データバックアップの方法とサービスの選び方｜ランサムウェアに備える保管の仕方、復元の確認、比較のポイント
ランサムウェアの被害では、バックアップまで暗号化されて復旧できない事例も報告されています。外付けの機器、NAS、クラウドのバックアップサービスの違い、守るべきデータの洗い出し、保管の仕方と復元の確認、サービスを比べるポイントを、IPAと警察庁の資料に沿って特定の事業者に寄らずに整理します。
- 対象読者
- 共有フォルダや会計・給与のデータのバックアップを、総務が兼任で管理している従業員30〜300名の企業の担当者
- 難易度
- 基本
- 所要時間
- 読了8分
- 最終確認日
この記事のポイント
- 警察庁は、バックアップをこまめに取り、ネットワークから切り離して保管するなど、暗号化されないように備えることを勧めている。IPAのガイドライン第4.0版も「バックアップを取ろう！」を加えた
- まず、止まると困るデータ（会計・給与・人事・契約・共有フォルダ）と、どこまで戻れればよいかを決める。方法は外付けの機器、NAS、クラウドのバックアップを組み合わせて考える
- 比べるのは、世代の管理、ネットワークからの切り離し・削除の防止、復元の手順と時間、管理者の権限、保存場所と個人データの扱い。定期的に実際に戻してみる
共有フォルダのファイルが一斉に開けなくなる。会計ソフトのデータが壊れる。パソコンが故障して、作りかけの資料が消える。こうしたときに業務を戻せるかどうかは、バックアップの取り方で決まります。
IPAの「情報セキュリティ10大脅威 2026」の組織編では、ランサム攻撃による被害が1位です。この記事では、特定の事業者に寄らず、バックアップの方法の違い、保管の仕方と復元の確認、サービスを比べるポイントを整理します。料金はデータの量と保存期間で大きく変わるため、自社の条件を示して見積もりを取ることを前提にしています。
国の資料が示していること
警察庁は、ランサムウェアの被害でバックアップのデータまで暗号化される事例が多数確認されているとして、バックアップをなるべくこまめに取り、ネットワークから切り離してオフラインで保存するなど、データの重要性に応じて暗号化されないよう備えることを勧めています。あわせて、日ごろの運用の課題でバックアップから復旧できない事例もあるとして、復旧の手順を訓練で確かめておくことを勧めています。
IPAは2026年3月に「中小企業の情報セキュリティ対策ガイドライン」第4.0版を公開し、従来の「情報セキュリティ5か条」に「バックアップを取ろう！」を加えました。社内の基本的な対策は情報セキュリティの最低限チェックにまとめています。
まず守るデータと戻したい範囲を決める
| データ | 置き場所の例 | 止まったときの影響 |
|---|---|---|
| 会計・給与・人事のデータ | 会計・給与ソフト、クラウドサービス | 支払い、給与の支給、手続きが止まる |
| 契約書・規程 | 共有フォルダ、文書管理システム | 取引先への対応や確認ができない |
| 共有フォルダの業務ファイル | ファイルサーバー、NAS | 日々の業務が止まる |
| メール | メールサーバー、クラウドのメール | 取引の経緯が追えない |
データごとに、次の2点を決めておくと、方法を選びやすくなります。
- どの時点まで戻れればよいか：前日の夜の状態でよいか、数時間前まで必要か
- どのくらいの時間で戻したいか：その日のうちか、数日かかってもよいか
クラウドの業務サービスに置いているデータは、サービス側で保管されていても、誤って削除したデータを戻せる期間や方法はサービスごとに違います。契約しているサービスの説明を確認します。
バックアップの方法の違い
| 方法 | 特徴 | 注意点 |
|---|---|---|
| 外付けの機器（HDD・SSDなど） | 手軽に始められる。取るときだけつなげば、ネットワークから切り離して保管できる | 取り忘れ、機器の故障、保管場所の災害 |
| NAS（ネットワークにつなぐ記憶装置） | 複数のパソコンから自動で取れる | つながったままだと一緒に暗号化されるおそれ。設定と更新が必要 |
| クラウドのバックアップサービス | 社外に保管でき、災害に強い。世代を残す機能があるものが多い | 通信量と復元にかかる時間。管理者アカウントの保護 |
1つの方法に頼らず、社内と社外、つながっているものと切り離したものを組み合わせると、1つが使えなくなっても戻せます。停電やシステム障害を含めた備えは停電・システム障害のBCPも参考にしてください。
サービスを比べるポイント
| 観点 | 確認すること |
|---|---|
| 対象 | パソコン、サーバー、NAS、クラウドの業務サービスのどれを取れるか |
| 世代の管理 | 何日分・何世代残せるか。暗号化に気づく前の状態に戻れるか |
| 削除・改ざんの防止 | 一定期間は削除や上書きができない設定があるか |
| 復元 | ファイル単位・全体の復元の手順、かかる時間の目安、手伝ってもらえる範囲 |
| 管理者の権限 | 管理者アカウントの多要素認証、操作の記録 |
| 保存場所 | データを保管する国・地域、暗号化の有無 |
| 契約終了時 | データの返却・削除の方法と証明 |
