--- title: "バックアップと復旧の設計。何を、どこに、どのくらい残すか｜アメリア・テクノロジー株式会社" url: https://www.ameliatechnology.co.jp/blog/backup-recovery-design/ description: "バックアップは、取っていても戻せなければ役に立ちません。どこまでのデータを失ってよいか（RPO）、いつまでに戻すか（RTO）を先に決め、取る対象、世代、置き場所、ランサムウェアへの備え、復旧の訓練までを設計する進め方を説明します。" updated: 2026-11-12 publisher: "アメリア・テクノロジー株式会社" --- # バックアップと復旧の設計。何を、どこに、どのくらい残すか バックアップは、取っていても戻せなければ役に立ちません。どこまでのデータを失ってよいか（RPO）、いつまでに戻すか（RTO）を先に決め、取る対象、世代、置き場所、ランサムウェアへの備え、復旧の訓練までを設計する進め方を説明します。 2026.11.12 [Webとシステム開発](https://www.ameliatechnology.co.jp/blog/category/web/) 執筆 [石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/)（グループCTO） Webとシステム開発（WEB & SYSTEMS）のコラム ## この記事の要点 - バックアップの設計は、失ってよいデータの範囲（RPO）と、業務を再開するまでの時間（RTO）を、業務ごとに決めることから始めます - 置き場所は、元のシステムから離し、ランサムウェアに一緒に暗号化されないよう、ネットワークから切り離した形や書き換えられない形も組み合わせます - 実際に戻せるかを、定期的な復旧の訓練で確かめ、かかった時間を記録して設計を見直します バックアップと復旧の設計は、「どこまでのデータを失ってよいか」と「いつまでに業務を再開したいか」を業務ごとに決め、その目標に合わせて、取る対象、取る頻度と残す世代、置き場所、戻す手順を決めていく作業です。取ることより「戻せること」を目的に設計します。 ランサムウェアの攻撃では、バックアップも狙われます。警察庁の報告では、攻撃の手口として、ネットワークの中を探ってバックアップを物色することや、復旧を妨げるためにバックアップも一緒に暗号化される場合が多いことが挙げられています。 出典：[令和7年におけるサイバー空間をめぐる脅威の情勢等について（警察庁、2026年3月）](https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf) ## 最初に、RPO と RTO を決める バックアップの設計は、失ってよいデータの範囲（RPO）と、業務を再開するまでの時間（RTO）を、業務ごとに決めることから始めます。この2つが決まると、取る頻度や置き場所、復旧の手段の選び方が決まります。 - **RPO（目標復旧時点）**：障害が起きたとき、どの時点までのデータに戻せればよいか。言いかえると、失ってよいデータの範囲です - **RTO（目標復旧時間）**：障害が起きてから、どのくらいの時間で業務を再開したいか RPO と RTO **RPO（目標復旧時点）**：どの時点までのデータに戻せればよいか。失ってよいデータの範囲 **障害が起きる** **RTO（目標復旧時間）**：障害が起きてから、どのくらいの時間で業務を再開したいか 2つを業務ごとに決めると、**取る頻度や置き場所、復旧の手段の選び方**が決まります 例えば、1日に1回、夜にバックアップを取る設計では、昼に障害が起きると、前の晩から障害までの間のデータは戻せません。受注のデータのように、半日分を失うと困る業務なら、もっと短い間隔で取る仕組みが要ります。反対に、めったに変わらない資料なら、1日1回でも足りることがあります。 RPO と RTO を短くするほど、仕組みと費用は大きくなります。すべてのシステムを同じ水準にするのではなく、業務の大事さに応じて段階を分けるのが現実的です。 | 業務の大事さ | RPO の考え方の例 | RTO の考え方の例 | |---|---|---| | 止まると取引や顧客に影響する | 失うデータを短い時間の分にとどめる | 当日のうちに再開する | | 止まると社内の業務が滞る | 前の日の分まで戻せればよい | 数日のうちに再開する | | しばらく止まっても代わりの手段がある | 前の週の分まで戻せればよい | 落ち着いてから戻す | 表の目標は考え方の例です。実際の値は、業務の担当と、止まったときの影響を話し合って決めます。