# バックアップとは

障害、誤操作、攻撃でデータが消失したときに復元できるよう、データを別の場所に複製して保管することです。ランサムウェアの被害ではバックアップを取得していてもデータを復元できない事例が多く、業務ごとに復元したい時点と停止できる時間から方式を決定します。

## バックアップとは

バックアップは、[必要なときに復旧できるよう作成するファイルやプログラムの複製](https://csrc.nist.gov/glossary/term/backup)です。元のシステムとは[別の場所に保管](https://www.cisa.gov/audiences/small-and-medium-businesses/secure-your-business/back-up-business-data)し、機器の故障、誤削除、ランサムウェアによる暗号化、災害でデータが消失したときに、保管した時点の状態へ復元するために利用します。

例えば販売管理システムでは、受注と在庫のデータベースを毎晩1回、別の保管先へ複製し、過去14日分を保持します。担当者が受注データを一括で誤削除しても、前日の夜の時点に復元できます。その代わり、当日の朝から削除までに登録した受注は復元できず、別の記録から再入力します。重要な書類の写しを、本社とは別の建物の金庫に日付ごとに保管する備えと同じ考え方です。

冗長化や同期とは、過去の時点に復元できるかどうかが異なります。冗長化は同じデータを2台の機器に常に記録し、1台が故障しても業務を継続する構成で、削除や暗号化も2台目に即座に反映されます。同期はパソコンとクラウドのフォルダの中身を一致させる仕組みで、多くの製品では削除や暗号化もすぐに反映されます。同期サービスには過去の時点のファイルに復元する機能もありますが、[OneDriveの個人アカウントでは過去30日間](https://support.microsoft.com/en-us/office/restore-deleted-files-or-folders-in-onedrive-949ada80-0026-4db3-a953-c99083e6a84f)のように期間が限られ、保持期間より前に発生した削除や暗号化については、その前の状態に復元できないため、別の場所に保管した複製の代わりにはなりません。

![6日の昼に誤削除しても、毎晩の複製を保持するバックアップは5日の夜の状態に復元できる。冗長化は削除をすぐ反映し、削除後の状態だけが保持される](https://media.marketing.kdotdev-tunnel.org/glossary-backup-4d9152a9e1618946e4cc52c7267c65a0e05b05c40af5893bbb0dd22a2652eaf3.png)

## ランサムウェアの被害で取得したバックアップから復元できない事例が多い

令和7年にランサムウェアの被害が発生した組織のうち、[取得状況を回答した116件中105件がバックアップを取得していました](https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf)。一方、[バックアップからの復元の結果を回答した99件のうち、復元できたのは20件で、79件は復元できませんでした](https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf)。いずれも警察庁が被害の組織に実施した調査の結果です。

[復元できなかった理由を回答した72件では、48件でバックアップ自体も暗号化または消去されていました](https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf)。社内のネットワークに常時接続し、本番と同じ管理者の権限で操作できる保管先は、攻撃者が管理者の権限を窃取すると同じように操作されます。[19件は運用の不備によるもの](https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf)でした。

![令和7年のランサムウェア被害で、取得状況を回答した116件中105件がバックアップを取得していたが、復元の結果を回答した99件のうち79件は復元できなかった](https://media.marketing.kdotdev-tunnel.org/glossary-backup-5296d14448addd505826350d5ce08625b6e9b00eb5d16156b213c281b860edd7.png)

## バックアップの効果と運用の負担

### 効果

- 誤削除や誤操作、不具合による上書きを、取得した時点の状態に復元できる
- ランサムウェアの被害で、身代金の支払いなしで業務を再開する手段になる
- 機器の故障や災害で設備ごと消失しても、別の場所に保管したデータから再構築できる
- システムの更新や移行の前に取得すると、失敗したときに作業前の状態へ復元できる

### 運用の負担とリスク

- 保管容量の費用は世代と保管先を追加するほど増加する。毎回全体を複製する方式では、世代の数にほぼ比例する
- ネットワークから分離した保管先は、媒体の交換や接続の作業が手作業になりやすい
- 復元の試験に担当者の時間がかかる。試験を省略すると、手順の不備が被害の当日まで判明しないことがある
- 取得の失敗の通知を誰も確認しないと、数か月前から取得が停止していたことが復元時に判明する
- 数TBのデータは、復元に数時間から数日かかることがある。クラウドの保管先からの復元では、データの転送料金が発生するサービスが多い
- バックアップにも顧客情報が含まれるため、保管先の権限と暗号化の管理が元のデータと同じ水準で必要
- バックアップの暗号化の鍵や、保管先の管理者の認証情報を紛失すると復元できない。本番と同じ認証情報で管理すると、攻撃者にバックアップごと消去される

![管理者の権限を窃取した攻撃者は、同じ認証情報で管理した保管先のバックアップを削除する。ネットワークから分離して別の認証情報で管理した保管先には攻撃者が到達しにくく、復元に利用できる](https://media.marketing.kdotdev-tunnel.org/glossary-backup-9e827f45f1f1d46ae34ed16f7eef2b59656dd5adcb6a94e4cf0f1952718cb118.png)

