月曜日の午前9時45分。会計用のコンピューターを開くと、請求書ファイルの代わりに、ビットコインでの支払い指示が書かれたシンプルなテキストファイルが表示される。顧客の写真も、スプレッドシートも、契約書も何も表示されない。
これは映画の脚本ではありません。毎年何千もの中小企業で実際に起こっていることであり、単なる不運な一日と大惨事を分けるのは、引き出しに忘れられたUSBメモリではなく、ちゃんとしたバックアップと災害復旧戦略が整備されていたかどうかです。
このガイドには、「定期的にバックアップを取りましょう」といった一般的なアドバイスは掲載されていません。ギリシャの中小企業が、10人ものIT部門を抱えず、予算も無制限でなくても実行できる具体的な手順、数値、そして意思決定について解説しています。
私たちは基礎から始め、実装手順へと進み、最後に中小企業で何度も繰り返される間違いについて述べて締めくくります。
⚡ クイックスタート:
- 真に重要なデータはどれか、そしてそのデータをどれくらいの速さで復旧する必要があるか（RPO/RTO）を記録してください。
- 3-2-1-1-0ルールを実装する：コピー3つ、ストレージタイプ2種類、オフサイト1つ、不変/オフライン1つ、テストリカバリでのエラーゼロ。
- バックアップは自動化しましょう。「覚えておく」だけで済むような人に任せてはいけません。
- バックアップだけでなく、復旧機能自体も少なくとも年に2回はテストしてください。
📌 目次
バックアップ戦略と災害復旧：全く異なる2つの概念
この2つの用語は混同されがちですが、実際は異なります。バックアップとは、ファイル、データベース、メールなど、データのコピーのことです。一方、災害復旧とは、深刻な問題が発生した場合にどう対処するかを定めた計画であり、ファイルだけでなく、サーバー、ネットワーク、アプリケーション、そして従業員を復旧させる方法を定めたものです。
企業は完璧なバックアップ体制を整えていても、災害復旧計画が全くない場合があります。ファイルは保存されていても、レジ、オンラインショップ、ERPシステムの復旧に何時間かかるかは分かりません。「バックアップがある」と「業務を再開できる」の間のこのギャップこそが、最大の損失につながるのです。
なぜ今これが重要なのか？ techpress.grに掲載されたCheck Pointの調査によると、2026年第1四半期だけで2.122の企業や組織がランサムウェアの被害に遭い、これは過去2番目に多い四半期被害数となった。現在、最も活動的な上位10のランサムウェアグループが被害者の71%を占めており、2025年と比較してより組織的で攻撃的な攻撃が行われていることが示唆される。
言い換えれば、もはや「もし」何かが起こった場合の話ではなく、どれだけ早く復旧できるかの話になっているのです。だからこそ、バックアップと災害復旧戦略は、別々のチェックボックスとしてではなく、一つの計画として重要になるのです。
3-2-1-1-0ルール：変わらない基本
最近まで、従来の3-2-1ルール（2種類の異なるストレージメディアに3つのデータコピーを作成し、そのうち1つをオフサイトに保管する）で十分でした。しかし、新世代のランサムウェアは、インフラストラクチャ全体を暗号化する前に、バックアップ自体を直接標的にするようになったため、業界ではさらに2つの要件が追加されました。iFeeltechが3-2-1ルールのガイドで詳しく説明しているように、それは、誰もリモートで削除できない不変またはオフラインのコピーと、テスト復旧でエラーがゼロであることです。
💡プロのヒント:バックアップが本番データと同じネットワーク上にあり、同じパスワードを使用している場合、実質的には2つ目のコピーは存在しません。他のすべてのデータと一緒に暗号化できるポイントが1つ増えるだけです。
大企業でさえバックアップの考え方を見直している。Google自身も最近、より高度な脅威に対応するためバックアップ戦略を変更した。これは、「一度バックアップすればそれで終わり」という考え方が、大手企業にとってももはや十分ではないことを示している。