業務を続けるための計画全体は、[ITのBCP](https://www.ameliatechnology.co.jp/blog/it-bcp-planning/)で説明しています。 ## 何を残すか バックアップの対象は、データだけでなく、システムを元に戻すために要るものすべてです。データだけ残っていても、システムの設定や組み立て方が分からなければ、戻すのに時間がかかります。 - 業務のデータ（データベース、ファイル、メール） - システムの設定（サーバーやクラウドの設定、ネットワークの設定） - プログラムのソースコードと、組み立ての手順 - 認証の情報を戻すための手順（鍵や証明書そのものは、別に厳重に保管する） - 戻すための手順書と、連絡先の一覧 クラウドの SaaS を使っている場合、データの保管はサービスの側が受け持っていても、誤って消したデータを戻せる期間や範囲には限りがあることがあります。サービスの規約で、どこまでを事業者が受け持ち、どこからが利用者の責任かを確かめておきます。 ## 世代と置き場所 バックアップは、複数の世代を、元のシステムから離れた場所に残します。1つの世代しかないと、気づかないうちに壊れたデータや、暗号化されたデータで上書きしてしまうおそれがあります。 ### 世代を残す 世代とは、時点の違うバックアップのことです。毎日のバックアップを数日分、毎週のものを数週分、毎月のものを数か月分、のように残すと、問題に気づくのが遅れても、問題が起きる前の時点に戻せる見込みが高まります。残す期間は、業務と法令が求める保存の期間も踏まえて決めます。 ### 離れた場所に置く 置き場所は、元のシステムと同じ機器や同じ建物だけにしないようにします。機器の故障、建物の災害、ランサムウェアの攻撃のどれが起きても、どこかに使えるバックアップが残るように、置き場所を分けます。 ### ネットワークから切り離す、書き換えられない形にする ランサムウェアへの備えとしては、ネットワークから切り離した場所に置くバックアップ（オフラインのバックアップ）や、決めた期間は消したり書き換えたりできない形で保管する仕組みを組み合わせます。警察庁の報告でも、暗号化への対策となるオフラインのバックアップといった情報資産の管理が、被害の抑制に有効であるとしています。 出典：[令和7年におけるサイバー空間をめぐる脅威の情勢等について（警察庁、2026年3月）](https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf) バックアップを管理する仕組みのアカウントは、普段使うアカウントと分け、[多要素認証](https://www.ameliatechnology.co.jp/glossary/mfa/)をかけます。管理のアカウントを乗っ取られると、バックアップを消されてしまうおそれがあるためです。 ## 復旧の訓練をする バックアップは、実際に戻せることを確かめて初めて役に立ちます。取れているように見えても、戻そうとしたら一部のファイルが欠けていた、手順が古くて戻せなかった、ということが起こり得ます。 訓練では、次の点を確かめます。 1. 決めた時点のデータを、試験の環境に戻せるか 2. 戻したデータで、業務のシステムが動くか 3. 戻すのにかかった時間が、RTO の中に収まるか 4. 手順書のとおりに、担当以外の人でも作業を進められるか かかった時間と、つまずいた点は記録に残し、手順書と設計を直します。訓練は、システムの構成を大きく変えたときにも行います。 ## 費用とのつり合い バックアップの仕組みを厚くするほど、保管の容量と費用は増えます。すべてを長く残すのではなく、業務の大事さと RPO・RTO に合わせて、厚くする部分と簡素にする部分を分けます。保管の費用の見直しは[クラウドの費用を見直す（FinOps）の進め方](https://www.ameliatechnology.co.jp/blog/cloud-cost-optimization/)も参考にしてください。 被害に遭った後の動き方は、[ランサムウェアの被害に遭ったときの初動](https://www.ameliatechnology.co.jp/blog/ransomware-first-response/)で説明しています。 ## 当社のご支援 当社の[セキュリティ診断と対策](https://www.ameliatechnology.co.jp/service/security/)では、システムの弱点の診断に加えて、見つかった問題を直すところや、守りの仕組みの整備までを受け持ちます。新しく作るシステムは、[Webシステム開発](https://www.ameliatechnology.co.jp/service/web-system/)で、公開した後の運用まで見据えて設計からお受けしています。