【2026年版】中小企業のバックアップ方法
（ランサムウェアに備える3-2-1ルールと、元に戻せるかを確かめる復元テスト）

なぜ今、バックアップの見直しが必要なのか

結論：ランサムウェア（データを暗号化して使えなくし、元に戻す代わりに金銭を要求する攻撃）は、規模の小さな会社も狙われています。そして攻撃者は、復旧を妨げるためにバックアップも狙ってきます。警察庁

IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026」でも、組織の脅威の1位は今回も「ランサム攻撃による被害」です。中小企業の情報漏えいが増えている状況は社員300人以下の情報漏えいが倍増でも解説しています。攻撃を100％防ぐことはできない以上、「やられても戻せる」備えが、会社を守る最後の砦になります。

「取っている」のに戻せない5つの理由

結論：バックアップがあっても戻せないのは、多くの場合、取り方や置き場所の問題です。次の5つに心当たりがないか確認してください。

• ① 同じネットワークにつながったままになっている：
  社内のNAS（ネットワーク上の共有ハードディスク）や、つなぎっぱなしの外付けハードディスクは、パソコンが感染すると一緒に暗号化されるおそれがあります。
• ② 同じIDとパスワードで操作できる：
  普段使いの管理者アカウントでバックアップも削除できる状態だと、そのアカウントを乗っ取られた時点でバックアップも消されてしまいます。
• ③ 古い時点のバックアップがない：
  上書き保存で1世代しか持っていないと、感染や誤った変更に気づいたときには、バックアップもすでに壊れた状態になっていることがあります。
• ④ 対象に漏れがある：
  ホームページのファイルだけを保存して、お問い合わせや会員情報が入ったデータベースが対象外だった、という例は少なくありません。
• ⑤ 戻し方を誰も知らない：
  手順書がなく、一度も戻したことがないと、いざというときに時間がかかり、途中で失敗することもあります。

基本は「3-2-1ルール」

結論：バックアップの基本は、データを3つ持ち、2種類の保存先に分け、1つは別の場所に置く「3-2-1ルール」です。ランサムウェア対策としては、さらに「1つは切り離す」「戻せることを確かめる」を加えた考え方が広がっています。

すべてを一度にそろえる必要はありません。まずは「別の場所に1つ」と「切り離した1つ」があるかを確認するところから始めましょう。

ランサムウェアに備える保管のしかた

結論：ポイントは、攻撃者の手が届かないところに、きれいな時点のコピーを残しておくことです。米国のサイバーセキュリティ機関CISAも、切り離した暗号化済みのバックアップを持ち、定期的に復元を確かめるよう呼びかけています。CISA

• 切り離して保管する（オフライン）：
  外付けハードディスクは、バックアップを取るときだけ接続し、終わったら外して保管します。2台を交互に使えば、片方が壊れても安心です。
• 書き換えできない状態で保管する（イミュータブル）：
  クラウドのバックアップサービスには、決めた期間は誰も削除や上書きができない設定を持つものがあります。管理者アカウントを乗っ取られても消されにくくなります。
• 複数の時点を残す（世代管理）：
  「毎日の分を2週間」「毎週の分を2か月」のように、いくつかの時点を残します。感染に気づくのが遅れても、その前の時点に戻せます。
• バックアップ用のアカウントを分ける：
  バックアップの管理に使うアカウントは普段の業務と分け、多要素認証（MFA）を設定します。パスワードの使い回しは避けます。
• バックアップも暗号化する：
  持ち出しや盗難に備えて、バックアップのデータそのものも暗号化しておきます。暗号化の鍵やパスワードは、バックアップとは別の場所に保管します。

対象別のバックアップ方法

結論：バックアップは「何を守るか」でやり方が変わります。中小企業では、ホームページ・サーバー、社内のパソコンと共有フォルダ、メールやクラウドサービスの3つに分けて考えると整理しやすくなります。

① ホームページ・サーバー

• ファイルとデータベースの両方を取る：
  WordPressなどのCMSは、画像やプログラムの「ファイル」と、記事やお問い合わせの内容が入った「データベース」の2つでできています。どちらが欠けても元に戻せません。
• 同じサーバーの中だけに置かない：
  CMSのプラグインで取ったバックアップが同じサーバーの中にあるだけでは、サーバーごと被害に遭うと一緒に失われます。サーバーの外にもコピーを置きます。
• サーバー会社の自動バックアップの範囲を確認する：
  保管されるのは何日分か、データベースも含まれるか、戻すのに費用や申し込みが必要かを確認しておきます。
• 更新の前にも取る：
  CMSやプラグインの更新、リニューアルの前には、自動のバックアップとは別に、その時点のバックアップを取っておきます。

