ロリポップ固定IPアクセス byGMOペパボ
バックアップの3-2-1ルールとは：クラウド時代の安全な保管と復旧テスト

バックアップの3-2-1ルールとは：クラウド時代の安全な保管と復旧テスト

基礎知識

データ喪失のリスクは、かつてないほど高まっています。 ランサムウェア攻撃、システム障害、誤削除、自然災害—企業のデータを脅かす要因は多岐にわたります。 しかし多くの企業は、バックアップの重要性を理解していても、その実装方法については曖昧なままです。

「バックアップデータをクラウドに置いておけば安心」「毎日バックアップを取っているから大丈夫」—このような楽観的な思い込みは危険です。 本記事では、データ保護の業界標準である「3-2-1ルール」を解説し、クラウド時代にどのように進化させるべきか、実践的な手順を紹介します。

⇒【ロリポップ！固定IPアクセス】 月額490円、すぐに使えて最大2ヶ月間無料！

バックアップが失敗する理由

企業がバックアップに失敗する原因は、技術よりも「運用」にあることが多いです。

バックアップ戦略の欠落

多くの企業は、バックアップツールを導入しただけで安心してしまいます。 しかし、データ保護に必要なのは、まずは明確な戦略です。

「何を」「どのくらいの頻度で」「どこに」「どのくらいの期間」保存するのか—こうした基本的な設問に答えられない組織は、バックアップを機能させられません。

復旧テストの未実施

最大の落とし穴は「バックアップが取れていることが確認できていない」という状況です。 毎日バックアップを走らせているのに、いざという時にデータが復元できない—こうした悲劇は珍しくありません。

復旧テストを定期的に実施し、「本当に復元できるのか」を検証する必要があります。

クラウドストレージへの過信

クラウドサービスの冗長性は高いですが、それは「システム障害時のバックアップ」には役立ちますが「データの誤削除」や「ランサムウェア攻撃」には対応できません。 クラウドに保存されたデータが、ランサムウェアで全て暗号化されたとしても、クラウド側は自動的には復旧しません。

3-2-1ルールとは何か

業界では長年、「3-2-1ルール」がバックアップの最良実践として推奨されてきました。

3つのコピー

データは最低でも3つのコピーを保持します。 原本（オリジナルの運用中のシステム）と、2つのバックアップコピー（バックアップA、バックアップB）です。

このとき、「同じバックアップを2回取る」というのは3-2-1ルールではありません。 互いに独立した、異なるバックアップ戦略で取得したコピーである必要があります。

2種類のストレージメディア

3つのコピーを保管する際、同じ種類のメディアに集中させてはいけません。 例えば、全てをSSDに保存していれば、SSD障害で全て失います。 全てをクラウドストレージに保存していれば、クラウド側のセキュリティ侵害で全て危機にさらされます。

推奨される組み合わせは、以下の通りです。

異なるベンダーを使用することで、一つのサービス障害が全体に波及することを防げます。

1つのオフサイト保管

3つのコピーのうち、少なくとも1つは「異なる物理的な場所」に保管します。 これが「オフサイト」です。

オフサイト保管が必要な理由は、火災、地震、水害などの自然災害に対応するためです。 自社ビルが火事になっても、別の場所にバックアップがあれば、データ喪失を避けられます。

クラウドストレージの場合、複数のデータセンターに冗長保管される仕組みがあり、これもオフサイト保管の形態と言えます。

3-2-1ルールを図解する

以下は、3-2-1ルールを実装した典型的な構成です。

【運用中のデータベース】 ↓ 【バックアップA：毎日自社サーバーに保存（同期）】 ↓ 【バックアップB：毎週クラウドストレージ（AWS S3）に保存（非同期）】 ↓ 【定期的にオフサイト（別拠点のNAS）にコピー】 このような構成により、以下のシナリオに対応できます。

クラウド時代の進化：3-2-1-1-0ルール

しかし近年の脅威情勢は、従来の3-2-1ルールでは不十分になってきました。 ランサムウェア攻撃の高度化、クラウドネイティブ企業の増加に対応するため、新しい標準が提唱されています。

