社内データのバックアップ方法と費用 — 中小企業の3-2-1ルールと選び方

会社のデータを守るバックアップの基本は、「3-2-1ルール」（データを3つ持ち、2種類の媒体に分け、1つは社外に置く）である。中小企業なら、NASに毎日バックアップし、さらにクラウドかオフラインの外付けHDDへ複製する構成が現実的だ。費用の目安は、社員5名で初期5〜15万円・月額3千〜1万円、社員50名で初期50〜150万円・月額3〜10万円程度である（いずれも目安）。もう一つ大事なのは、「同期」はバックアップではないという点と、年に1〜2回は実際に復元できるか試すことである。

ランサムウェアの被害でも、機器の故障でも、誤削除でも、最後に会社を救うのはバックアップである。それなのに、「OneDriveに入れているから大丈夫」「NASがあるから安心」と考えて、いざという時に戻せない会社は少なくない。この記事では、バックアップが失敗する典型パターン、3-2-1ルール、何を対象にするか、方法ごとの費用比較、会社の規模別の費用例、復元テストの進め方までを、IT担当者がいない会社でも判断できるように整理する。ランサムウェア全体の対策はランサムウェア対策の基本、NAS自体の選び方と費用はNASファイルサーバーの費用にまとめている。

バックアップがあるのに戻せなかった、という事故には共通の型がある。自社に当てはまっていないか、まず確認してほしい。

- 同期をバックアップと勘違いしている: OneDriveやGoogle Driveの同期フォルダは、パソコンで消したファイルをクラウド側でも消す。ランサムウェアで暗号化されたファイルも、そのまま同期される。ごみ箱から戻せる期間は限られ、サービスの標準の復元も万能ではない
- NASにしか置いていない: NASが故障すれば全データを失う。さらにNASは社内ネットワークにつながっているため、ランサムウェアに感染したパソコンから、NAS上のファイルまで一緒に暗号化されることが多い
- 外付けHDDをつなぎっぱなしにしている: 常時接続の外付けHDDは、パソコンと同じ被害を受ける。火災や盗難、水害でも、同じ事務所内に置いたままでは一緒に失われる

共通する弱点は、「元のデータと同じ場所・同じ権限で触れるコピーは、元と同じ運命をたどる」ことである。バックアップは、元のデータとは別の場所、別の権限、できれば別の仕組みで持つ必要がある。

両者は似ているが、目的が逆である。同期は「どの端末でも同じ最新の状態にする」ための仕組みで、バックアップは「過去のある時点の状態に戻す」ための仕組みだ。同期は最新の変更をすぐ全体に反映するため、誤削除や暗号化も瞬時に広がる。バックアップは古い世代を残すから戻せる。

ただし、Microsoft 365やGoogle Workspaceにも、ごみ箱やバージョン履歴といった復旧機能はある。これらは「ある程度の誤操作」には役立つが、長期保存や、アカウントごと侵害された場合には頼れない。この点は、後述のFAQでも触れる。

バックアップ設計の定番は3-2-1ルールである。数字の意味は次のとおり。

- 3: データを3つ持つ（本番データ＋バックアップ2つ）
- 2: 2種類以上の異なる媒体に分ける（例: NASとクラウド）
- 1: 1つは社外・別の場所に置く（火災や盗難、水害に備える）

近年は、ランサムウェア対策を加えた3-2-1-1-0という考え方も使われる。末尾の「1」は、オフライン（ネットワークから切り離した）またはイミュータブル（書き換え・削除ができない）な1つを持つこと。「0」は、復元テストでエラーが0であることを指す。攻撃者は、バックアップも狙って消そうとする。そのため、攻撃者が管理者権限を奪っても消せないコピーが、最後の砦になる。

「全部」と言いたいところだが、費用と手間には限りがある。まず、止まると業務が止まるもの、失うと取り返せないものから洗い出す。

特に見落としやすいのが、設定情報とクラウド上のデータだ。ルーターの設定やソフトのライセンス情報は、機器が壊れて初めて「控えがない」と気づく。メールとクラウドストレージのデータも、「クラウドだから自動で守られている」と考えがちだが、守られているのはサービスが止まらないことであって、利用者の削除や乗っ取りによる消失ではない。

主な方法を比較する。金額はいずれも市場価格に基づく目安で、容量や台数、契約先により大きく変わる。

NASそのものの価格や選び方はNASファイルサーバーの費用、クラウドへの複製やBCP全体の考え方はクラウドバックアップとDRが詳しい。クラウドストレージの料金はオンラインストレージの費用で比較できる。