② 社内のパソコン・共有フォルダ（NAS）

• 大事なデータの置き場所を決める：
  見積書や顧客リストが、各自のパソコンのデスクトップに散らばっていると、バックアップの対象から漏れます。共有フォルダなど、置き場所を決めておきます。
• NASのバックアップは別に取る：
  NASは「みんなで使う保存場所」であって、それだけではバックアップになりません。NASの中身を、切り離した外付けハードディスクやクラウドにもコピーします。
• クラウドの「同期」はバックアップの代わりにならない：
  パソコンとクラウドを同期するサービスでは、パソコン側で削除や暗号化が起きると、クラウド側にもその変更が反映されることがあります。過去の時点に戻せる機能があるか、何日分まで戻せるかを確認します。

③ メール・クラウドサービス

• サービスの「ごみ箱」の保管期間を確認する：
  Microsoft 365やGoogle Workspaceなどでは、削除したメールやファイルを一定期間は元に戻せますが、期間を過ぎると戻せなくなります。
• 守る責任は利用者側にもある：
  サービスの提供元が守るのは、サービスそのものが動き続けることです。誤って消したデータや、乗っ取られて消されたデータを戻すのは、基本的に利用者の側の備えになります。重要なデータは、別にバックアップを取る方法も検討します。

関連コンテンツ

「どこまで戻せればよいか」を先に決める

結論：バックアップの頻度や方法は、「何日前のデータまでなら失っても困らないか」と「何日以内に業務を再開したいか」の2つで決まります。先に経営者が決めておくと、やり方を選びやすくなります。

専門的には、失っても困らない範囲を「RPO（目標復旧時点）」、業務を再開するまでの目標時間を「RTO（目標復旧時間）」と呼びます。被害が起きたときの連絡先や判断の手順は、個人情報漏えい発生時の初動対応・公表フローとあわせて1枚にまとめておくと安心です。

復元テストのやり方（5ステップ）

結論：バックアップが本当に使えるかは、実際に戻してみるまでわかりません。少なくとも年に1〜2回、またリニューアルやサーバーの移転など大きな変更のあとに、次の手順で確かめます。

• 【STEP1】戻す対象を1つ選ぶ
  まずは「先月の見積書のフォルダ」「ホームページ一式」など、範囲を絞って始めます。
• 【STEP2】本番とは別の場所に戻す
  いま使っているデータを上書きしないよう、テスト用のフォルダやテスト用のサーバーに戻します。
• 【STEP3】開けるか、動くかを確認する
  ファイルが開けるか、ホームページが表示されてお問い合わせフォームまで動くかを確認します。
• 【STEP4】かかった時間を記録する
  戻すのに何時間かかったかを記録し、「何日以内に業務を再開したいか」に間に合うかを確かめます。
• 【STEP5】手順書を更新する
  つまずいた点を手順書に書き足し、担当者が不在でも別の人が戻せるようにしておきます。

なお、ランサムウェアに感染したときは、すぐにバックアップから戻すのは避けてください。侵入された原因を取り除かないまま戻すと、再び暗号化されるおそれがあります。まずネットワークから切り離し、警察や専門家に相談したうえで、感染前のきれいなバックアップから戻します。

今週やるバックアップ点検チェックリスト

結論：次の8項目のうち、「いいえ」「わからない」がある項目から手を付けましょう。ホームページについては、制作会社やサーバー会社に確認すればすぐにわかる項目がほとんどです。

• □ 守るデータの一覧がある：
  ホームページ、受注・顧客データ、共有フォルダ、メールなど、何をバックアップするかが決まっている。
• □ 別の場所にコピーがある：
  元のデータと同じサーバーやネットワークの中だけに置いていない。
• □ 切り離した、または書き換えできないコピーがある：
  普段は外している外付けハードディスクや、削除できない設定のクラウド保管がある。
• □ 複数の時点に戻せる：
  上書きの1世代だけでなく、数日前・数週間前の時点にも戻せる。
• □ ホームページはデータベースも対象になっている：
  ファイルだけでなく、お問い合わせや記事のデータも保存されている。
• □ バックアップの管理に多要素認証を設定している：
  普段使いのアカウントとは分け、パスワードだけで操作できないようにしている。
• □ この1年で実際に戻してみた：
  復元テストを行い、かかった時間を記録している。
• □ 戻す手順と連絡先が1枚にまとまっている：
  担当者が不在でも、誰に連絡して誰が戻すかがわかる。

