Microsoft 365・Google Workspaceのバックアップは必要か — 費用と選び方【中小企業向け】

Microsoft 365やGoogle Workspaceのようなクラウドサービスでも、第三者のバックアップは「重要なデータがあるなら入れておくべき」である。 サービス側が守ってくれるのは、サービスそのものが止まらないこと（可用性）までで、利用者の誤削除、退職者アカウントの削除、ランサムウェア（身代金要求型のウイルス）の同期、アカウント乗っ取りで消えたデータを自動的に元へ戻す責任は、原則として利用者側にある。これを「責任共有モデル」と呼ぶ。標準のごみ箱や保持期間で足りる場面も多いが、期限切れ後は戻せない。費用の目安は、他社のSaaSバックアップ（クラウドサービス専用のバックアップ）で1ユーザー月額数百円から千円台、10人で月数千円から1万円台、50人で月数万円程度が一般的である（プランや契約条件により異なる）。本記事では、標準機能でできることと限界、選択肢の比較、バックアップ対象、保持期間の決め方、規模別の費用例、選定チェックリスト、復元テスト、退職者アカウントの扱い、よくある失敗を、IT担当者がいない会社向けに整理する。

社内のデータ全体の守り方は中小企業のバックアップ方法と費用、災害時の復旧計画はクラウドバックアップとDR、プラン選びはMicrosoft 365のプラン見直しにまとめている。本記事は、それらの補足として「クラウドの中のデータ」に絞って扱う。

「クラウドに置いているから安全」という考えは半分だけ正しい。サービスのサーバーが壊れてデータが失われる事故は、大手ではまず起きない。しかし、利用者の操作や攻撃が原因でデータが消える場面は、日常的に起きている。代表的なものを4つ挙げる。

- 誤削除・誤上書き: 共有フォルダを丸ごと削除した、古いファイルで上書き保存した、といった操作ミス。気づくまでに時間が空くと、ごみ箱の保持期間を過ぎてしまう
- 退職者アカウントの削除: 退職者のアカウントを削除すると、そのメールボックスや個人のドライブも一定期間後に消える。引き継ぎ前に消してしまう事故は多い
- ランサムウェアの同期: パソコンで暗号化されたファイルが、同期機能でクラウド側にも反映される。クラウドが無事でも、中身が壊れたデータに置き換わる
- アカウントの乗っ取り: パスワードを盗まれた攻撃者が、メールやファイルを大量に削除したり、外部へ転送したりする。管理者アカウントが乗っ取られると、被害は全社に及ぶ

共通するのは、サービスが正常に動いていても、データは消えるという点である。クラウドサービスは「動き続けること」を保証するもので、「利用者が消したものを戻すこと」を保証するものではない。

責任共有モデルとは、クラウドの安全をサービス提供者と利用者で分け合う考え方である。提供者は、データセンター、サーバー、ソフトウェアの稼働を守る。利用者は、誰にどの権限を与えるか、どのデータを残すか、消えたときにどう戻すかを決める。たとえるなら、賃貸ビルの管理会社は建物と設備を守るが、部屋の中の書類を誰かが捨てたときの責任までは負わない、という関係に近い。Microsoft、Googleとも、公式の利用規約や案内で利用者側のデータ管理の責任を説明している。契約している具体的な条件は、必ず自社のプランの案内で確認してほしい。

まず、追加費用なしで使える標準機能を把握しておく。ここでの日数は広く知られている目安であり、プランや管理者の設定、時期により異なる場合がある。

- OneDrive・SharePointのごみ箱: 削除したファイルは、ごみ箱に入り、全体で約93日間は戻せるとされる。ただし、ごみ箱を空にした場合や、管理者が削除した場合は扱いが変わる
- Exchange（メール）の削除済みアイテム: 削除したメールは、一定期間は回復できる。既定の期間は短めで、管理者が延長できる場合がある
- Google ドライブのごみ箱・Gmailのごみ箱: 一般に30日程度で自動的に完全削除される
- バージョン履歴: ファイルの過去の版に戻せる。ただし保存される版の数や期間には上限があり、「フォルダごと」「全員分まとめて」戻すには向かない
- Microsoft Purviewの保持ポリシー、Google Vault: 法令対応や監査のために、データを一定期間残す機能。プランにより使えるものが異なる

ここで誤解しやすいのは、保持ポリシーやGoogle Vaultは「証拠として残す」ための機能であり、「業務を素早く復旧する」ための機能ではないという点である。残っていても、特定の時点に全体を戻す操作は難しく、検索して取り出すだけでも手間がかかる。コンプライアンス（法令順守）の機能とバックアップは、目的が違うと理解しておくとよい。