| 運用の負担 | 失敗したときの通知、自社でやる作業の量 |
バックアップの中には、従業員や顧客の個人データが含まれます。外部のサービスに保管させる場合は、個人情報保護法の安全管理措置と委託先の監督の観点から、契約の内容と保管の方法を確認します。
運用で決めること
- バックアップを取る頻度と、担当者・代わりの担当者
- 外付けの機器の保管場所と、つなぐときの手順（取り終えたら外す）
- 成功・失敗の確認の方法（通知の受け取り先）
- 定期的に実際に戻してみること。戻せることを確かめて初めて、バックアップは役に立つ
- 機器を廃棄するときのデータの消去（→返却・廃棄するPCのデータ消去）
機器や契約の一覧は、IT資産の台帳で管理すると漏れを防げます（→IT資産管理）。運用まで外部に任せたい場合は社内ITサポートの外部委託の選び方も参考にしてください。
導入の進め方
- データの一覧を作る：上の表を自社用に作り、置き場所と担当者を書き込む
- 戻したい範囲を決める：データごとに、どの時点まで・どのくらいの時間で戻したいかを決める
- 今の取り方を確認する：すでに取っているバックアップの方法、頻度、保管場所、最後に戻せたことを確認した日
- 足りない部分を補う方法を選ぶ：切り離した保管がない、社外に保管していない、世代が足りない、など
- 見積もりを取る：データの量、残したい世代、対象の機器を示して、複数のサービスに依頼する
- 試しに戻してから本運用にする：一部のファイルを実際に戻し、手順書を作る
見積もりを比べるときは、月々の料金だけでなく、データが増えたときの料金、復元を手伝ってもらうときの費用、契約終了時のデータの扱いを確認します。
担当者が不在のときに備える
バックアップの手順を知っているのが総務の担当者1人だけ、という会社は少なくありません。次の情報を1枚にまとめ、経営者や代わりの担当者と共有しておきます。
- バックアップの対象と保管場所
- 管理画面やサービスへのログインの方法（パスワードそのものは別の安全な方法で管理する）
- 復元の手順と、問い合わせ先
- 被害が疑われるときの最初の連絡先（社内の責任者、委託先、警察の相談窓口）
よくある失敗
| 失敗 | 起きること | 防ぎ方 |
|---|---|---|
| NASを常時つないだままにする | ランサムウェアで一緒に暗号化される | 切り離した保管、社外の保管を組み合わせる |
| 取っているが戻したことがない | いざというときに戻せない | 定期的に一部のファイルを実際に戻す |
| 担当者しか手順を知らない | 不在や退職で誰も戻せない | 手順書を作り、代わりの担当者と一緒に確認する |
| 1世代しか残していない | 壊れた状態で上書きされる | 複数の世代を残す |
まとめ
- バックアップはこまめに取り、ネットワークから切り離した保管や社外の保管を組み合わせる
- 守るデータと、どの時点まで・どのくらいの時間で戻したいかを先に決める
- サービスは、世代の管理、削除の防止、復元の手順、管理者の権限、保存場所と個人データの扱いで比べる
- 定期的に実際に戻してみて、手順を担当者以外とも共有する
この記事で使えるテンプレート
総務 IT資産・SaaSアカウント管理台帳 PC・スマートフォンなどの端末と、会社で契約しているSaaS（クラウドサービス）のアカウントを1つの台帳で管理するシートです。利用者、管理者権限、多要素認証、契約更新日、月額費用、退職時の返却・削除日を記録し、退職者アカウントの消し忘れや不要な契約の放置を防ぎます。 総務 サーバ室・UPS 点検表（月次点検と停電時の確認） 社内のサーバ室やネットワーク機器のラックと、UPS（無停電電源装置）を月1回点検するための記録表です。室温、UPSの警告表示とバッテリーの交換時期、ケーブル・ほこり・物の置き方、入室の管理、バックアップの状況を1行ずつ記録し、異常と対応を残せます。この記事に出てくる用語
- 安全管理措置
- 個人データの漏えい・滅失・毀損を防ぐために会社が講じる措置です。基本方針の策定、規律の整備、組織的・人的・物理的・技術的な措置などがあり、規模にかかわらずすべての会社に義務づけられています。
- 委託先の監督
- 給与計算や名刺管理、書類の廃棄などで個人データの取扱いを外部に委託するとき、委託元の会社が委託先の安全管理を確認・監督する義務です。
- 個人情報保護法
- 個人情報を扱う事業者が守るべきルール（利用目的の特定、安全管理措置、第三者提供の制限、漏えい時の報告など）を定めた法律です。従業員数にかかわらず、個人情報を事業に使うすべての会社が対象です。
- 個人データ
- 検索できるように体系的に整理された個人情報の集まり（個人情報データベース等）を構成する個人情報のことです。社員名簿や顧客台帳、名刺管理ソフトの中の情報などが該当します。
- 多要素認証
- パスワードなどの「知っているもの」に加え、スマートフォンなどの「持っているもの」や指紋・顔などの「本人の特徴」を組み合わせてログインする認証方法です。
- ランサムウェア
- パソコンやサーバーのデータを暗号化して使えなくし、元に戻す代わりに身代金を要求するコンピュータウイルスです。データを盗んで公開すると脅す「二重恐喝」の手口もあります。