ランサムウェアに感染しても、バックアップがあれば復旧できる。 しかし、そのバックアップがランサムウェアと一緒に暗号化されてしまったら？ IPA「情報セキュリティ10大脅威 2026」でランサムウェアが 11年連続1位 にランクインする中、「バックアップを取っている」だけでは不十分だ。3-2-1ルール に基づくバックアップ戦略こそが、最後の防衛線になる。

3-2-1ルールとは

3-2-1ルールは、データバックアップの 世界標準 として広く採用されている原則だ。

ルール意味理由
3 つのコピー元データ + バックアップ2つ1つが壊れても2つ目がある
2 種類の媒体異なるストレージに保管同じ障害で同時に失われない
1 つはオフサイトネットワークから切り離した場所ランサムウェアが届かない

なぜ「普通のバックアップ」では足りないのか

バックアップ方式ランサムウェア耐性問題点
同じサーバーにバックアップ×ランサムウェアがバックアップも暗号化
NASにバックアップ△ネットワーク経由で暗号化される可能性
クラウドのみ△同期型だと暗号化ファイルが同期される
3-2-1ルール◎オフサイトコピーはランサムウェアが到達不能

中小企業向け 3-2-1ルール実践パターン

パターンA：最小構成（月額1万円〜）

コピー媒体場所コスト目安
① 元データ社内サーバー/PCオフィス—
② バックアップ1外付けHDD/NASオフィス（別の物理機器）HDD 1万〜3万円
③ バックアップ2クラウドストレージオフサイト（クラウド）月額1万円〜
おすすめ対象： 従業員10名以下、データ量 500GB以下

パターンB：標準構成（月額3万〜8万円）

コピー媒体場所コスト目安
① 元データ社内サーバーオフィス—
② バックアップ1NAS（RAID構成）オフィス（サーバーと別ラック）NAS 5万〜15万円
③ バックアップ2クラウドバックアップサービスオフサイト月額3万〜8万円
おすすめ対象： 従業員10〜50名、データ量 1TB〜5TB

パターンC：堅牢構成（月額10万円〜）

コピー媒体場所コスト目安
① 元データ社内サーバーオフィス—
② バックアップ1バックアップ専用サーバー（イミュータブル）オフィス20万〜50万円
③ バックアップ2クラウド + テープ/オフラインHDDオフサイト（2箇所）月額10万円〜
おすすめ対象： 従業員50名以上、重要データを扱う業種（金融、医療、製造業）

構築の5ステップ

ステップ1：バックアップ対象を特定する

すべてのデータをバックアップする必要はない。「失ったら業務が止まるデータ」 を優先する。

優先度データ種別例
最優先業務データ会計データ、顧客DB、受発注データ
高設定・構成情報サーバー設定、ネットワーク構成
中ドキュメント契約書、設計図、マニュアル
低一時ファイルダウンロードファイル、キャッシュ

ステップ2：バックアップのスケジュールを決める

データの重要度バックアップ頻度保持期間
最優先毎日（差分） + 週1回（フル）30日以上
高毎日（差分）14日以上
中週1回7日以上
重要： ランサムウェアの潜伏期間（感染から暗号化まで）は平均 11日 とされている。バックアップの保持期間が短すぎると、すべてのバックアップが感染後のデータになる可能性がある。最低2週間分 は保持すべきだ。

ステップ3：オフサイトバックアップを設定する

3-2-1ルールの 最も重要なポイント がオフサイトバックアップだ。

方式メリットデメリット
クラウドバックアップ自動化しやすい、災害対策にもなる月額費用、データ量で費用増
オフラインHDD定期搬出ランサムウェア到達不能、低コスト手動作業、搬出頻度に依存
テープバックアップ大容量、長期保存に向く復旧に時間がかかる
中小企業のおすすめ： クラウドバックアップ + 月1回のオフラインHDD搬出の組み合わせ。

ステップ4：復旧テストを実施する

バックアップは 「復旧できてはじめて意味がある」。

  • 四半期に1回、バックアップからの復旧テストを実施
  • 復旧にかかる時間（RTO）を計測・記録
  • 復旧したデータの整合性を確認

ステップ5：バックアップの監視・アラートを設定する

バックアップジョブの失敗に気づかないまま数週間が経過——これは中小企業で頻繁に起きる問題だ。

  • バックアップ 失敗時のメール/Slackアラート を設定
  • 成功ログの定期確認 を運用ルールに組み込む

「バックアップ体制を見直したい」と思ったら

現在のバックアップ構成の診断から、3-2-1ルールに基づく設計・導入まで支援します。

バックアップ体制の無料相談を予約する

※ 営業電話はしません ｜ オンライン対応可 ｜ 相談だけでもOK

おすすめのバックアップツール・サービス

ツール/サービス種別月額目安特徴
Veeam Backupオンプレ+クラウド3万円〜イミュータブルバックアップ対応
Acronis Cyber Protect統合型500円/台〜バックアップ+EDR一体型
AWS Backupクラウド従量課金AWSユーザー向け、自動化容易
Backblaze B2クラウドストレージ$6/TB/月低コスト、S3互換
QNAP/Synology NASローカルNAS初期5万〜15万円RAID+クラウド同期