それが「3-2-1-1-0ルール」です。

ルールの内容

元の3-2-1に加えて、以下の2つの要件が追加されます。

追加要件1：「1つの不変（イミュータブル）またはオフラインコピー」

4つ目の「1」は、データが変更されないように保護されたコピーを指します。 イミュータブル（変更不可）なストレージに保管することで、ランサムウェアがそれ以上の被害を広げるのを防げます。

AWS S3の「オブジェクトロック」機能や、Azure Blobの「不変ストレージ」機能がこれにあたります。

追加要件2：「エラーをゼロにするテスト」

「0」は、バックアップの整合性確認（検証）と復旧テストで、エラーをゼロにすることを意味します。 つまり、バックアップが本当に復元可能なのか、定期的に確認することが必須要件になります。

3-2-1-1-0ルール実装例

より強固な保護を求める企業の場合、以下のような構成になります。

【運用中データベース（生本体）】 ↓ 【バックアップ1：毎日自社NASに保存】 ↓ 【バックアップ2：毎週AWS S3 スタンダードに保存】 ↓ 【バックアップ3：毎月AWS S3 Glacierに保存（コスト削減）】 ↓ 【イミュータブルコピー：AWS S3 オブジェクトロックで30日間変更不可保存】 ↓ 【復旧テスト：毎月バックアップから実際に復元して動作確認】 この構成により、以下のシナリオに対応できます。

実装ステップ：企業規模別ガイド

3-2-1ルール（またはそれ以上）を実装する際の、現実的なステップを紹介します。

スタートアップ・中小企業向け

第1段階：基本的な3-2-1ルール

初期コスト：約10～30万円（ツール導入、ドライブ購入） 月額ランニング：5,000～20,000円（クラウドストレージ費用）

中堅企業向け

第2段階：3-2-1ルール + 復旧テスト

初期コスト：約100～300万円（バックアップソフト、クラウド初期構築） 月額ランニング：50,000～150,000円

大企業向け

第3段階：3-2-1-1-0ルール + 高度なリスク管理

初期コスト：数千万円 月額ランニング：300万円～1,000万円以上

復旧テストの実施方法

バックアップの有効性は、テストなくして確認できません。 復旧テストの標準的な手順を紹介します。

テスト環境の準備

まず、本番環境を傷つけない、独立したテスト環境を用意します。 クラウド上に一時的に構築することもできます。

テスト項目チェックリスト

テスト頻度の目安

テスト結果の記録

テスト日時、実施者、テスト内容、結果（成功/失敗）、所要時間、発見された問題などを記録します。 数年分のテスト結果は、コンプライアンス監査でも重要な証拠となります。

クラウドストレージ選択ガイド

3-2-1ルール実装時に選択すべきクラウドストレージの特性を比較します。

Amazon S3（アマゾンS3）

メリット：業界最大規模、豊富な機能（オブジェクトロック、ライフサイクル管理）、複数リージョン対応 デメリット：機能が多く、初心者には複雑、エグレス料金が高い場合がある 用途：エンタープライズレベルのバックアップ、長期保管

Microsoft Azure Blob Storage

メリット：Microsoft環境との統合が良い、HIPAA/PCI-DSS準拠、日本国内拠点あり デメリット：価格体系が複雑、ベンダーロックイン懸念 用途：Windowsサーバー、Exchange、SQLServerのバックアップ

Google Cloud Storage

メリット：シンプルな価格体系、アーカイブ層が安い、Google Workspace統合 デメリット：機能は標準的、日本国内拠点の冗長性が限定的 用途：Google環境のバックアップ、コスト重視

スケーラブル オンプレミス（NAS、SAN）

メリット：通信速度が速い、イニシャルコスト後は費用安定、完全制御可能 デメリット：物理的な維持管理が必要、災害対応が難しい 用途：日次バックアップ、高速復旧が必要な場合

バックアップの落とし穴

実務で起きやすい失敗パターンを紹介します。

落とし穴1：バックアップが無限に溜まる

バックアップを「何年も保持する」ことは、実は危険です。 理由は、古いバックアップの復旧方法を誰も覚えていないからです。 バージョン管理を明確にし、保持期間を定めることが重要です。

