中小企業のバックアップ戦略 完全ガイド
3-2-1ルールからバックアップ対象の洗い出し、方式選定、ツール比較、スケジュール設計、テスト・リストア手順、クラウドバックアップまで、中小企業のバックアップ戦略を体系的に解説します。
目次
1. バックアップの基本原則
バックアップは、IT運用の中で最も重要な業務の一つです。サーバー障害、ランサムウェア攻撃、人為的なミスなど、データ損失のリスクは常に存在します。適切なバックアップ戦略がなければ、企業は一瞬にしてすべてのデータを失う可能性があります。
3-2-1ルール
バックアップの世界で最も広く知られている基本ルールが「3-2-1ルール」です。
- 3：データのコピーを最低3つ保持する（原本1つ＋バックアップ2つ）
- 2：2種類以上の異なるメディアに保存する（例：ローカルディスク＋クラウド、NAS＋テープ）
- 1：1つは遠隔地（オフサイト）に保管する（同じ建物内に全てのバックアップを置かない）
ポイント：3-2-1ルールの「1（オフサイト保管）」は、ランサムウェア対策として非常に重要です。ランサムウェアはネットワーク上のすべてのドライブを暗号化するため、NASやネットワーク接続されたバックアップストレージも被害に遭います。クラウドストレージやオフラインメディア（USB HDD、テープ）による遠隔バックアップが最後の防衛線になります。最近では「3-2-1-1-0ルール」として、1つはオフライン（エアギャップ）、0はリストアテストのエラーゼロを目指す考え方も広まっています。
RPO/RTOの設定
バックアップ戦略を設計する前に、「どこまで復旧すべきか」を明確にする2つの指標を理解しましょう。
| 指標 | 意味 | 具体例 | 影響するもの |
|---|---|---|---|
| RPO（Recovery Point Objective） | 復旧時点目標：どの時点のデータまで復旧できればよいか | RPO=4時間 → 最大4時間分のデータ損失を許容 | バックアップ頻度 |
| RTO（Recovery Time Objective） | 復旧時間目標：障害発生からどのくらいで復旧すべきか | RTO=2時間 → 障害発生から2時間以内に復旧 | バックアップ方式、リストア手順 |
📋 具体例
RPO/RTO設定の実例：社員40名の卸売業E社では、業務システム別にRPO/RTOを設定しました。基幹システム（受注・在庫）：RPO=1時間/RTO=2時間（データベースの差分バックアップを1時間ごと）。ファイルサーバー：RPO=24時間/RTO=4時間（日次バックアップ）。メールサーバー：RPO=24時間/RTO=8時間（日次バックアップ、最悪はWebメールで代替）。社内Wiki：RPO=1週間/RTO=1日（週次バックアップ）。このように、業務への影響度に応じてRPO/RTOを差別化し、リソースを効率的に配分します。
⚠️ 注意
RPO/RTOの設定は情シスだけで決めてはいけません。各部門の責任者と経営層を巻き込み、「業務が止まった場合のビジネスインパクト」を基に決定してください。情シスが技術的な観点だけで設定すると、経営側の期待とかけ離れた結果になることがあります。
2. バックアップ対象の洗い出し
バックアップ対象を漏れなく洗い出すことは、バックアップ戦略の基盤です。「何をバックアップしているか」よりも「何をバックアップしていないか」が問題になります。
サーバー
| 対象 | バックアップ内容 | 優先度 | 備考 |
|---|---|---|---|
| ドメインコントローラー | System State（AD DB含む） | 最高 | AD復旧不可＝全社業務停止 |
| ファイルサーバー | 共有フォルダ全体 | 最高 | ユーザーデータの中核 |
| データベースサーバー | データベースファイル＋トランザクションログ | 最高 | 整合性を保つためのダンプ取得も検討 |
| メールサーバー | メールストア＋設定 | 高 | M365移行済みなら不要 |
| Webサーバー | コンテンツ＋設定ファイル＋DB | 中 | 再構築可能なら設定＋DBのみでも可 |
| 監視サーバー | 設定＋履歴データ | 中 | 再構築可能だが、履歴データは貴重 |
PC（クライアント端末）
- ローカルに保存された業務データ：OneDriveやファイルサーバーに保存するルールを徹底し、PCのローカルバックアップは原則不要にするのが理想