## バックアップの頻度と保管先の決定方法

業務の責任者が、何時間分のデータの消失まで許容できるかと、許容できる停止時間を業務ごとに設定し、そこから頻度、世代の数、保管先を決定します。前者をRPO（Recovery Point Objective、目標復旧時点）、後者をRTO（Recovery Time Objective、目標復旧時間）と呼びます。システムの担当者は、その目標を満たす方式と費用を提示します。[CISAは定期的に復元を試験し、業務の必要を満たすようRPOとRTOを再検討するよう推奨しています](https://www.cisa.gov/audiences/small-and-medium-businesses/secure-your-business/back-up-business-data)。

| 業務の例 | 消失を許容できる範囲の目安 | 停止の許容の目安 | 方式の例 |
|---|---|---|---|
| 受注、決済、会計 | 数分から1時間分 | 数時間 | データベースの任意の時点に復元できる機能と、別の場所への日次の複製 |
| ファイルサーバーの業務文書 | 前日の夜まで | 1日程度 | 日次の取得、30日から90日分の世代、1つは分離した保管先 |
| 社内の情報共有や検証環境 | 1週間程度 | 数日 | 週次の取得、または再作成の手順だけを保存 |

任意の時点に復元できる機能は、同じアカウントの中に複製を保存することが多く、アカウントが不正に利用されると複製ごと消去されることがあります。その場合に復元できる時点は、別の場所に保管した日次の複製の時点になります。

保管先は、[IPAが示す321ルール](https://www.ipa.go.jp/security/anshin/measures/everyday.html)を基準にします。元のデータと2つの複製の計3つを保有し、複製を2種類の異なる媒体に保存し、そのうち1つは別の場所に保管する方法です。ランサムウェアへの備えとして、[警察庁はバックアップをネットワークから分離して保存することを推奨しています](https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html)。クラウドの保管先なら、一定期間は誰も削除できない設定や、普段の管理者とは別のアカウントでの保管で代替できます。

![リポジトリや他のシステムから再作成でき、手順と所要時間を確認できたデータについては、バックアップの代わりに再作成の手順を記録する。それ以外は業務の責任者が許容できる消失と停止を設定し、担当者が方式と費用を提示し、復元の試験で目標を満たさなければ方式か目標を再検討する](https://media.marketing.kdotdev-tunnel.org/glossary-backup-600d0c28e5d01c0fcad62a457d0058a53dfbe5099f0e7252f17d3fbf13523a89.png)

### 復元の試験の頻度

取得の設定だけで完了とせず、半年に1回程度を目安に、別の環境へ実際に復元し、業務の画面でデータを読み出せるかを確認します。復元にかかった時間を記録すると、RTOの達成の可否を確認できます。データベースのように複数のシステムが依存するものは、復元する順序も手順書に記載します。

### SaaSのデータ

SaaSでは、事業者の設備の故障への備えは事業者が担います。一方で、利用者が誤削除したデータを何日前まで復元できるかは、製品と設定で異なります。例えば[Google Workspaceでは、利用者がゴミ箱を空にしてから25日以内なら管理者がドライブのファイルを復元できます](https://support.google.com/a/answer/6052340?hl=en)。会計や顧客管理のように消失すると業務が停止するデータは、復元できる期間を導入前に確認し、不足する場合は定期的な書き出しを追加します。

### バックアップの頻度と世代を削減できるデータ

ソースコードのリポジトリから再作成できる環境と、他のシステムから毎晩取り込み直す集計用のデータは、バックアップを取得せず、再作成の手順で代替してかまいません。試作の段階のデータは、週次の取得で世代を1つに限定してかまいません。どちらも、再作成や復元の手順と所要時間を事前に確認します。

すでにバックアップを取得している会社では、システムの担当者が最初に、主要な業務のデータを1回、別の環境へ復元してみます。復元できることと所要時間を確認してから、分離した保管先の追加や世代の再検討を開始すると、不足している部分に優先して費用を配分できます。

## よくある誤解

### 冗長化しているのでバックアップは不要

2台構成のサーバーでも、誤削除したデータは2台とも消失します。冗長化は機器の故障で停止しないための構成で、過去の時点に復元する手段にはなりません。

### クラウドに保存したデータは事業者がバックアップしている

事業者が備えるのは主に自社の設備の障害です。利用者が削除したデータや、不正に利用されたアカウントで削除されたデータを復元できる範囲は、サービスと設定によって異なります。保持期間の設定と、別のアカウントへの複製の有無を確認します。

### バックアップがあればランサムウェアの被害は解決する

バックアップは暗号化されたデータを利用できる状態に復元する手段で、攻撃者が窃取した情報の公開は防止できません。侵入に利用された機器や認証情報の弱点を是正してから復元します。