いまの備えを確かめたい場合は、無料の[セキュリティの自己診断](https://www.ameliatechnology.co.jp/diagnosis/security/)もご利用ください。 - バックアップ - 復旧 - ランサムウェア - BCP ## この記事に出てくる用語 - [バックアップ](https://www.ameliatechnology.co.jp/glossary/backup/) - [ランサムウェア](https://www.ameliatechnology.co.jp/glossary/ransomware/) - [暗号化](https://www.ameliatechnology.co.jp/glossary/encryption/) - [RTO・RPO](https://www.ameliatechnology.co.jp/glossary/rto-rpo/) - [事業継続計画（BCP）](https://www.ameliatechnology.co.jp/glossary/bcp/) - [データベース](https://www.ameliatechnology.co.jp/glossary/database/) - [サーバー](https://www.ameliatechnology.co.jp/glossary/server/) - [クラウド](https://www.ameliatechnology.co.jp/glossary/cloud/) この記事を書いた人 [石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/) グループCTO インターネットの黎明期から、ホスティング事業の立ち上げや、インフラ・セキュリティのプロジェクトに携わってきました。現在は、AWS・Azure へのクラウド移行の支援と、業務アプリケーションの要件定義から実装までを担っています。 このコラムは一般的な情報の提供を目的としたもので、個別の状況への助言ではありません。製品・サービスの名前と内容は、記事の更新日の時点のものです。 ## あわせて読みたい - [ゼロトラストの考え方と、中小企業の始め方](https://www.ameliatechnology.co.jp/blog/zero-trust-for-smb/) - [Webアクセシビリティの対応。合理的配慮の義務化と進め方](https://www.ameliatechnology.co.jp/blog/web-accessibility-obligation/) - [発注者が知っておきたいテストの種類と確かめ方](https://www.ameliatechnology.co.jp/blog/testing-for-buyers/) [Webとシステム開発のコラムを見る](https://www.ameliatechnology.co.jp/blog/category/web/) [コラムの一覧に戻る](https://www.ameliatechnology.co.jp/blog/) ## 次の一歩 ### 業務で使うWebシステムをつくる 社内で使う業務システムやWebサービスを、要件定義から設計・開発・テスト、公開した後の運用まで受け持ちます。 [Webシステム開発を見る](https://www.ameliatechnology.co.jp/service/web-system/) ### まずは30分、オンラインで話してみる 何に使うかが決まっていない段階でも構いません。30分のオンライン相談は無料です。 [無料で相談する](https://www.ameliatechnology.co.jp/contact/) ## ご関心に合わせて、お選びください。 [情報を集めている方へ会社案内、AI開発の例、セキュリティ診断の報告書の見本をお送りします。資料をダウンロード](https://www.ameliatechnology.co.jp/download/)[課題が見えている方へオンラインで30分、お話をうかがいます。費用はかかりません。無料で相談する](https://www.ameliatechnology.co.jp/contact/)[進め方を決めたい方へ2〜4週間で、優先順位と計画をまとめるAI活用の診断です。診断について見る](https://www.ameliatechnology.co.jp/pricing/#diagnosis) --- 出典：アメリア・テクノロジー株式会社「バックアップと復旧の設計。何を、どこに、どのくらい残すか｜アメリア・テクノロジー株式会社」 https://www.ameliatechnology.co.jp/blog/backup-recovery-design/