「バックアップは取っているから大丈夫」。そう考えている組織は少なくありません。
ところが警察庁の調査では、令和5年にランサムウェアの被害を受けた企業・団体のうち、バックアップを取得していたのは94％にのぼる一方、被害直前の水準まで復元できたのは17％にとどまりました。令和7年の報告でも、取得率は8割を超えたまま、復元できた割合は3割を下回る状況が続いています。
取っていたのに戻せなかった。この差を埋めるための基本原則が、バックアップの「3-2-1ルール」です。この記事では、ルールの意味だけでなく、ルールを満たしているつもりでも復元できない落とし穴と、自社の構成を点検する方法までを解説します。ランサムウェアそのものの仕組みは「ランサムウェアとは」で詳しく扱っています。
目次
バックアップの3-2-1ルールとは
3-2-1ルールは、データを失わないために「いくつ」「何に」「どこに」持つかを決めた原則です。
| 数字 | 内容 | ねらい |
|---|---|---|
| 3 | データを3つ持つ（元データ＋バックアップ2つ） | 1つが壊れても、残りから戻せる |
| 2 | 2種類の異なる媒体に保存する | 同じ原因で同時に壊れるのを避ける |
| 1 | 1つは別の場所に置く | 火災・地震・盗難で全滅するのを避ける |
3：データを3つ持つ
元データに加えて、バックアップを2つ作ります。バックアップが1つだけだと、いざ戻そうとしたときにそのバックアップが壊れていれば、それで終わりです。2つ目は「バックアップのバックアップ」として、最後の手段を残しておくためのものです。
2：2種類の異なる媒体に保存する
媒体の例としては、サーバーの内蔵ディスク、NAS、外付けHDD、磁気テープ（LTO）、クラウドストレージなどがあります。
同じ種類の媒体には、同じ弱点があります。同じ時期に買った同じ型のHDDは、同じ時期に寿命を迎えやすく、同じファームウェアの不具合を抱えます。媒体の種類を分けておけば、1つの原因で全部のコピーが同時に使えなくなる事態を避けられます。
1：1つは別の場所に置く
本社のサーバールームに3つとも置いていると、火災や浸水、盗難で一度にすべて失います。1つは遠隔地の拠点、データセンター、クラウドなど、物理的に離れた場所に置きます。地震の多い日本では、同じ地域のデータセンター同士だと同時に被災することも考えられるため、距離も検討材料になります。
誰が提唱したルールか
3-2-1ルールは、写真家のピーター・クロッグ氏がデジタル写真の管理術として広めた考え方が始まりとされています。その後、2012年に米国のUS-CERT（現在のCISAの前身組織の一つ）がバックアップの推奨事項として紹介し、企業のデータ保護の基本として定着しました。
なぜ今、3-2-1ルールが改めて重視されるのか
バックアップを取っていても復元できない組織が多い
冒頭のとおり、ランサムウェアの被害組織の大半はバックアップを取っていました。それでも戻せなかった理由として警察庁が挙げているのは、バックアップがネットワークにつながっていたために一緒に暗号化された事例と、運用の不備でバックアップをうまく使えなかった事例です。
つまり問題は「取っていない」ことではなく、「攻撃を受けたときに使える形で持っていない」ことにあります。
攻撃者は最初にバックアップを狙う
ランサムウェア攻撃では、侵入した攻撃者がすぐにデータを暗号化するとは限りません。ネットワークの中を調べて回り、バックアップサーバーの場所を突き止め、先にバックアップを消すか暗号化してから本番データを暗号化する手口が多く報告されています。戻せる手段を先につぶしておけば、被害組織は身代金を払うしかなくなるからです。
ここで押さえておきたいのは、3-2-1ルールがもともと機器の故障や災害、操作ミスを想定したルールだという点です。管理者の権限を奪い、意図してバックアップを探し回る攻撃者までは想定していません。だから、3-2-1を形式的に満たしているだけでは、ランサムウェアには耐えられないことがあります。
3-2-1を満たしていても復元できない4つの落とし穴
ここからが本題です。次の4つは、どれも「3-2-1は満たしている」と言える構成で起こります。
落とし穴1：3つとも同じネットワークにつながっている
本番サーバー、社内のNAS、バックアップサーバー。媒体は分かれていても、すべてが同じ社内ネットワークにつながっていれば、攻撃者からはすべて手の届く場所にあります。とくにNASを共有フォルダとして各PCに割り当てていると、PC1台の感染からNAS内のバックアップまで暗号化されることがあります。