標準機能の限界は3つある。1つ目は期限である。30日や93日を過ぎると、原則として戻せない。2つ目は範囲である。1ファイルは戻せても、数千ファイルを「昨日の朝の状態」に戻すのは難しい。3つ目は、攻撃者が管理者権限を持った場合である。ごみ箱ごと消されると、標準機能では守りきれない。

Microsoft自身も、Microsoft 365 Backupという有料のバックアップ機能を提供している。SharePoint、OneDrive、Exchangeを対象に、特定の時点へ素早く戻すことを狙った仕組みで、課金は保護するデータ量に応じた容量課金である。単価や対象範囲は変更されることがあるため、最新の価格は必ずMicrosoftの公式情報で確認してほしい。Microsoft 365中心の会社では、同じ管理画面で完結する点が利点である。一方、Google Workspaceなど他社サービスには使えない。また、ユーザー数ではなくデータ量で費用が決まるため、ファイルを大量に抱える会社は、費用が想定を超えないかを事前に見積もる必要がある。

SaaSバックアップとは、Microsoft 365やGoogle Workspaceのデータを、サービスの外にある別の保管場所へ定期的にコピーする専用サービスである。「クラウドの中身を守るクラウド」だと考えるとわかりやすい。提供形態は大きく3つに分かれる。

- ユーザー課金型の専用サービス: 1ユーザーあたり月額で課金する。自動でコピーを取り、管理画面から復元できる。中小企業ではもっとも手が届きやすい
- 容量課金型・企業向けバックアップ製品: 保存するデータ量で課金する。大量のデータや他のシステムも一括で守りたい場合に向く。設定に専門知識が必要なことが多い
- 販売店・保守会社が提供する運用込みのサービス: 設定、監視、復元作業まで任せられる。月額は高くなるが、社内に詳しい人がいなくても運用できる

一般的な目安として、ユーザー課金型は1ユーザー月額で数百円から千円台に収まることが多い。ただし、メール、ドライブ、チャットなど対象を増やすと単価が上がる料金体系もあり、為替や改定の影響も受けるため、必ず見積もりで確認してほしい。

すべてを守ろうとすると費用が膨らむため、まず対象を整理する。次の5つを基本に、失ったときの影響が大きい順に優先する。

- メール: 取引先とのやりとりは契約や支払いの証拠になる。もっとも失うと困る人が多い
- OneDrive・Googleドライブ（個人のファイル）: 社員一人ひとりの作業データ。退職者分の扱いも含めて考える
- SharePoint・共有ドライブ（部署の共有ファイル）: 会社の業務ファイルの中心。優先度は高い
- Teams・チャット: 会話の履歴。業務判断の経緯が残るが、バックアップ対象外のサービスもある。製品ごとの対応状況を確認する
- カレンダー・連絡先: 軽いデータだが、失うと予定や取引先情報がわからなくなる

なお、Teamsのチャットやファイルは、裏側でメールボックスやSharePointに保存される仕組みになっている。そのため、製品によってはメールやSharePointのバックアップに含まれて保護される場合と、含まれない場合がある。「チャットも戻せる」と書いてあっても、どこまで戻せるのかを必ず確認する。

バックアップ選びでは、2つの時間を決めておくと迷わない。RPO（復旧時点目標）は、「どれくらい前の状態まで戻れれば許せるか」である。1日前の状態でよいなら、1日1回のバックアップで足りる。RTO（復旧時間目標）は、「止まってから何時間で使えるようにしたいか」である。メールが半日止まっても耐えられるのか、1時間も止められないのかを、社内で話し合っておく。

保持期間（過去の何日分・何か月分の版を残すか）は、気づくまでの遅さで決める。誤削除は数日以内に気づくことが多いが、退職者のデータや、静かに進む改ざんは数か月後に発覚することがある。中小企業では、30日から1年の範囲で考える会社が多い。長くするほど保存容量と費用が増えるため、メールは長め、一時的な作業ファイルは短め、と分けられる製品が便利である。法令や取引先との契約で保存期間が決まっているデータは、その期間を下限にする。

ここまでの内容を、5つの選択肢で比べる。費用は一般的な目安であり、実際の金額は契約により異なる。

手動エクスポートは、年に1回、重要なデータだけを社内のNASなどに取り出す使い方なら補助にはなる。しかし、これを主力にすると、担当者が忙しくなった時点で止まり、気づいたときには何か月分も抜けていることが多い。主力は、自動で動く仕組みにするのが基本である。