- Outlook PST/OSTファイル：ローカルにメールデータがある場合は要注意。Exchange Online移行で解消
- ブラウザのブックマーク・パスワード：ブラウザの同期機能で自動バックアップ
- 特殊アプリケーションのデータ：会計ソフト、CADなど、ローカルにデータを保存するアプリケーションは個別対応が必要
ポイント：PCのバックアップで最も効果的なアプローチは「PCにデータを持たせない」ことです。OneDriveの「既知のフォルダー移動」機能を使えば、デスクトップ・ドキュメント・ピクチャの各フォルダが自動的にクラウドに同期されます。PCが故障しても、新しいPCにOneDriveをセットアップするだけでデータが復元されます。
クラウドデータ
| サービス | バックアップの必要性 | 理由 | 対策 |
|---|---|---|---|
| Microsoft 365 | 必要 | ユーザーの誤削除、退職者データの保持 | 保持ポリシー＋サードパーティバックアップ |
| Google Workspace | 必要 | 同上 | Google Vaultまたはサードパーティ |
| SaaS（kintone等） | 検討必要 | サービス終了リスク、データエクスポート | 定期的なデータエクスポート |
| AWS/Azure（IaaS） | 必要 | ユーザー責任の範囲 | スナップショット＋別リージョンへの複製 |
設定情報
見落とされがちですが、機器やサービスの設定情報も重要なバックアップ対象です。
- ネットワーク機器の設定：ルーター、スイッチ、UTMの設定ファイル
- サーバーの構築手順書：手順書があれば、サーバーをゼロから再構築可能
- クラウドサービスの設定：M365のポリシー設定、条件付きアクセス、DLP設定など
- アカウント情報：管理者アカウント、サービスアカウントの一覧（パスワードマネージャーで管理）
- ライセンスキー：ソフトウェアのライセンスキー一覧
⚠️ 注意
「設定情報」のバックアップを怠ると、障害復旧時に「サーバーは復元できたが、ネットワークの設定がわからない」という事態に陥ります。特にルーターやファイアウォールの設定は複雑で、設定バックアップなしに再現するのは困難です。設定変更のたびにバックアップを取得し、変更内容を記録する習慣をつけてください。
3. バックアップ方式の選定
バックアップ方式は、データ量、RTO/RPO、ストレージ容量のバランスで選定します。
フル/差分/増分バックアップ
| 方式 | バックアップ内容 | バックアップ時間 | リストア時間 | 必要容量 |
|---|---|---|---|---|
| フルバックアップ | 全データを毎回コピー | 最も長い | 最も短い | 最も多い |
| 差分バックアップ | 前回のフルバックアップ以降の変更分 | 中程度（日々増加） | フル＋最新の差分 | 中程度 |
| 増分バックアップ | 前回のバックアップ以降の変更分 | 最も短い | フル＋全増分（最も長い） | 最も少ない |
ポイント：中小企業の一般的なファイルサーバー（～1TB）であれば、「週1回フル＋日次増分」の組み合わせが最も効率的です。バックアップ時間を短くしつつ、適度なリストア速度を確保できます。データ量が少ない（～100GB）場合は、毎日フルバックアップでも問題ありません。シンプルな方がリストア時に慌てずに済みます。
イメージバックアップ vs ファイルバックアップ
| 方式 | 概要 | メリット | デメリット | 推奨用途 |
|---|---|---|---|---|
| イメージバックアップ | ディスク全体をイメージとしてコピー | OS含む完全復旧が可能。ベアメタルリストア対応 | 容量が大きい。異なるハードウェアへの復旧に注意 | サーバー全体のバックアップ |
| ファイルバックアップ | 指定したファイル/フォルダをコピー | 容量が小さい。特定ファイルの復旧が容易 | OS復旧には使えない | 共有フォルダ、データベースダンプ |
📋 具体例
バックアップ方式の組み合わせ例：ドメインコントローラー → イメージバックアップ（週次フル＋日次差分）。ファイルサーバー → ファイルバックアップ（日次増分）＋イメージバックアップ（月次フル）。データベースサーバー → データベースダンプ（毎時）＋イメージバックアップ（週次フル）。このように、サーバーの役割に応じてバックアップ方式を使い分けるのが理想的です。