補助金でバックアップ環境を整備する

「デジタル化・AI導入補助金2026」の セキュリティ対策推進枠 で、バックアップソリューションの導入費用が補助される。

項目内容
補助率1/2以内
補助金額5万〜100万円
対象バックアップソフトウェア、クラウドサービス利用料
1次締切2026年5月12日（火）17:00

よくある質問

Q. クラウドストレージ（Google Drive, OneDrive）にファイルを同期しているが、これは3-2-1ルールを満たすか？ A. 同期型クラウドストレージだけでは不十分です。ランサムウェアがファイルを暗号化すると、暗号化されたファイルがクラウドにも同期されます。バージョン履歴機能がある場合は一部復旧可能 ですが、専用のバックアップサービスの方が確実です。

Q. バックアップの頻度はどのくらいが適切か？ A. 業務データは毎日を推奨します。「昨日の状態に戻れれば業務を再開できるか？」が判断基準です。

Q. 外付けHDDに毎日バックアップしているが、十分か？ A. 外付けHDDが常にPCに接続されている場合、ランサムウェアに暗号化されるリスクがあります。バックアップ後にHDDを取り外す、または接続時間を最小限にする 運用が必要です。

まとめ

項目ポイント
3-2-1ルール3コピー、2種類の媒体、1つはオフサイト
最小コスト月額1万円〜（クラウド+外付けHDD）
最重要ポイントオフサイトバックアップ（ランサムウェアが到達不能な場所）
見落としがちな点復旧テスト、バックアップ監視、保持期間（最低2週間）
補助金セキュリティ対策推進枠で最大100万円
ランサムウェア対策の 最後の砦 がバックアップだ。3-2-1ルールは、中小企業でも月1万円から始められる。

ランサムウェアに備えるバックアップ体制、一緒に構築しませんか？

現状診断から、3-2-1ルールに基づく設計、ツール選定、補助金申請まで、ワンストップで対応します。

バックアップ対策の無料相談を予約する

※ まずは現状の診断から ｜ オンライン完結OK

GXO実務追記: サイバーセキュリティで発注前に確認すべきこと

この記事のテーマは、単なるトレンド紹介ではなく、自社で最初に塞ぐべきリスク、外部診断の範囲、初動体制を決めるための検討材料です。検索で情報収集している段階でも、発注前に次の観点を整理しておくと、見積もりのブレ、手戻り、ベンダー依存を減らせます。

まず決めるべき3つの論点

論点確認する内容未整理のまま進めた場合のリスク
目的売上拡大、工数削減、リスク低減、顧客体験改善のどれを優先するか成果指標が曖昧になり、PoCや開発が終わっても投資判断できない
範囲対象部署、対象業務、対象データ、対象システムをどこまで含めるか見積もりが膨らむ、または重要な連携が後から漏れる
体制自社責任者、現場担当、ベンダー、保守運用者をどう置くか要件確認が遅れ、納期遅延や品質低下につながる

費用・期間・体制の目安

フェーズ期間目安主な成果物GXOが見るポイント
事前診断1〜2週間課題整理、現行確認、投資判断メモ目的と範囲が商談前に整理されているか
要件定義 / 設計3〜6週間要件一覧、RFP、概算見積、ロードマップ見積比較できる粒度になっているか
PoC / MVP1〜3ヶ月検証環境、効果測定、リスク評価本番化判断に必要な数値が取れるか
本番導入3〜6ヶ月本番環境、運用設計、教育、改善計画導入後の運用責任と改善サイクルがあるか

発注前チェックリスト

  • [ ] 重要システムと個人情報の所在を棚卸ししたか
  • [ ] VPN、管理画面、クラウド管理者の多要素認証を必須化したか
  • [ ] バックアップの世代数、復旧時間、復旧訓練の実施日を確認したか
  • [ ] 脆弱性診断の対象をWeb、API、クラウド、社内ネットワークに分けたか
  • [ ] EDR/MDR/SOCの必要性を、監視できる人員と照らして判断したか
  • [ ] インシデント時の連絡先、意思決定者、広報/法務/顧客対応を決めたか

参考にすべき一次情報・公的情報

上記の一次情報は、社内稟議やベンダー比較の根拠として使えます。一方で、公開情報だけでは自社の現行システム、業務フロー、データ状態、予算制約までは判断できません。記事で一般論を把握した後は、自社条件に落とした診断が必要です。

GXOに相談するタイミング

次のいずれかに当てはまる場合は、記事を読み進めるだけでなく、早めに相談した方が安全です。

  • 見積もり依頼前に、要件やRFPの粒度を整えたい
  • 既存ベンダーの提案が妥当か第三者視点で確認したい
  • 補助金、AI、セキュリティ、レガシー刷新が絡み、判断軸が複雑になっている
  • 社内稟議で費用対効果、リスク、ロードマップを説明する必要がある
  • PoCや診断で終わらせず、本番導入と運用改善まで進めたい

バックアップ3-2-1ルール実践ガイド｜ランサムウェアから会社を守る方法【2026年版】を自社条件で診断したい方へ

GXOが、現状整理、RFP/要件定義、費用対効果、ベンダー比較、導入ロードマップまで実務目線で確認します。記事の一般論を、自社の投資判断に使える形へ落とし込みます。

セキュリティ初期診断を相談する

※ 初回相談では営業資料の説明よりも、現状・課題・判断材料の整理を優先します。