ここでは、他社のSaaSバックアップを1ユーザー月額数百円から千円台で導入した場合のおおよその目安を示す（税別・初期設定費は別。実際の金額は製品と契約により異なる）。

退職者や共有メールボックスなど、ライセンスを持たない対象にも課金される製品がある。見積もりでは、ユーザー数だけでなく、課金対象の数え方を必ず確認する。ライセンス全体の見直しと合わせて進めると、浮いた費用でバックアップを賄える場合もある。

製品を比べるときは、価格だけでなく次の点を確認する。

- 自社が使っているサービス（Microsoft 365、Google Workspace、両方）に対応しているか
- メール、ドライブ、共有ファイル、チャット、カレンダーのうち、どこまで対象か
- 1日に何回バックアップされるか（RPOを満たせるか）
- 戻せる単位は何か（ファイル単位、フォルダ単位、メールボックス単位、全体）
- 別の人のアカウントや、削除済みのアカウントのデータも復元できるか
- 保管場所のリージョン（国や地域）と暗号化の方式は、自社の規程や取引先の要求に合うか
- 管理者の認証に多要素認証を使えるか。バックアップ側が乗っ取られると意味がなくなる
- 解約したあと、データを取り出せるか
- 日本語のサポートがあるか。復元で困ったときに頼れるか

バックアップは、戻せて初めて意味がある。契約して安心し、一度も戻したことがない会社は多い。導入直後と、その後は年1〜2回、次の手順で復元テストを行う。

- テスト用のフォルダとメールを用意し、わざと削除する
- バックアップ製品から、削除前の状態へ戻す
- 戻るまでの所要時間と、必要な操作を記録する
- 元の場所に戻せるか、別の場所に戻すかを確認する
- 手順書を作り、担当者以外も読めるようにする

テストの目的は、成功を確認することだけではない。「手順が難しすぎる」「権限が足りなくて戻せない」といった弱点を、事故の前に見つけることにある。本番の復元は焦りの中で行うため、手順書があるかどうかで結果が大きく変わる。

退職者のアカウントは、削除した瞬間にメールやファイルが消えるわけではないが、一定期間後に完全に失われる。削除の前に、次の対応をしておく。詳しい流れは退職者のIT後始末チェックリストにまとめている。

- 業務に必要なメールとファイルを、後任者や共有の場所へ移す
- ライセンスを外すだけで残すか、アカウントごと削除するかを決める。ライセンスを外すとデータが失われる設定の場合もあるため、事前に管理画面の説明を確認する
- 取引先からの問い合わせが来続けるメールアドレスは、転送や共有メールボックスへの切り替えを検討する
- バックアップ製品の側で、削除後も一定期間データを残す設定になっているか確認する

退職者のデータを長期間残しておく場合は、ライセンスを持たせたまま放置するより、バックアップ製品で保管して、アカウントは整理するほうが費用を抑えられることが多い。ただし、個人情報を含むデータは、保存期間と閲覧できる人を決めておく。

- 同期をバックアップと同一視する: 同期は消去も一緒に広がる。別のコピーを持たなければ、バックアップではない
- 契約したが、対象を設定していない: 導入後に新しく作ったSharePointサイトや、新入社員が自動で対象に入らない設定になっていることがある。定期的に対象を見直す
- 復元テストをしない: いざ戻そうとして、権限不足や手順不明で時間を失う
- 管理者が1人しかいない: その人のアカウントが乗っ取られたり、退職したりすると、誰も触れなくなる
- バックアップ側の認証が弱い: バックアップ製品の管理画面が、パスワードだけで守られていると、攻撃者に先に消される
- 容量や保持期間を後から増やして費用が膨らむ: 最初に保持期間とデータ量の見通しを立てる

- 自社のMicrosoft 365・Google Workspaceの契約プランと、標準の保持期間を確認した
- 守る対象（メール、ドライブ、共有、チャット、カレンダー）に優先順位を付けた
- RPOとRTO、保持期間を社内で決めた
- 標準機能のみ、Microsoft 365 Backup、他社サービスの3案を見積もりで比較した
- バックアップ製品の管理者に多要素認証を設定した
- 管理者を2人以上にした
- 導入直後に復元テストを行い、手順書を作った
- 退職者の手続きにバックアップ確認を入れた
- 年1〜2回、復元テストと対象の見直しを行う日を決めた