なぜバックアップが必要か
「クラウドにデータがあるからバックアップは不要」という誤解が広まっていますが、Microsoftの責任共有モデルでは、データの保護はユーザーの責任です。
- 誤操作による削除：従業員がファイルやメールを誤って削除（ゴミ箱の保持期間は最大93日）
- ランサムウェア：OneDrive/SharePointのファイルが暗号化される
- 退職者のデータ：退職者のアカウント削除後にデータが消失
- 悪意のある内部者：不満を持つ従業員がデータを意図的に削除
3-2-1ルール
バックアップの基本原則「3-2-1ルール」は、あらゆる企業規模に適用できます。
| ルール | 内容 | 中小企業での実装例 |
|---|---|---|
| 3 | データのコピーを3つ持つ | 本番データ＋クラウドバックアップ＋オフサイトコピー |
| 2 | 2種類以上の異なる媒体に保存 | クラウド（M365）＋バックアップSaaS＋外付けHDD/NAS |
| 1 | 1つはオフサイト（別拠点）に保管 | クラウドバックアップサービス（別リージョン） |
Microsoft 365のバックアップ
M365の標準機能（バックアップではない）
| 機能 | 保持期間 | 制限 |
|---|---|---|
| 削除済みアイテム | 30日（Exchange）/ 93日（SharePoint/OneDrive） | 期間経過後は復元不可 |
| バージョン履歴 | 500バージョン（既定） | ファイル単位の復元のみ |
| 訴訟ホールド | 無期限 | 法的目的での保持（E3以上） |
これらはバックアップではありません。保持期間を過ぎたデータ、テナント全体の障害、ランサムウェアによる暗号化からの復元はできません。
バックアップソリューション比較
| ソリューション | 月額目安 | 対象 | 特徴 |
|---|---|---|---|
| Veeam Backup for M365 | $2〜/ユーザー | Exchange/SharePoint/OneDrive/Teams | 業界標準、柔軟なリストア |
| AvePoint Cloud Backup | $3〜/ユーザー | M365全サービス | きめ細かいリストアオプション |
| Acronis Cyber Protect | $5〜/ユーザー | M365＋エンドポイント | バックアップ＋セキュリティ統合 |
| Microsoft 365 Backup | $2/ユーザー | Exchange/SharePoint/OneDrive | Microsoft純正、高速リストア |
ランサムウェア対応
ランサムウェアがバックアップデータも暗号化するケースが増えています。イミュータブル（変更不可）バックアップが必須です。
- イミュータブルストレージ：一定期間はデータの変更・削除ができないストレージ
- エアギャップ：バックアップネットワークを本番ネットワークから完全に分離
- 多世代保持：30日/90日/1年の複数世代を保持（感染発覚が遅れた場合に対応）
リストアテストの重要性
- 四半期に1回：バックアップからのリストアテストを実施
- テスト項目：メール1通のリストア、SharePointサイト全体のリストア、OneDriveフォルダのリストア
- RTO/RPOの確認：リストアにかかる時間（RTO）とデータ損失の許容範囲（RPO）を確認
まとめ
Microsoft 365のデータ保護はユーザーの責任です。3-2-1ルールに基づき、専用のバックアップSaaSを導入し、イミュータブルバックアップでランサムウェアに備えましょう。四半期に1回のリストアテストを忘れずに。
RTO/RPOの設計
| 指標 | 定義 | 中小企業の目安 |
|---|---|---|
| RPO（Recovery Point Objective） | どの時点までのデータを復元するか | メール: 1時間 / ファイル: 4時間 |
| RTO（Recovery Time Objective） | 何時間以内にシステムを復旧するか | メール: 4時間 / ファイル: 8時間 |