4. バックアップツール比較
中小企業で利用可能なバックアップツールを比較します。予算と要件に合ったツールを選択しましょう。
| ツール | 種別 | 対応OS | 特徴 | 費用 | 推奨場面 |
|---|---|---|---|---|---|
| Windows Server Backup | OS標準 | Windows Server | 無料。基本的な機能。BMR対応 | 無料 | 予算がない場合の最低限の対策 |
| Veeam Backup & Replication Community | 無料版 | Windows/Linux/VM | 10ワークロードまで無料。高機能 | 無料（10 WLまで） | 仮想化環境のバックアップ |
| Veeam Backup & Replication | 商用 | Windows/Linux/VM | 業界標準。レプリケーション、CDPなど豊富な機能 | 年額制（要見積） | 本格的なバックアップ基盤 |
| Acronis Cyber Protect | 商用 | Windows/Linux/Mac | バックアップ＋セキュリティの統合製品 | 年額制（1台数千円～） | 中小企業のオールインワン |
| AOMEI Backupper | 商用 | Windows | 日本語対応。操作が簡単。コスパ良好 | 買い切り 約5,000円～ | 小規模でシンプルに使いたい場合 |
| rsync / rclone | OSS | Linux | スクリプトベース。柔軟な設定 | 無料 | Linux環境のファイルバックアップ |
ポイント：予算が限られているひとり情シスには「Veeam Community Edition」が最適な選択肢です。10ワークロード（仮想マシンまたは物理サーバー）まで無料で、商用版と同等の機能が使えます。中小企業のサーバー数であれば十分にカバーでき、将来の拡張時にもスムーズに商用版へ移行できます。Windows Server Backupは無料ですが、柔軟性に欠けるため、あくまで最低限の選択肢と考えてください。
⚠️ 注意
バックアップツールの選定で見落とされがちなのが「リストアの容易さ」です。バックアップは取れているのに、いざリストアしようとしたら手順が複雑でエラーが出る、というケースは珍しくありません。ツール選定時は、必ずリストアのテストまで行い、自分が確実に復旧操作を行えることを確認してください。
5. バックアップスケジュール設計
バックアップスケジュールは、RPO/RTOの要件とバックアップウィンドウ（バックアップに使える時間帯）を考慮して設計します。
実践テンプレート
社員30～50名の中小企業を想定した、実用的なバックアップスケジュールを示します。
| 対象 | 方式 | スケジュール | 保持期間 | 保管先 |
|---|---|---|---|---|
| ドメインコントローラー | System State | 毎日 2:00 | 30日間 | NAS ＋ クラウド |
| ファイルサーバー（フル） | イメージ | 毎週日曜 0:00 | 4世代（4週間） | NAS |
| ファイルサーバー（増分） | ファイル増分 | 毎日 22:00 | 14日間 | NAS |
| データベース（フル） | DBダンプ | 毎日 1:00 | 14日間 | NAS ＋ クラウド |
| データベース（差分） | トランザクションログ | 毎時 :00 | 7日間 | ローカルディスク |
| ネットワーク機器設定 | 設定エクスポート | 毎週月曜 6:00 | 12世代（12週間） | NAS ＋ クラウド |
| M365データ | サードパーティバックアップ | 毎日（自動） | 1年間 | クラウド |
| オフサイトコピー | NASデータの複製 | 毎日 4:00 | 同上 | クラウドストレージ |
📋 具体例
