バックアップと復旧の計画の立て方
この記事の結論
バックアップの計画は、守るデータと戻すまでの目標時間を決め、ネットワークから切り離した複製を社外にも置き、実際に戻せるかを定期的に確かめることで、故障やランサムウェアのときに役立つものになります。
自社の「基盤とセキュリティ」の準備度は？10問・約3分で確かめる（無料・登録不要）
パソコンの故障、操作の誤り、ランサムウェア（データを暗号化して身代金を求める攻撃）、火災や災害。どれが起きても、データを戻せれば事業を続けやすくなります。この記事では、IPA（情報処理推進機構）などの公的な資料をもとに、中小企業でも続けやすいバックアップと復旧の計画の立て方をまとめます。
この記事でわかること
- バックアップの計画で、最初に決めること
- 3-2-1ルールと、ネットワークから切り離して保管する考え方
- 復旧の手順を決め、実際に戻せるかを確かめる方法
なぜ、いまバックアップが重視されているのですか？
IPAは2026年3月に「中小企業の情報セキュリティ対策ガイドライン」の第4.0版を公開し、まず取り組む「情報セキュリティ5か条」に「バックアップを取ろう」を加えて6か条にしました。
IPAの「情報セキュリティ10大脅威 2026」でも、組織向けの1位は「ランサム攻撃による被害」です。ランサムウェアでは、つないだままのバックアップまで暗号化されることがあります。バックアップは「取っている」だけでなく、「攻撃を受けても残っていて、戻せる」ことが大切です。
計画の最初に、何を決めればよいですか？
次の3つを決めると、取り方と保管の方法が決めやすくなります。
① 守るデータを決めます。 会計、顧客の情報、受発注、設計図、契約書など、なくなると業務が止まるデータを書き出します。どこに保存されているか（パソコン、共有フォルダ、クラウドサービス）もあわせて書きます。社内データの一覧がない場合は、先に棚卸しをすると抜けが減ります。
② どこまで戻せればよいかを決めます。 失ってもやり直せる範囲から、バックアップを取る頻度を決めます。1日分をやり直せるなら毎日、それでも困るデータはより短い間隔で取ります。
③ いつまでに戻せばよいかを決めます。 業務を止めていられる時間から、復旧の目標時間を決めます。中小企業庁の「中小企業BCP策定運用指針」も、事業継続計画（BCP）の中で、中核となる事業を決め、目標とする復旧の時間を設定する手順を示しています。
どのように取って、どこに保管すればよいですか？
IPAの6か条の解説編は、バックアップについて次の点を示しています。
- 重要な情報を定期的にバックアップする
- バックアップを取るときだけパソコンにつなぎ、終わったら外して安全な場所に保管する
- オンラインのバックアップ（ネットワーク経由で社外に保存するサービス）も活用する
- 実際に戻せるかを定期的に確かめる
あわせて、目安として「3-2-1ルール」が紹介されています。
| 数字 | 意味 | ねらい |
|---|---|---|
| 3 | 本体を含め、データのコピーを3つ以上持つ | どれか一つが壊れても残る |
| 2 | 2種類の媒体に保存する | 同じ原因でまとめて壊れにくくする |
| 1 | 1つは稼働しているシステムとは別の拠点などに置く | 火災や災害、社内への攻撃に備える |
3-2-1ルール（目安）
バックアップの媒体は、取るときだけつなぎ、終わったら外してネットワークから切り離して保管します。
埼玉県警察も、重要なデータをネットワークから切り離したオフラインのバックアップで保管すること、こまめに取ること、復旧の手順を日頃から確かめておくことを呼びかけています。中小企業庁のBCPの指針のチェック項目にも、オフィス以外の場所にバックアップを保管しているかという問いがあります。
クラウドサービスのデータは？
クラウドサービスに置いたデータは、提供元が守っていると考えがちです。IPAのガイドラインの付録「中小企業のためのクラウドサービス安全利用の手引き」は、利用者がバックアップに責任を持ち、重要な情報を手元にも確保することを求めています。契約で、提供元がどこまでの復元に対応するか、利用者が自分で書き出せるかを確かめておきます。
復旧の手順は、どう決めればよいですか？
IPAのガイドラインの付録「情報セキュリティ関連規程（サンプル）」は、技術的な対策として、バックアップと戻す手順（リストア）を定めることを挙げています。次の内容を、紙でも見られる形にまとめておきます。
① 誰が戻すか：担当者と、不在のときの代わりの人
② 何から戻すか：業務に欠かせない順番（例：会計、受発注、メール）
③ どこから戻すか：どの複製を使うか、保管場所と取り出し方
④ 戻した後に確かめること：データがそろっているか、業務で使えるか
ランサムウェアの被害では、戻す前に感染の原因を取り除くことも必要です。原因が残ったまま戻すと、再び暗号化されるおそれがあります。事故の対応の手順と合わせて決めておきます。
戻せるかを、どう確かめればよいですか？
バックアップは、実際に戻してみるまで使えるかどうか分かりません。 次のように、定期的に確かめます。
① 目安として年に1回など時期を決め、試しに一部のデータを別の場所に戻してみる
② 戻すのにかかった時間を記録し、決めた目標時間と比べる
③ 戻せなかった、時間がかかりすぎた場合は、取り方や手順を直す
④ 担当者が変わったときにも、手順書で戻せるかを確かめる
戻せるかを確かめる流れ
バックアップは、実際に戻してみるまで使えるかどうか分かりません。
AIを使うようになったら、何を加えればよいですか？
社内の資料をAIで探せるようにしている場合は、AIが参照するデータや設定、AIに使わせている指示文（プロンプト）の集まりも、業務の資産になります。どこに保存されているかを一覧に加え、バックアップの対象にするかを決めておきます。
チェックリスト
関連するひな形・ガイド・用語
ひな形
よくあるご質問
Qクラウドサービスに保存しているデータも、バックアップが必要ですか？
A必要になる場合があります。IPAの「中小企業のためのクラウドサービス安全利用の手引き」は、利用者がバックアップに責任を持ち、重要な情報を手元にも確保することを求めています。誤って消した場合や、サービスが使えなくなった場合に備え、契約の内容と復元の方法を確かめておきます。
Q外付けのハードディスクにコピーしていれば十分ですか？
Aつないだままにしていると、ランサムウェアに感染したときに一緒に暗号化されるおそれがあります。IPAは、バックアップを取るときだけパソコンにつなぎ、終わったら外して安全な場所に保管することを示しています。社外に置く複製も用意すると、火災や災害にも備えられます。
Qどのくらいの頻度でバックアップを取ればよいですか？
A失ってもやり直せる範囲から考えます。1日分の入力をやり直せるなら毎日、数時間分でも困るなら更新のたびに取る、という決め方です。データの種類ごとに頻度を分けても構いません。
この記事に出てくる用語
「基盤とセキュリティ」のほかの記事
この柱の解説 →出典
- 独立行政法人情報処理推進機構（IPA）「情報セキュリティ6か条」解説編
- IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版 説明資料
- IPA「『中小企業の情報セキュリティ対策ガイドライン』第4.0版を公開」（2026年3月27日）
- 埼玉県警察本部 サイバー局 サイバー対策課「オフラインバックアップの実施を」（令和7年5月。原題の末尾の感嘆符は省略して表記）
- IPA「情報セキュリティ10大脅威 2026」（プレスリリース、2026年1月29日）
- 中小企業庁「中小企業BCP策定運用指針 第2版」
最終確認日：2026-11-12