落とし穴2：復旧テストが形式的になる

「毎月復旧テストをしているから安心」というのは幻想です。 本当に本番環境レベルでデータが復旧できるのか、システムが起動するのか、実務的なテストが必要です。

落とし穴3：ランサムウェア対策を過信

「バックアップがあれば、ランサムウェア攻撃も怖くない」と思うのは危険です。 攻撃者がバックアップストレージ自体にアクセスして、バックアップも暗号化する場合があります。 イミュータブルストレージは、この対策になります。

落とし穴4：クラウドのみに頼る

「クラウドサービスが無くなることはない」という保証はありません。 クラウド企業の破産、サービス終了、規制の大きな変化などが起こった場合、クラウドのみのバックアップは無意味になります。 必ずオンプレミスにもコピーを保有します。

落とし穴5：バックアップの暗号化鍵管理を忘れる

バックアップを暗号化すること自体は良いのですが、暗号化鍵の管理を忘れると、バックアップは読み込み不可能になります。 鍵を紛失した場合の復旧手段も用意しておきます。

ランサムウェア時代のバックアップ戦略

2025年時点で、ランサムウェア攻撃は企業データの最大の脅威です。 3-2-1-1-0ルールは、ランサムウェア対策を念頭に置いた進化を遂げています。

攻撃者の視点：バックアップも狙う

近年のランサムウェア集団は、データを暗号化するだけでなく、バックアップストレージを探し出して破壊することを目標にしています。

対策：

エアギャップバックアップとは

「エアギャップ」は、バックアップストレージをメインネットワークから物理的に遮断することです。

実装方法：

メリット：

デメリット：

大企業向けの高度な対策です。

バックアップコストの最適化

バックアップは必要ですが、際限なく費用をかけるべきではありません。

ティアード（段階的）ストレージ戦略

ライフサイクル管理の例

AWS S3での設定例：

このような段階的な設定により、保護レベルを保ちながらコストを削減できます。

チェックリスト：3-2-1ルール実装確認

貴社のバックアップ環境が、3-2-1-1-0ルールを満たしているか、確認してください。

データの複製に関して

ストレージメディアに関して

オフサイト保管に関して

イミュータブルストレージに関して

復旧テストに関して

まとめ：バックアップはビジネスライフラインを守る

バックアップは「取ってみて終わり」ではなく、「いざという時に正確に復旧できるか」が全てです。

3-2-1ルール、そしてクラウド時代の3-2-1-1-0ルールは、その実現のための最良実践です。 企業規模や予算に応じて、段階的に実装することをお勧めします。

重要なのは「現状を把握」→「計画を立案」→「段階的に実装」→「定期的にテスト」→「継続的に改善」というサイクルを回すことです。

データは企業の最大の資産です。 その資産を守るために、バックアップへの投資は決して過分ではありません。

固定IPで安全なアクセス環境を実現するなら「ロリポップ！固定IPアクセス」

バックアップシステムへのアクセスをさらに強化したいのであれば、固定IPアドレスの活用を検討してください。

ロリポップ！固定IPアクセスは、今お使いのインターネット回線をそのまま活かして固定IPアドレスを利用できるVPNサービスです。 月額539円（税込）から、初期費用0円・最大2ヵ月無料で始められます。 WireGuardによる高速接続で、VPN特有の速度低下も気になりません。

バックアップストレージへのアクセスにIP制限を設定することで、特定の固定IPからのアクセスのみを許可する仕組みを構築できます。 これにより、不正アクセスやランサムウェア攻撃からバックアップシステムを守る追加の防壁となります。

プロバイダの乗り換えも不要で、申し込んだその日から利用できます。

→ ロリポップ！固定IPアクセスの詳細はこちら

おすすめの記事

ゼロトラスト導入前に行うアクセス元の棚卸し：固定IP・SaaS・端末を可視化する方法
基礎知識

ゼロトラスト導入前に行うアクセス元の棚卸し：固定IP・SaaS・端末を可視化する方法

管理者アカウントを守るゼロトラスト：SaaS管理画面のIP許可リスト運用
基礎知識

管理者アカウントを守るゼロトラスト：SaaS管理画面のIP許可リスト運用

APIキー・シークレット管理の基本：漏えいリスクを減らすゼロトラスト運用
基礎知識

APIキー・シークレット管理の基本：漏えいリスクを減らすゼロトラスト運用

どこからでも簡単に
固定IPアドレスでアクセス

導入相談