バンブーハウスの取り組み

結論：バンブーハウスでは、お客様のホームページを多層防御型のセキュアサーバーで運用し、バックアップを本番の環境とは切り離して保管しています。あわせて、元に戻す手順を定め、実際に戻せることを確かめています。

保管場所や保管の期間、取得の時刻といった具体的な構成は、防犯上の理由から公開していません。攻撃者に手がかりを与えないことも、バックアップを守る対策の1つです。PHP2shellへの対応でも、こうした日ごろの備えが、脆弱性が公表された当日からの対応につながりました。サーバー運用の考え方はセキュアサーバー開発をご覧ください。

バックアップ体制のご相談（無料）

結論：「ホームページのバックアップがどうなっているかわからない」「戻せるか試したことがない」という方は、お気軽にご相談ください。

• 現状の確認：
  ホームページ・サーバーのバックアップについて、対象・保管場所・保管の期間・戻す手順を確認します。サーバーの契約情報の確認などにご協力をお願いする場合があります。
• 見直しのご提案：
  3-2-1ルールや「どこまで戻せればよいか」をもとに、会社の規模に合った無理のないバックアップの方法をご提案します。
• 復元テストのお手伝い：
  テスト用の環境にホームページを戻し、実際に表示や動作ができるかを確かめます。

パスワードなどの大切な情報は、メールではなく、ご相談のうえ安全な方法でお預かりします。お問い合わせ内容に「バックアップの見直しの相談」とホームページのURLをご記入ください。

今回のポイントまとめ

よくあるご質問（FAQ）

Q1. クラウドに保存していれば、バックアップは不要ですか？

いいえ。パソコンとクラウドを同期するサービスでは、パソコン側で削除や暗号化が起きると、クラウド側にもその変更が反映されることがあります。過去の時点に戻せる機能があるか、何日分まで戻せるかを確認し、重要なデータは別の場所にもコピーを持っておきましょう。

Q2. 外付けハードディスクにバックアップしています。それで十分ですか？

つなぎっぱなしにしていると、ランサムウェアに感染したときに一緒に暗号化されるおそれがあります。バックアップを取るときだけ接続し、終わったら外して保管してください。2台を交互に使うと、片方が壊れても安心です。

Q3. どのくらいの頻度でバックアップを取ればよいですか？

「何日前のデータまでなら失っても業務を続けられるか」で決めます。毎日更新する受注・顧客データなら毎日、ほとんど更新しない資料なら更新したときと毎月、というように、データの種類ごとに決めるのが現実的です。

Q4. ホームページのバックアップは、制作会社やサーバー会社が取っていますか？

契約によって異なります。サーバー会社の自動バックアップは、保管期間が短い、戻すのに費用がかかる、データベースが対象外といった場合があります。「何を・どこに・何日分・誰が戻すか」を、制作会社やサーバー会社に確認しておきましょう。

Q5. 復元テストは、どのくらいの頻度で行えばよいですか？

少なくとも年に1〜2回、またホームページのリニューアルやサーバーの移転、システムの入れ替えなど大きな変更をしたあとに行うのがおすすめです。実際に戻してみて、かかった時間も記録しておきます。

Q6. ランサムウェアに感染したら、すぐにバックアップから戻してよいですか？

すぐに戻すのは避けてください。侵入された原因を取り除かないまま戻すと、再び暗号化されるおそれがあります。まずネットワークから切り離し、警察や専門家に相談したうえで、感染前のきれいなバックアップから戻します。

Q7. バックアップ体制の見直しを相談できますか？

はい。ホームページ・サーバーのバックアップの現状確認、保管場所や戻す手順の見直し、復元テストのお手伝いを、無料でご相談いただけます。バックアップ体制のご相談をご覧ください。

参考情報

• 令和7年におけるサイバー空間をめぐる脅威の情勢等について（警察庁サイバー警察局、2026年3月）
  ランサムウェアの被害件数、バックアップの取得状況と復元の結果、復旧にかかった期間と費用をまとめた資料です。
• 情報セキュリティ10大脅威 2026（IPA 情報処理推進機構、2026年1月29日）
  組織の脅威の1位は、今回も「ランサム攻撃による被害」です。
• #StopRansomware Guide（米国サイバーセキュリティ・社会基盤安全保障庁 CISA）
  切り離した暗号化済みのバックアップの保管と、定期的な復元の確認を推奨しています。