的な構成例——同期はバックアップに数えない

クラウド同期は「消すと両方消える」

構成を考える前に、よくある誤解を1つ解いておきます。GoogleドライブやOneDriveなどの同期機能は、バックアップではありません。同期は「手元とクラウドを同じ状態にそろえる」仕組みのため、手元でファイルを誤って削除すれば同期先からも消え、ランサムウェアに暗号化されたファイルは暗号化されたまま同期されます。サービスによっては過去の版を一定期間残す機能がありますが、期間や対象に制限があり、会社のデータ全体を守る前提には置けません。同期は日々の業務を便利にする道具として使い、それとは別に、過去の時点の状態を残す「世代」を持つのがバックアップです。

3-2-1を満たす最小構成

従業員10人規模で、サーバー専任の担当者がいない会社を想定した構成例です。特別な機器を買い足さなくても、外付けディスク1台と、既に契約しているクラウドの保管機能から始められます。

コピー	置き場所	運用の要点
原本	業務で使うパソコン・共有フォルダ	ふだんの業務データ。同期フォルダもここに数える
バックアップ1	外付けディスクやNAS（社内の保存機器）	自動で定期取得。取り終えたら取り外す、または業務の経路から分ける
バックアップ2	クラウドの保管先や別拠点	事務所の火災・盗難に備えて社外に1部。世代を残す設定にする

• 対象を決める（経営者と担当者、30分）：失うと業務が止まるデータを書き出す。会計・顧客情報・受発注・共有フォルダ、そしてWebサイトやシステムのデータ。全部ではなく「戻せないと困るもの」から
• 自動で取る設定にする（IT担当、1〜2時間）：手動のバックアップは、忙しい時期に止まります。ソフトや機器の自動バックアップ機能で、頻度（毎日〜週1回）と世代数を決めて設定する
• 通知を見る担当を決める（毎週5分）：バックアップの成功・失敗の通知やログを、週1回確認する人を決める。警察庁の統計にあった「運用不備」の多くは、この5分で防げます

ランサムウェアは、ネットワーク内のバックアップを探して暗号化や消去を試みます。だからこそ、1部は業務のネットワークから切り離しておくことが重要です。ランサムウェアの手口と入口の塞ぎ方そのものは、この連載の別の回で取り上げています。

復元テスト——四半期に1回、ファイルを1つ戻してみる

構成ができたら、仕上げは復元テストです。警察庁の統計が示すとおり、取っていても戻せなければ意味がありません。といっても、全データを戻す大掛かりな訓練は不要です。四半期に1回、ファイルを1つ実際に戻す。これだけで、止まっているバックアップや戻せない設定には気づけます。担当者1人、30分で終わる手順です。

• 1. 戻すファイルを1つ選ぶ（前回と違う場所から選ぶと、対象漏れにも気づけます）
• 2. バックアップから、原本とは別の場所に復元する（原本に上書きしない）
• 3. ファイルが開けるか、内容がバックアップ時点の状態になっているかを確認する
• 4. かかった時間と手順をメモに残す（事故のとき「どのくらいで戻せるか」の見積もりになります）
• 5. 戻せなかった場合は、設定・対象・世代数を見直して、翌週にもう一度試す

あわせて、バックアップの頻度は「失ってもやり直せる期間」から逆算して決めます。1日分の入力なら打ち直せるが、1週間分は難しい——そういう会社なら毎日です。頻度・世代数・復元テストの記録を1枚にまとめておくと、担当者が交代しても運用が途切れません。

続け方——月1回「取れているか」、四半期に1回「戻せるか」

バックアップの運用は、次の2つのリズムに落とすと続きます。

• 月1回（15分）：バックアップの成功通知・容量・対象の一覧を確認する。新しく始めた業務のデータが対象から漏れていないかも、ここで見る
• 四半期に1回（30分）：ファイルを1つ戻す復元テスト。結果と所要時間を記録する

情報漏えいの原因の多くが「誰も見ていない期間」から生まれることは、情報漏えいの原因ランキングで書きました。バックアップも同じで、仕組みの良し悪しより、見る人と日付が決まっているかどうかで結果が分かれます。退職や担当交代のタイミングで運用が途切れやすいことは、退職者のアカウント削除チェックリストでも触れています。

本記事の内容は、2026年10月時点で公表されている資料をもとに編集部が整理したものです。最新の情報は各出典でご確認ください。

よくある質問

Q. クラウドに同期していれば、バックアップは不要ですか？

同期だけでは足りません。同期は手元とクラウドを同じ状態にそろえる仕組みのため、誤って削除したファイルや、ランサムウェアに暗号化されたファイルも、そのまま同期先に反映されます。過去の版を残す機能があるサービスもありますが、期間や対象に制限があります。同期とは別に、過去の時点の状態（世代）を残す形のバックアップを持ってください。

Q. バックアップはどのくらいの頻度で取ればよいですか？

「失ってもやり直せる期間」から逆算して決めます。1日分の入力なら打ち直せるが1週間分は難しい、という会社なら毎日です。手動では忙しい時期に止まるため、自動で取る設定にして、担当者は月1回「動いているか」の確認に回るのが現実的です。

Q. 復元テストでは何を確認すればよいですか？

ファイルを1つ選んで原本とは別の場所に実際に戻し、開けること・内容がバックアップ時点の状態であることを確認します。かかった時間と手順も記録しておくと、事故のときに「どのくらいで戻せるか」の見積もりになります。四半期に1回を目安に、担当者と日付を決めて行ってください。

Q. 外付けハードディスクにコピーしていれば十分ですか？

つなぎっぱなしの外付けディスクは、本体と同じ故障・盗難・暗号化の影響を受けることがあります。警察庁の統計でも、復元できなかった理由として最も多いのは「バックアップの暗号化・消去」でした。取り終えたら取り外すこと、もう1つのコピーを事務所の外（クラウドの保管先など）に置くことで、3-2-1ルールの形に近づきます。