バックアップジョブの時間配分（バックアップウィンドウ設計）：22:00-22:30 ファイルサーバー増分バックアップ。0:00-3:00 ファイルサーバー週次フルバックアップ（日曜のみ）。1:00-1:30 データベースフルダンプ。2:00-2:30 ドメインコントローラー System State。4:00-6:00 NAS → クラウドへのオフサイトコピー。バックアップジョブが重複しないよう、開始時間をずらして配置します。業務への影響を避けるため、すべてのジョブを業務時間外（22:00-6:00）に設定しています。
保持期間の設計
保持期間（リテンション）は、ストレージ容量と復旧要件のバランスで決定します。
- GFS方式（Grandfather-Father-Son）：日次（Son）を14日間、週次（Father）を8週間、月次（Grandfather）を12ヶ月間保持する階層型の保持方式
- メリット：古いデータの復旧も可能。ランサムウェアの潜伏期間にも対応
- ストレージ見積もり：データ量 × (日次14 + 週次8 + 月次12)の概算から、重複排除・圧縮で40～60%程度に削減
⚠️ 注意
ランサムウェアの中には、感染後すぐに暗号化を開始せず、数週間～数ヶ月潜伏してから発症するものがあります。日次バックアップを14日間しか保持していない場合、潜伏期間が14日を超えるとすべてのバックアップが暗号化されたデータになっている可能性があります。月次バックアップを12ヶ月以上保持することで、このリスクに対応できます。
6. テスト・リストア手順
バックアップは「取得すること」ではなく「復旧できること」が目的です。定期的なリストアテストなしに、バックアップの信頼性は担保できません。
定期テストの重要性
バックアップのリストアテストを実施していない企業は驚くほど多いです。「バックアップは取っています」と言いながら、実際にはリストアできない状態であった、という事例は枚挙にいとまがありません。
リストアテストで発見される典型的な問題：
- バックアップジョブがエラーで停止していた（通知を見逃していた）
- バックアップメディアが劣化・破損していた
- リストア手順が古く、現在の環境では動かない
- リストアに予想以上の時間がかかる（RTOを満たせない）
- パスワードやライセンスキーが不明で復旧後にログインできない
ポイント：リストアテストは最低でも四半期に1回、できれば月1回は実施してください。テストの範囲は毎回変える必要はなく、「ファイルサーバーから特定のフォルダを復元する」「仮想マシンを別の場所にリストアする」といった部分的なテストでも十分に価値があります。重要なのは「リストア操作を定期的に実践すること」で、手順の習熟と問題の早期発見につながります。
リストアテスト手順書テンプレート
| 項目 | 内容 |
|---|---|
| テスト名 | ファイルサーバー リストアテスト |
| テスト日 | 20XX年XX月XX日 |
| 対象バックアップ | 20XX年XX月XX日取得のフルバックアップ |
| リストア先 | テスト用サーバー / テスト用フォルダ |
| テスト内容 | 1) バックアップからの復元 2) ファイルの整合性確認 3) アクセス権の確認 |
| 成功基準 | 指定フォルダが正常に復元され、ファイルが開ける |
| 所要時間（目標） | 2時間以内（RTOの範囲内） |
| 所要時間（実績） | XX時間XX分 |
| 結果 | 成功 / 失敗（詳細を記録） |
| 発見された問題 | （問題があれば記録） |
| 改善アクション | （必要な改善策を記録） |
ベアメタルリストア（BMR）テスト
サーバーのハードウェアが完全に故障した場合に備え、ベアメタルリストア（新しいハードウェアへのOSごとの復元）のテストも年に1回は実施しましょう。
📋 具体例
BMRテストの実施例：Veeamで取得したファイルサーバーのイメージバックアップを使い、Hyper-V上の仮想マシンにリストアします。手順：1) Veeamのリカバリメディア（USB）で仮想マシンをブート。2) バックアップストレージ（NAS）を指定。3) 最新のリストアポイントを選択。4) リストアを実行（約45分で100GBのサーバーを復元）。5) 復元されたサーバーが正常に起動し、ファイル共有にアクセスできることを確認。このテストにより、実際の障害時に慌てずに対応できる自信と手順を得られます。
7. クラウドバックアップ
クラウドバックアップは、3-2-1ルールの「オフサイト保管」を実現する最も手軽な方法です。また、クラウドサービス（M365など）のデータバックアップも重要なテーマです。