導入段階では、ほとんどの中小企業はオンプレミス、クラウド、またはハイブリッドモデルのいずれかを選択します。「正しい」方法は一つではなく、各企業の規模とリスクに応じて最適な方法があります。
| モデル | 初期費用 | 回復速度 | ランサムウェア耐性 |
|---|---|---|---|
| ローカル（NAS/外付けディスク） | 低額、一回限り | 非常に速い | 常時接続の場合は低 |
| クラウドバックアップ | 毎月のサブスクリプション | 接続状況によります | 高い、特に不変ストレージの場合 |
| ハイブリッド（ローカル＋クラウド） | 中くらい | ローカルでの迅速な処理、オフサイトでの安全な処理 | 高い |
ほとんどのギリシャの中小企業にとって、ハイブリッドモデルは最適なバランスを提供します。日常的な「不運」（ディスクの破損、誤って削除したファイルなど）には迅速なローカル復旧が可能で、火災、洪水、ランサムウェアなどのシナリオにはオフサイトのクラウドコピーが利用できます。
RPOとRTO：誰もきちんと説明してくれない2つの数字
リカバリポイント目標（RPO）は、「どれだけのデータを失っても許容できるか？」という問いに答えるものです。例えば、毎晩1回バックアップを取っていて、午後5時にシステムがクラッシュした場合、RPOは丸1日分の作業時間となります。リカバリ時間目標（RTO）は、「作業が再開できるまで何時間ダウンするのか？」という別の問いに答えるものです。
実際には、中小企業の復旧テストにおいて、RTO（目標復旧時間）が大幅に過小評価されているケースが多々見られます。会計事務所は2時間で業務を再開できると考えているかもしれませんが、オフィス回線を使ってクラウドからテラバイト規模のデータをダウンロードする必要がある場合、実際には丸一日かかることもあります。
しかし、問題はそれだけではありません。すべてのシステムで同じRPO（目標復旧時点）とRTO（目標復旧時間）が必要なわけではありません。リアルタイムで注文を処理するオンラインショップでは1時間未満のRPOが必要になるかもしれませんが、古い請求書のファイルであれば24時間のRPOでも問題なく対応できます。システムごとに異なる目標を設定することで、紙上の一般的な計画ではなく、現実的なバックアップ戦略を策定できるのです。
⚠️現実確認：多くのバックアップソリューションの宣伝文句は「即時復旧」ですが、実際にはバックアップソフトウェア自体よりも、オフィスのインターネット回線の速度が実際の復旧時間（RTO）を大きく左右します。
ステップバイステップ：バックアップと災害復旧計画を6つのステップで作成
早速本題に入りましょう。中小企業が「とりあえずバックアップは用意しておこう」という段階から、いざという時に実際に機能する計画へと移行するために必要な手順は以下のとおりです。
- データインベントリ: 重要なデータがすべてどこに保存されているかを記録してください。サーバー、ノートパソコン、SaaSアプリケーション、メール、会計ソフトウェアなどです。
- システムごとのRPO/RTOの定義： 全てに共通の目標があるのではなく、各システムの重要度に応じて異なるレベルを設定する。
- 編集: 迅速な復旧にはローカルNASを、オフサイトバックアップにはクラウドストレージを組み合わせる。
- 自動化と暗号化： バックアップは、転送中および保存時の両方で暗号化を行い、スケジュールされた時間に自動的に実行される必要があります。
- 責任者の定義： 「ITチーム全体」ではなく、特定の担当者が定期的にバックアップがエラーなく完了していることを確認する必要がある。
- 回復テスト： 単に「バックアップファイルが存在するか」を確認するだけでなく、実際の復元テストをスケジュールしてください。
6番目のステップは、ほとんどの中小企業が見落としがちなステップですが、理論上の計画と実際の計画を分ける決定的なステップでもあります。プロのITサービスプロバイダーがこのプロセスをどのように実施しているかを知りたい場合は、以前ご紹介したMSPセキュリティおよびリカバリレビューのウェビナーをご覧ください。そこでは、リカバリテストがバックアップ自体と同じくらい重要であると説明されています。