実際の構成と費用の目安を、社員数別に示す。ファイルの量を、5名で約500GB、20名で約2TB、50名で約5TBと仮定した例である。

一般に、クラウド側の費用は「容量×保存期間」で増える。世代を増やしすぎると費用がかさむので、次の項目で保存期間を決めておくとよい。

専門用語を2つだけ押さえる。RPO（目標復旧時点）は「どこまで古い状態に戻ってもよいか」で、毎日バックアップなら最大1日分のデータを失う。RTO（目標復旧時間）は「どれだけの時間で復旧したいか」だ。この2つを、業務ごとに社内で決める。

世代管理とは、バックアップを上書きせず、複数の時点を残すことだ。たとえば「毎日分を14日、毎週分を8週、毎月分を12か月」といった残し方をする。ランサムウェアは感染に気づくまで数日〜数週間かかる場合があるため、世代が少ないと、気づいた時には全世代が暗号化済みになってしまう。業務上の保存義務がある書類（会計帳簿は原則7年など）は、バックアップではなく、別途の保管ルールで管理する点も区別したい。

バックアップは、戻せて初めて価値がある。実際には、バックアップが何か月も失敗し続けていた、パスワードが分からず開けない、戻すのに想定の3倍の時間がかかった、という話が多い。年2回（半期ごと）を目安に、復元テストを予定に入れる。

- 本番とは別の場所に、特定のフォルダ（10〜20ファイル）を復元して開けるか確認する
- 会計・販売管理は、復元したデータでソフトを起動できるか確認する
- 復元にかかった時間を記録し、RTOと比べる
- 復元に必要なパスワード・暗号鍵・手順書を、紙か別の場所に保管してあるか確認する
- 結果と日付を台帳に残す（失敗した場合は原因と対処も）

ランサムウェアは、ネットワーク内のバックアップを探して消すことがある。バックアップを守るための要点は3つに絞れる。

- オフライン: 外付けHDDやテープを、バックアップ時だけ接続する。取り外して保管すれば、感染しない
- 別アカウント・別権限: バックアップの管理アカウントを、日常業務の管理者と分ける。多要素認証を必ず有効にする。同じパスワードの使い回しは避ける
- 不変（イミュータブル）ストレージ: 保存期間中は、管理者でも消せない設定。クラウドストレージやバックアップ製品に「オブジェクトロック」「ランサムウェア保護」といった名前で備わっている

「NASを社内ネットワークのフォルダとして共有している」状態は、感染したパソコンから書き込めてしまうため危険だ。バックアップ用のNASは、バックアップソフト以外からは見えないようにするのが望ましい。

機器と契約をそろえても、運用で崩れることが多い。典型的なのは次の4つである。第一に、失敗の通知が誰にも届かないケース。バックアップソフトのエラーメールが退職者の宛先に送られ続けていた、という例は珍しくない。通知先は個人ではなく共有アドレスにし、担当者が替わった時の見直しを手順に入れる。第二に、容量が満杯になって止まるケース。データは年々増えるため、使用量が7割を超えたら増設か整理を検討する。第三に、パソコンの入れ替え時の抜け。新しいパソコンを対象に加え忘れ、古い端末だけがバックアップされ続けている。第四に、パスワードの管理者が一人だけというケース。その人が不在、退職すると復元できなくなる。バックアップを実際に動かす人と、手順書の置き場所は、必ず複数人が知っている状態にしておきたい。

運用を外部に任せる場合、相場は構築費が10〜50万円、月額の運用・監視が1〜5万円程度（目安）である。契約前に次の項目を確認する。

- 何をバックアップ対象にするか、書面で一覧になっているか
- 保存期間と世代数、追加時の費用
- 復元の依頼から完了までの時間（RTOの保証の有無）
- 復元テストを定期的に実施し、結果を報告してくれるか
- バックアップデータの保管場所（国内か、事業者のデータセンターか）
- 解約時にデータを返してもらえるか、削除の証明は出るか
- 管理アカウントを自社も保有しているか（業者任せにならないか）
- 障害時の連絡手段と、休日夜間の対応

- 守る対象を、ファイル・DB・メール・設定の4種類に分けて書き出した
- 業務ごとに、どこまで戻れば許されるか（RPO）を決めた
- 3-2-1ルールで、社外の1つが確保できている
- 少なくとも1つは、オフラインまたは不変のコピーがある
- バックアップの管理アカウントを、日常の管理者と分け、多要素認証をかけた
- 世代数と保存期間を決めた
- 自動実行になっており、失敗時に通知が届く
- 復元テストの日程（年2回）を予定に入れた
- 復元手順・パスワード・暗号鍵を紙などで別保管した
- 退職者・機器の入れ替えがあった時に、対象を見直す担当者を決めた