M365のバックアップ
M365のデータはマイクロソフトが冗長化していますが、これは「インフラとしての保護」であり、「ユーザーデータの保護」ではありません。以下のリスクにはユーザー自身が対処する必要があります。
- ユーザーの誤削除：ゴミ箱の保持期間（93日）を超えると復旧不可
- 退職者のデータ：ライセンス削除から30日後にデータ削除
- ランサムウェア：OneDriveの同期により暗号化ファイルがクラウドにも反映される可能性
- 悪意のある内部者：退職前にデータを大量削除するケース
| M365バックアップツール | 対象 | 費用 | 特徴 |
|---|---|---|---|
| Veeam Backup for M365 | Exchange/SharePoint/OneDrive/Teams | 月額約300円/ユーザー | 業界標準。自社サーバーまたはクラウドに保管 |
| AvePoint Cloud Backup | Exchange/SharePoint/OneDrive/Teams | 月額約350円/ユーザー | SaaS型で管理が楽 |
| Acronis Cyber Protect Cloud | M365全般 | 月額約400円/ユーザー | セキュリティ機能統合 |
| Microsoft 365 Backup（プレビュー） | Exchange/SharePoint/OneDrive | 従量課金 | マイクロソフト公式。高速復旧 |
ポイント：M365のバックアップは、全企業が導入すべき必須の対策です。「クラウドだからバックアップは不要」は大きな誤解です。特に退職者のデータ保持と、ランサムウェアからの復旧手段として、サードパーティバックアップの導入を強くお勧めします。50ユーザーでVeeam Backup for M365を利用した場合、月額約15,000円で全データを保護できます。
オンプレミスデータのクラウドバックアップ
社内サーバーのバックアップをクラウドに保管することで、オフサイトバックアップを実現できます。
| サービス | 特徴 | 費用目安（1TB/月） | 適用場面 |
|---|---|---|---|
| AWS S3 （Glacier） | 最も安価なアーカイブストレージ。取り出しに時間がかかる | 約500円（Glacier Deep Archive） | 長期アーカイブ |
| AWS S3 （Standard） | 即座にアクセス可能。高い信頼性 | 約3,000円 | 迅速な復旧が必要なデータ |
| Azure Blob Storage | Hot/Cool/Archiveの階層型。M365環境との親和性 | 約2,500円（Cool） | M365利用企業 |
| Wasabi | S3互換。固定料金で安価。転送料無料 | 約900円 | コストパフォーマンス重視 |
| Backblaze B2 | S3互換。シンプルな料金体系 | 約750円 | 小規模なクラウドバックアップ |
📋 具体例
クラウドバックアップの構成例：Veeam Backup & Replication Communityで社内サーバー5台をNASにバックアップ（プライマリ）。Veeamのバックアップコピージョブで、NASのバックアップデータをWasabiに毎日転送（セカンダリ＝オフサイト）。コスト：Veeam Community（無料）＋ NAS 4TB（約5万円）＋ Wasabi 1TB（月額900円）。年間のランニングコストはわずか約11,000円でオフサイトバックアップを実現できます。
⚠️ 注意
クラウドストレージへのバックアップでは、転送帯域と転送費用に注意してください。初回のフルバックアップ（数百GB～TB）をインターネット経由でアップロードするのには長時間かかります。AWS Snowball等の物理デバイスによる初期転送も選択肢です。また、AWS S3の「データ転送（アウト）」には従量課金が発生するため、リストア時のコストも事前に見積もっておきましょう。Wasabiは転送料無料のため、この点で優位性があります。
バックアップは「保険」と同じです。使わないに越したことはありませんが、いざという時に必ず必要になります。「バックアップを取っていたから助かった」という場面は、ひとり情シスのキャリアの中で必ず訪れます。今日からでも、自社のバックアップ体制を見直してください。