M365バックアップの誤解
「Microsoft 365はクラウドだからバックアップは不要」——これは最も危険な誤解の一つです。Microsoftはインフラの可用性（データセンターの冗長性）は保証していますが、ユーザーデータのバックアップ・復元は顧客の責任です。
責任共有モデル
| Microsoftの責任 | 顧客の責任 |
|---|---|
| データセンターの物理セキュリティ | 誤削除からのデータ復旧 |
| インフラの冗長構成・災害対策 | ランサムウェアによるデータ暗号化への対応 |
| サービスの可用性（SLA 99.9%） | 退職者データの長期保持 |
| OS・ミドルウェアのパッチ適用 | 法的要件に基づくデータ保持（コンプライアンス） |
標準機能でできること・できないこと
| 機能 | 保護範囲 | 限界 |
|---|---|---|
| 削除済みアイテム | Exchange: 14日 / SharePoint: 93日 | 期限を過ぎると完全削除。復元不可 |
| バージョン履歴 | SharePoint/OneDrive: 最大500バージョン | ランサムウェアが全バージョンを暗号化する攻撃手法あり |
| 保持ポリシー | Purviewの保持ポリシーで長期保持可能 | バックアップではなく「訴訟ホールド」用途。粒度の細かい復元は困難 |
| Microsoft 365 Backup | Exchange/OneDrive/SharePointのバックアップ | 2024年に一般提供開始。従量課金で割高になるケースあり |
バックアップ不備のリスク
- 誤削除：社員がSharePointのライブラリを丸ごと削除 → 93日を過ぎると復元不能
- ランサムウェア：OneDrive同期経由でローカル→クラウドに暗号化ファイルが伝播
- 退職者データ：ライセンス削除後30日でメールボックスが完全削除
- 悪意のある内部者：退職前にデータを大量削除するケース
サードパーティ製品の選定ポイント
- 対象範囲：Exchange、SharePoint、OneDrive、Teams（チャット・チャネル・ファイル）すべてをカバーしているか
- 復元の粒度：メール1通、ファイル1つ、Teams投稿1件単位で復元できるか
- バックアップ頻度：1日1回〜3回が一般的。RPO要件に合うか
- 保存先：Azure Blob Storage、AWS S3、独自ストレージなど
- 検索機能：バックアップデータをキーワード検索してピンポイントで復元できるか
- コスト：ユーザーあたり月額課金が一般的（¥300〜600/ユーザー/月）
主要製品比較
| 製品 | 対象 | 特徴 |
|---|---|---|
| Veeam Backup for M365 | Exchange/SharePoint/OneDrive/Teams | 業界標準。自社管理のストレージにバックアップ可能 |
| AvePoint Cloud Backup | Exchange/SharePoint/OneDrive/Teams/Entra ID | SaaS型。Azure/AWSストレージ選択可。日本語サポート充実 |
| Druva inSync | M365全般 + エンドポイント | SaaS型。エンドポイントバックアップも統合 |
| Microsoft 365 Backup | Exchange/SharePoint/OneDrive | Microsoft純正。高速復元が強み。Teams未対応（2025年時点） |
バックアップ設計のベストプラクティス
- 3-2-1ルール：3つのコピー、2種類の媒体、1つはオフサイト
- RPO（目標復旧時点）：中小企業は24時間以内が現実的
- RTO（目標復旧時間）：重要データは4時間以内の復元を目標に
- 定期的な復元テスト：四半期に1回、実際にデータを復元して検証
- 退職者データの保持：ライセンス削除前にバックアップで保持。保持期間は社内規定に準拠
BTNコンサルティングの支援
M365バックアップ製品の選定、導入設計、ポリシー設定、復元テストまで一括で支援します。
まとめ
Microsoft 365のデータ保護は責任共有モデルであり、バックアップは顧客の責任です。標準機能（削除済みアイテム、バージョン履歴、保持ポリシー）だけでは誤削除・ランサムウェア・退職者データの長期保持に対応できません。サードパーティ製品を導入し、3-2-1ルールに基づくバックアップ設計を行いましょう。