媒体を分けることと、ネットワークから切り離すことは別物です。少なくとも1つは、通常時にはネットワークから届かない状態にしておく必要があります。
落とし穴2：クラウド同期を「オフサイト」だと思っている
社内のファイルをクラウドストレージに自動同期していて、それを「遠隔地のバックアップ」として数えているケースです。同期は、手元の変更をそのままクラウドに反映する仕組みです。手元のファイルが暗号化されれば、暗号化されたファイルが同期されます。手元で削除されれば、クラウドからも消えます。
サービスによっては過去のバージョンに戻す機能がありますが、保持期間が短かったり、大量のファイルを一括で戻すのに時間がかかったりします。同期は利便性のための仕組みであり、バックアップとは分けて考えるのが安全です。
落とし穴3：同じ管理者アカウントで全バックアップを操作できる
バックアップが3か所にあっても、ドメイン管理者のアカウント1つで、すべてのバックアップの設定画面にログインできるとしたらどうでしょうか。攻撃者が管理者の認証情報を盗めば、3つのコピーを順番に消していけます。
バックアップの管理用アカウントは業務用のドメインと分け、多要素認証をかける。バックアップの削除や保持期間の変更には、別の承認を必要にする。媒体と場所だけでなく、「誰が触れるか」も分けておくことが大切です。
落とし穴4：復元を一度も試していない
バックアップのジョブが毎晩「成功」と表示されていても、実際に戻せるとは限りません。AWSの設計指針（Well-Architected Framework）でも、バックアップが存在すれば戻せると思い込むことや、復元にかかる時間が目標の範囲内だと思い込むことを、避けるべきパターンとして挙げています。
実際に試すと、ファイルの一部が壊れていた、復元に必要な暗号鍵やライセンス情報が手元になかった、全データを戻すのに想定の何倍も時間がかかった、といった問題が見つかることがあります。本番で初めて気づくのでは遅すぎます。
ランサムウェア時代の拡張版「3-2-1-1-0」
こうした弱点を補うために、バックアップ製品ベンダーのVeeam社などが提唱しているのが「3-2-1-1-0」です。3-2-1に2つの条件を足しています。
追加の「1」：オフラインまたは書き換え不可のコピー
コピーのうち少なくとも1つを、オフライン（ネットワークから物理的に切り離した状態）にするか、イミュータブル（一定期間、誰も書き換え・削除ができない状態）にします。取り外して保管するテープや外付けHDD、削除を禁止する設定をかけたクラウドストレージなどが該当します。落とし穴1と3への直接の対策です。
「0」：復元テストでエラーをゼロにする
バックアップを定期的に実際に戻してみて、エラーがないことを確かめます。落とし穴4への対策です。
なお、3-2-1-1-0は公的な規格ではなく、業界で広まっている考え方です。名前にこだわる必要はありませんが、「隔離されたコピー」と「復元の確認」の2つは、いまのバックアップ設計では外せない要素と考えてよいでしょう。
自社の構成に当てはめる
規模別の組み合わせ例
自社の環境に近いものを出発点にしてください。あくまで一例です。
| 規模・環境 | 1つ目のバックアップ | 2つ目のバックアップ | 隔離されたコピー |
|---|---|---|---|
| 小規模（サーバー数台、情シス兼任） | 社内NASへ毎日取得 | クラウドのバックアップサービスへ複製 | 月に1回、外付けHDDに取って取り外し、社外で保管 |
| 中堅（複数拠点） | 専用のバックアップサーバー（管理アカウントは業務ドメインと分離） | 別拠点またはデータセンターへ複製 | 削除禁止設定をかけたクラウド、またはテープ |
| クラウド中心（AWSなど） | 同じリージョン内のバックアップ | 別アカウント・別リージョンへのコピー | 削除や保持期間の変更を禁止するロック機能 |
頻度と世代はRTO・RPOから逆算する
構成が決まったら、どれくらいの頻度で取り、何世代残すかを決めます。基準になるのが、どの時点まで戻せればよいか（RPO）と、どれくらいの時間で戻す必要があるか（RTO）です。たとえば「前日の終業時点まで戻せればよい」なら毎日1回、「1時間前まで」なら1時間ごとの取得が必要になります。考え方は「RTO・RPOとは」で詳しく解説しています。
