災害でパソコンやサーバーが壊れたとき、バックアップがあっても「どの業務から戻すか」「誰が復元するか」が決まっていなければ、復旧は止まります。中小企業のデータ対策は、重要業務の優先順位を決め、複数の場所へ保存し、実際に戻せることを試すところまでが一組です。
最初に復旧する業務を決める
中小企業庁の中小企業BCP策定運用指針は、中核事業を特定し、財務、顧客、社会的な要請などから優先順位を判断する考え方を示しています。データも容量の大きさではなく、止まると顧客対応や資金繰りに影響する業務から復旧対象を決めます。
| 優先度の例 | 業務の例 | 先に戻すデータの例 |
|---|---|---|
| A | 従業員・顧客への緊急連絡 | 連絡先、担当表、対応記録 |
| B | 受注、請求、入出金 | 進行案件、請求・会計データ |
| C | 通常の社内管理 | 過去資料、参考ファイル |
この区分と順番は法令上の一律基準ではなく、会社が決めるための例です。「いつまでに、どの業務を、最低どの水準まで戻すか」を業務ごとに書き、必要なデータ、機器、アカウント、担当者をひも付けます。
バックアップは3-2-1で分散する
IPAは日常における情報セキュリティ対策で、普段使うデータに加えて二つのバックアップを持ち、二つの異なる媒体に保存し、そのうち一つを離れた場所で保管する「3-2-1ルール」を紹介しています。同じ事務所内のパソコンと外付けディスクだけでは、浸水、火災、盗難で同時に失うおそれがあります。
- 稼働データ：日常業務で使うパソコン、サーバー、クラウド
- 近くのバックアップ：復旧を急ぐための外付け媒体や別装置。バックアップ時以外は接続を外す
- 離れた場所のバックアップ：別拠点またはクラウド。多要素認証や閲覧権限も設定する
クラウドの同期機能を使う場合も、削除や上書きが別端末へ反映される仕様、過去版の保存期間、復元方法を確認します。「クラウドにある」だけでバックアップ済みとは判断せず、元データとは別に戻せる状態を作ります。
バックアップ台帳に残す項目
IPAの中小企業の情報セキュリティ対策ガイドライン第4.0版は、対象となる機器・データ、方法、保存媒体、頻度を決めて文書化し、重要情報を定期的にバックアップするよう示しています。小規模な会社でも、次の内容を一枚の台帳にまとめると引継ぎやすくなります。
- 対象業務と対象データ
- 保存先と保存方法
- 実施頻度と最終成功日時
- 担当者と代行者
- 復元手順、必要な機器・アカウント
- 保管期限と廃棄方法
頻度は一律に決めず、失っても許容できる期間から逆算します。例えば、前日分を失うと請求や納期に大きな影響が出るデータは毎日、それほど変わらない資料は週次など、業務への影響に合わせます。
復元テストで「戻せる」を確認する
バックアップ処理が成功と表示されても、ファイルの破損、パスワード不明、権限不足、復元ソフトの不足で使えないことがあります。IPAの同ガイドラインも、バックアップしたデータを復元できることの定期的な確認を求めています。
中小企業庁のBCP訓練の解説でも、電子データや文書のバックアップを取り出し、代替システムを起動して正常に機能するかを確認する訓練が示されています。訓練では代表ファイルだけでなく、優先度Aの業務を代替端末で開始できるところまで試します。
- バックアップから復元する日付とデータを選ぶ
- 通常業務へ影響しない代替端末や検証場所へ戻す
- ファイルが開くか、検索・更新できるかを担当者が確認する
- 所要時間、失敗箇所、足りないパスワードや手順を記録する
- 台帳と手順を直し、担当者不在でも再実行できるようにする
発災後は安全確認から順に復旧する
- 人命、建物、電源、機器の安全を確認し、危険な機器へ通電しない
- 被害範囲と利用可能な端末・回線を確認する
- 責任者が復元する時点と対象を決め、元データを上書きしない
- 代替環境へ優先度Aから復元し、内容と利用権限を確認する
- 業務再開時刻、戻せなかった情報、暫定対応を記録して関係者へ伝える
最初の一歩は、重要業務を一つ選び、そのデータの保存先と復元担当者を書き出すことです。分散保存と復元テストを繰り返せば、バックアップは「あるはずのデータ」から「災害時に使える手順」へ変わります。
一次資料と情報確認日
情報確認日：2026年8月15日。サービスの保存期間や復元機能は契約によって異なるため、利用中のサービスの最新仕様も確認してください。
