中小企業のクラウドバックアップ戦略｜3-2-1ルールとMicrosoft 365データ保護

なぜバックアップが必要か

「クラウドにデータがあるからバックアップは不要」という誤解が広まっていますが、Microsoftの責任共有モデルでは、データの保護はユーザーの責任です。

• 誤操作による削除：従業員がファイルやメールを誤って削除（ゴミ箱の保持期間は最大93日）
• ランサムウェア：OneDrive/SharePointのファイルが暗号化される
• 退職者のデータ：退職者のアカウント削除後にデータが消失
• 悪意のある内部者：不満を持つ従業員がデータを意図的に削除

3-2-1ルール

バックアップの基本原則「3-2-1ルール」は、あらゆる企業規模に適用できます。

Microsoft 365のバックアップ

M365の標準機能（バックアップではない）

これらはバックアップではありません。保持期間を過ぎたデータ、テナント全体の障害、ランサムウェアによる暗号化からの復元はできません。

バックアップソリューション比較

ランサムウェア対応

ランサムウェアがバックアップデータも暗号化するケースが増えています。イミュータブル（変更不可）バックアップが必須です。

• イミュータブルストレージ：一定期間はデータの変更・削除ができないストレージ
• エアギャップ：バックアップネットワークを本番ネットワークから完全に分離
• 多世代保持：30日/90日/1年の複数世代を保持（感染発覚が遅れた場合に対応）

リストアテストの重要性

• 四半期に1回：バックアップからのリストアテストを実施
• テスト項目：メール1通のリストア、SharePointサイト全体のリストア、OneDriveフォルダのリストア
• RTO/RPOの確認：リストアにかかる時間（RTO）とデータ損失の許容範囲（RPO）を確認

よくある質問

Microsoft 365を使っていればバックアップは不要ですか？

不要ではありません。標準機能の削除済みアイテムはExchangeで30日、SharePoint/OneDriveで93日しか保持されず、期間経過後は復元できません。バージョン履歴もファイル単位の復元に限られます。誤操作による削除、ランサムウェアによる暗号化、退職者アカウント削除後のデータ消失に備えて別途バックアップが必要です。

3-2-1ルールとは何ですか？

データのコピーを3つ持ち、2種類以上の異なる媒体に保存し、1つはオフサイト（別拠点）に保管するというバックアップの原則です。中小企業ではM365＋バックアップSaaS＋外付けHDD/NASという構成が実装例になります。

ランサムウェア対策として何が必要ですか？

一定期間データの変更・削除ができないイミュータブルストレージ、バックアップネットワークを本番から完全分離するエアギャップ、感染発覚が遅れた場合に備えた30日/90日/1年の多世代保持です。

リストアテストはどのくらいの頻度で行いますか？

四半期に1回が目安です。メール1通のリストア、SharePointサイト全体のリストア、OneDriveフォルダのリストアを実際に試し、復旧時間（RTO）とデータ損失の許容範囲（RPO）が設計どおりかを確認します。

まとめ

Microsoft 365のデータ保護はユーザーの責任です。3-2-1ルールに基づき、専用のバックアップSaaSを導入し、イミュータブルバックアップでランサムウェアに備えましょう。四半期に1回のリストアテストを忘れずに。

RTO/RPOの設計