ランサムウェア対策で見落とされやすいのが世代の数です。攻撃者は侵入してから暗号化するまで、数週間から数か月潜伏することがあります。直近の数日分しか残していないと、すべての世代に攻撃者の痕跡が入り込んでいて、安全な時点まで戻れないことがあります。侵入に気づくまでの期間を見込んで、古い世代も残しておくことが大切です。
今日からできる確認チェックリスト
自社のバックアップについて、次の項目を確認してみてください。1つでも「いいえ」や「分からない」があれば、そこが見直しの起点です。
- バックアップは元データとは別に2つ以上あるか
- 保存先の媒体は2種類以上に分かれているか
- 少なくとも1つは、本社とは物理的に離れた場所にあるか
- 少なくとも1つは、普段ネットワークから届かないか、削除できない設定になっているか
- クラウド同期を、バックアップとして数えていないか
- バックアップの管理アカウントは、業務用の管理者アカウントと分かれているか
- 侵入に気づくまでの期間を見込んだ世代数を残しているか
- 直近1年以内に、実際にデータを戻すテストをしたか
- そのテストで、目標とする時間内に戻せたか
よくある質問
バックアップの3-2-1-1-0とは？
従来の3-2-1ルール（データを3つ、2種類の媒体に、1つは別の場所に）に、2つの条件を加えた考え方です。追加の「1」はオフラインまたは書き換え不可のコピーを1つ持つこと、「0」は復元テストでエラーがないことを確認することを指します。ランサムウェアがバックアップまで暗号化する手口に対応するために広まりました。
3-2-1ルールの読み方は？
「スリー・ツー・ワン・ルール」と読むのが一般的です。「さん・に・いちルール」と読まれることもあり、どちらでも意味は通じます。拡張版の3-2-1-1-0は「スリー・ツー・ワン・ワン・ゼロ」と読みます。
AWSの3-2-1-1-0ルールとは？
AWSが独自に定めた公式のルール名ではなく、AWS環境で3-2-1-1-0の考え方を実現する構成を指して使われることが多い言葉です。AWS Backupでは、別のリージョンや別のアカウントへバックアップのコピーを作れるほか、「AWS Backup Vault Lock」という機能で、管理者やルートユーザーであっても保持期間中のバックアップを削除できない状態にできます。これらを組み合わせることで、隔離されたコピーを持つ構成を作れます。
バックアップのルールは？
代表的なのが、この記事で解説した3-2-1ルールです。加えて、ランサムウェアへの備えとしては、少なくとも1つのコピーをネットワークから隔離するか削除できない状態にすること、バックアップの管理権限を業務用アカウントと分けること、十分な世代を残すこと、定期的に復元テストを行うことが基本になります。
まとめ
3-2-1ルールは、データを3つ、2種類の媒体に、1つは別の場所に持つという、バックアップの基本原則です。ただし、もともとは故障や災害を想定したルールで、バックアップを狙って探し回る攻撃者までは想定していません。
ランサムウェアに備えるなら、3-2-1を満たしているかに加えて、少なくとも1つのコピーが攻撃者から届かない場所にあるか、そして実際に戻せることを確かめているかを確認してください。
バックアップは、事業を止めないための計画の一部です。どの業務を、いつまでに、どこから戻すのかという全体の設計は「BCP（事業継続計画）とは」と「ディザスタリカバリ（DR）とは」で解説しています。
SecuShardについて
株式会社SecuShardは、データを「盗まれても読めない、壊されても戻せる」状態で保管するための統合サイバーセキュリティシリーズ「ONEデジSecurity」を提供しています。
その第一弾が、セキュアファイルサーバー「ONEデジGuard」です。いま使っているファイルサーバーと置き換えて使う製品で、社員はこれまでと同じ共有フォルダを操作します。その裏側で、次の3つを1台で担います。
- 攻撃を止める： ファイル操作のふるまいからランサムウェアなどの攻撃を検知し、問題のある接続だけを遮断します
- データを守る： ファイルを暗号化したうえで6つの断片に分けて保管し、一部が盗まれても中身を読み取れない形にします
- 壊れても戻す： 6つのうち4つの断片が残っていれば元に戻せる仕組みで、保管中のデータを定期的に点検し、破損した部分を再構築します
バックアップの持ち方を見直す際の選択肢の一つとして、ご検討ください。
ONEデジSecurity（セキュリティサービス）の詳細を見る