バックアップの基本「3-2-1ルール」とは
近年、ランサムウェア被害が急増しており、中小企業も標的になるケースが増えています。
ランサムウェアに感染すると、社内のデータが暗号化され、業務が完全にストップしてしまうこともあります。
「身代金を払えばデータが戻る」と思われがちですが、実際には支払っても復旧できないケースが多数報告されています。
そこで重要になるのが、日頃からの正しいバックアップです。
本記事では、ランサムウェア対策として世界的に推奨されている「3-2-1ルール」をわかりやすく解説します。
そもそもランサムウェアとは？なぜバックアップが重要なのか
ランサムウェアとは、パソコンやサーバーに侵入してファイルを暗号化し、「元に戻してほしければお金を払え」と脅迫するマルウェア（悪意のあるソフトウェア）のことです。
感染すると、Word・Excel・PDF・画像など、あらゆるファイルが開けなくなります。
さらに最近では、社内ネットワークを通じて他のパソコンやサーバーにも感染が広がる「横展開」の手口が一般的になっています。
つまり、1台が感染しただけで会社全体のデータが使えなくなる可能性があるのです。
バックアップがないとどうなるか
バックアップがない状態でランサムウェアに感染すると、次のような事態に陥ります。
・業務で使うファイルがすべて開けなくなり、仕事がストップする
・顧客データや取引先情報が失われ、信用問題に発展する
・復旧に数週間〜数ヶ月かかり、その間の売上損失が発生する
・最悪の場合、事業継続が困難になることもある
実際に、IPA（情報処理推進機構）の「情報セキュリティ10大脅威」では、ランサムウェアが毎年上位にランクインし続けています。
バックアップは、ランサムウェアに対する「最後の砦」と言えます。
バックアップの基本「3-2-1ルール」とは
3-2-1ルールとは、米国のセキュリティ専門家が提唱し、現在では世界中で推奨されているバックアップの基本方針です。
非常にシンプルなルールで、以下の3つの数字で構成されています。
「3」＝データのコピーを3つ持つ
元データ（本番データ）に加えて、バックアップを2つ用意します。
合計3つのデータを保持することで、1つが壊れても残り2つから復旧できるという考え方です。
「バックアップは1つあれば十分」と思いがちですが、バックアップ自体が破損したり、ランサムウェアに暗号化されるリスクもあるため、2つ以上のバックアップが推奨されています。
「2」＝2種類以上のメディアに保存する
バックアップは、異なる種類の記録媒体（メディア）に保存します。
たとえば、社内のNAS（ネットワーク接続ストレージ）と外付けハードディスクの組み合わせや、社内サーバーとクラウドストレージの組み合わせなどです。
同じ種類のメディアだけに保存していると、同時に障害が発生した場合にすべてのバックアップが失われるリスクがあります。
異なるメディアに分散させることで、リスクを大幅に軽減できます。
「1」＝1つはオフサイト（遠隔地）に保管する
3つのデータのうち、最低1つは社外・遠隔地に保管します。
これは、火災・地震・水害などの災害で、オフィスごとデータが消失するリスクに備えるためです。
クラウドストレージへのバックアップは、このオフサイト保管の要件を手軽に満たす方法として、多くの企業で採用されています。
ランサムウェア対策としてバックアップで気をつけるポイント
3-2-1ルールに加えて、ランサムウェア対策としてバックアップを取る際には、いくつか重要な注意点があります。
バックアップ先がネットワークにつながりっぱなしだと危険
ランサムウェアは、感染したパソコンからネットワーク上のドライブやNASにもアクセスして暗号化を行います。
つまり、常時接続されたバックアップ先も一緒にやられてしまう可能性があるのです。
対策としては、バックアップ完了後にネットワークから切り離す（エアギャップ）方法や、書き換え不可能な「イミュータブル（不変）バックアップ」を利用する方法があります。
バックアップの復元テストを定期的に行う
「バックアップを取っていたのに、いざというときに復元できなかった」というケースは少なくありません。
バックアップデータが破損していたり、復元手順が不明だったりすると、せっかくのバックアップが役に立ちません。
少なくとも半年に1回は、実際にバックアップからデータを復元するテストを実施しましょう。
クラウドバックアップの活用がおすすめ
中小企業にとって、自社で複雑なバックアップ体制を構築・運用するのは負担が大きいものです。
そこでおすすめなのが、クラウドバックアップサービスの活用です。
クラウドバックアップなら、オフサイト保管の要件を自動的に満たせるだけでなく、自動スケジュールバックアップや世代管理機能が備わっているため、運用の手間を大幅に削減できます。
Microsoft 365やGoogle Workspaceのデータも、クラウド上だからといって安全とは限りません。
