バックアップを取っているのに、なぜ復元できないのか
「うちはちゃんとバックアップを取っています」という会社は増えてきました。IPAの中小企業向けガイドラインにも「バックアップを取ろう」が加わり、意識している経営者の方も多いと思います。
ですが、実際にランサムウェア被害に遭った企業の中には、バックアップはあったのに復元できなかったというケースが少なくありません。原因はさまざまです。
- バックアップファイルが途中で壊れていた
- 復元に必要なパスワードやライセンスキーが分からなくなっていた
- バックアップ先のストレージ自体も暗号化されてしまっていた
- 操作できる担当者が既に退職していた
つまり「取ること」がゴールになってしまい、「いざという時に戻せるか」を誰も確認していなかった、という状態です。この記事では、バックアップの次の一歩として、復元テストの具体的なやり方と、属人化を防ぐ体制づくりをお伝えします。
年1回でいい。復元テストの具体的な手順
復元テストというと大掛かりに聞こえますが、やることはシンプルです。最低でも年1回、できれば半年に1回のペースで試してみてください。
手順1：テスト用の環境を用意する
本番の業務データに影響を与えないよう、別のパソコンや仮想環境、あるいは一時的に借りたクラウドのストレージ上で行います。普段使っているサーバーに直接上書きするのは避けましょう。
手順2：バックアップから実際にデータを取り出す
バックアップソフトやクラウドサービスの「復元」機能を使って、実際にファイルを引っ張り出します。ここで「開けない」「エラーが出る」といった問題が見つかれば、それだけで大きな収穫です。本番で気づくより今気づいた方がずっと安く済みます。
手順3：中身を確認する
ファイルが開けるだけでなく、中身が最新に近い状態か、文字化けしていないか、必要な台帳やデータベースが欠けていないかを確認します。
手順4：かかった時間を記録する
復元にどれくらい時間がかかったかもメモしておきましょう。業務が止まっている間の復旧時間（専門用語でRTO＝目標復旧時間と呼ばれます）の目安になります。「半日で戻る」と「3日かかる」では、取引先への説明や対応の仕方が変わってきます。
手順5：結果を記録に残す
テストした日付、担当者、結果、問題点を簡単な表にして残します。次回のテストや、担当者が変わったときの引き継ぎ資料にもなります。
| 項目 | 記録例 |
| テスト日 | 2026年4月10日 |
| 担当者 | 総務・山田 |
| 復元にかかった時間 | 約4時間 |
| 見つかった問題 | 2023年以前のファイルが一部破損 |
| 次回までの対応 | 保存先を見直し、年1回チェックを継続 |
3-2-1ルールを中小企業の予算でやる方法
バックアップの基本として「3-2-1ルール」という考え方があります。
- 3つ：データのコピーを合計3つ持つ（元データ＋バックアップ2つ）
- 2種類：2種類以上の異なる媒体に保存する（例：社内のサーバーと外付けハードディスク）
- 1つ：そのうち1つは遠隔地（会社とは別の場所）に置く
「3つもコピーなんて大げさでは」と思うかもしれませんが、実はそれほどハードルは高くありません。中小企業でも次のような組み合わせで実践できます。
- 元データ：社内のパソコンやサーバー
- コピー1（2種類目の媒体）：外付けハードディスクやNAS（ネットワーク接続の保存装置）に毎日または毎週バックアップ
- コピー2（遠隔地）：クラウドストレージ（Google DriveやDropboxなど）に自動バックアップ
ポイントは「1つは遠隔地」の部分です。社内に置いた外付けハードディスクだけでは、火災や盗難、そしてランサムウェアでネットワーク越しに暗号化されるリスクに対応できません。クラウドへの保存、あるいは別拠点への物理的な保管のどちらかを必ず入れてください。
費用面では、クラウドストレージは月数百円〜数千円で始められるプランも多く、外付けハードディスクも数千円から購入できます。「遠隔地バックアップ＝大企業の仕組み」ではなく、今の仕組みに1つ足すだけで実現できることが多いです。
担当者が辞めても復元できる体制を作る
バックアップの仕組みを作った担当者が、実は一人しか操作方法を知らない、ということはよくあります。その人が退職したり長期休暇に入ったりすると、いざという時に誰も復元できません。これは中小企業のBCP（事業継続計画）を考えるうえで、見落とされがちな弱点です。
対策として、次の3点を整えておくことをおすすめします。
- 復元手順を紙やドキュメントに書き出す：ログイン先のURL、ID、パスワードの保管場所、操作の順番を誰が見ても分かる形にします。
- パスワードの保管場所を分散させない：担当者の頭の中やメモ帳アプリだけに頼らず、社内で決めた安全な場所（パスワード管理ツールや鍵のかかる保管庫など）にまとめておきます。
- 年1回の復元テストを「引き継ぎ」の機会にする：テストのたびに別の担当者にも操作してもらうことで、自然と複数人が手順を把握できます。
これらは特別なツールがなくても、社内ルールとして決めるだけで始められます。
まとめ：自力でできること、任せた方が楽なこと
ここまでお伝えした復元テストの手順や3-2-1ルールは、特別な予算がなくても自社で取り組めます。まずは年1回、カレンダーに「復元テストの日」を入れてみるところから始めてみてください。
ただ、実際にやってみると「バックアップの仕組み自体が複雑で、どこに何が保存されているか把握しきれない」「専任の担当者を置く余裕がない」という壁にぶつかる会社も多いです。特に、業務システムを複数のSaaSやExcelで運用している場合、バックアップの対象があちこちに散らばってしまい、3-2-1ルールの実践自体が難しくなります。
C3Worksでは、シフト管理や日報、申請ワークフローといった自社専用の社内システムを、サーバー代・保守管理費込みの月5万円からお作りしています。システムを一元化すれば、バックアップの管理対象もシンプルになり、保守側で復旧体制も含めて整えられます。自力での運用が大変だと感じたときは、選択肢の一つとして検討してみてください。