これらのサービスはデータの保存を保証するものではないため、別途バックアップを取ることが強く推奨されています。
まとめ：3-2-1ルールで「いざというとき」に備えよう
ランサムウェアの脅威は年々増しており、「うちは大丈夫」という考えが最も危険です。
3-2-1ルールを実践すれば、万が一感染しても、バックアップからデータを復旧できる体制を整えられます。
改めてポイントをおさらいすると、以下の通りです。
・3つのデータコピーを持つ（元データ＋バックアップ2つ）
・2種類以上のメディアに保存する
・1つはオフサイト（遠隔地・クラウド）に保管する
加えて、バックアップ先のネットワーク分離や定期的な復元テストも忘れずに行いましょう。
「何から始めればいいかわからない」という方は、まずはクラウドバックアップサービスの導入から検討するのがおすすめです。
当サイトでは、法人向けのセキュリティ製品やバックアップソリューションを比較・ご紹介しています。
お気軽にお問い合わせください。
おすすめのクラウドバックアップサービス3選
ここでは、中小企業でも導入しやすいクラウドバックアップサービスを3つご紹介します。
いずれもMicrosoft 365やGoogle Workspaceに対応しており、3-2-1ルールの「オフサイト保管」を手軽に実現できるサービスです。
① SysCloud｜1ユーザーから始められる手軽さが魅力
SysCloudは、1ユーザーから契約できるのが最大の特長です。
小規模な企業でも気軽にクラウドバックアップを始められます。
AIによるランサムウェア検知機能を搭載しており、異常なファイルの書き換えを自動検知して管理者に通知します。
設定も非常にシンプルで、5分程度でセットアップが完了。リストアもファイル単位・フォルダ単位で柔軟に行えます。
② Veeam Data Cloud for Microsoft 365｜世界シェアNo.1の信頼性
Veeamは世界シェアNo.1のバックアップメーカーが提供するMicrosoft 365専用のフルマネージドサービスです。
2,500万以上のユーザーを保護しており、Fortune 500企業の82%が採用するなど、圧倒的な実績があります。
特筆すべきはイミュータブル（不変性）バックアップ機能で、一度バックアップされたデータは攻撃者を含む誰にも変更・削除できません。
ランサムウェア対策として非常に心強い仕組みです。わずか15分でセットアップが完了し、容量無制限で利用できます。
③ AvePoint Cloud Backup｜容量無制限で安心のコストパフォーマンス
AvePoint Cloud Backupは、容量無制限でデータが増えても追加料金がかからない点が魅力です。
Microsoft 365向けの保持期間3年プランなら年間3,840円／ユーザーと、コストパフォーマンスにも優れています。
AIによるランサムウェア検知機能や、ファイル単位のピンポイント復旧にも対応しており、24時間365日の日本語サポートも利用可能です。
各ユーザーがセルフサービスでリストアできる機能もあり、IT担当者の負担軽減にもつながります。
AvePoint Cloud Backupの詳細はこちら ➡
3サービス比較表
どのサービスが最適かは、利用しているクラウドサービスやユーザー数、求める保護レベルによって異なります。
「どれを選べばいいかわからない」という方は、お気軽にご相談ください。最適なバックアップ構成をご提案いたします。
よくある質問（FAQ）
Q. 3-2-1ルールは中小企業でも実践できますか？
A. はい、実践できます。クラウドバックアップサービスを利用すれば、特別な機器を購入しなくても3-2-1ルールを満たすことが可能です。月額数千円から導入できるサービスもあり、中小企業でも十分に実現できます。
Q. ランサムウェアに感染したら、身代金を払うべきですか？
A. 支払いは推奨されていません。身代金を支払ってもデータが復旧する保証はなく、支払うことで犯罪者グループの活動資金になってしまいます。日頃からバックアップを正しく取っておき、感染時はバックアップからの復旧を第一に考えましょう。
Q. クラウドサービス（Microsoft 365やGoogle Workspace）を使っていれば、バックアップは不要ですか？
A. いいえ、別途バックアップが必要です。Microsoft 365やGoogle Workspaceは、ユーザーの誤操作による削除やランサムウェア被害に対する完全なデータ保護は提供していません。サービス提供側もバックアップの取得を推奨しています。
Q. バックアップはどのくらいの頻度で取るべきですか？
A. 業務の重要度によりますが、一般的には最低でも1日1回の自動バックアップが推奨されます。特に重要なデータについては、リアルタイムまたは数時間ごとのバックアップを検討しましょう。