ほぼすべての小規模企業が犯す5つの間違い
真実は必ずしも心地よいものではないが、はっきりと伝える必要がある。
- 同一ネットワーク上でのバックアップ（隔離なし）： 同じPCに常時接続されている外付けドライブは、深刻な問題から保護するものではありません。
- 誰も復元しようとはしない。 テストされていないバックアップは、単なる作業上の仮定であり、保証ではありません。
- 不変コピーの不在： 削除や遠隔暗号化が不可能なコピーがなければ、ランサムウェアは思うがままに活動できる。
- 責任者は特定されていません。 責任が「チームのもの」である場合、通常は誰の責任でもない。
- クラウドへの盲信： 多くの人が信じている Microsoft Microsoft 365やGoogle Workspaceは、データの完全バックアップを自動的に実行します。しかし実際には、両プロバイダーは責任共有モデルに基づいて運営されており、サービスの可用性はデータの長期的な保護を保証するものではありません。
🔄代替案:社内に技術チームがまったくない場合は、誰も定期的にチェックしない安価なツールよりも、リカバリ テストも処理するマネージド バックアップ サービスの方が理にかなっています。
ランサムウェアが2026年のバックアップのルールを変えた理由
つい最近まで、その論理は単純だった。ランサムウェアの攻撃を受けたら、バックアップから復元して対処すればよかったのだ。しかし、現代の攻撃者は、バックアップ自体が被害者の「セーフティネット」であることを知っているからこそ、まずバックアップを標的にする。
Sophosの年次報告書「State of Ransomware 2025」によると、データが暗号化された組織の97%は最終的にデータを復旧できたものの、復旧のためのバックアップの利用率は過去6年間で最低水準にまで低下した。これは、バックアップ自体が最も必要とされる時に機能しなかったり、攻撃の標的になったりすることがいかに多いかを示している。
ENISAの脅威状況報告書は、欧州連合レベルでも同様の傾向を確認している。フィッシングは依然として初期侵入の主な手段であり、回復力に関する推奨事項は、リモートコピーまたはオフラインコピーを用いた信頼性の高いバックアップ戦略に明確に焦点を当てている。
時間的な背景についても言及しておく価値があります。数年前までは、ランサムウェア攻撃は比較的断片的で、孤立したグループによるものでした。しかし今日では、元BlackBastaメンバーによる身代金要求の増加に関する記事で取り上げたように、より組織的で、ほとんどビジネスライクな構造になり、標的を絞った被害者選定や、はるかに攻撃的な交渉戦術が用いられています。
テクノイド・リアリティ：バックアップはもはや単なる「バックアップ」ではない。企業が脅迫者と交渉する際に有利な立場に立つための理由であり、そうでなければ他に選択肢がなく、支払いを強いられることになる。
ギリシャで本格的なバックアップ戦略を構築するには、どれくらいの費用がかかりますか？
費用は規模や要件によって異なりますが、あらゆる予算レベルにおいて現実的な選択肢があります。
コンピューターが数台しかない小規模企業の場合、Backblaze Business Backupのようなデバイスごとのクラウドバックアップソリューションは、公開されている価格によるとコンピューター1台あたり年間約99ドルかかります。価格は変動するため、公式サイトで最新の価格を確認することをお勧めします。自社サーバーを所有している企業の場合、Synology NASとクラウドバックアップを組み合わせることで、コストと管理のバランスが取れ、NASの初期費用は純粋なクラウドソリューションと比較して数年で回収できます。
📊 すでに Microsoft 365 や Google Workspace を使用している企業にとっては、SaaS データ専用のバックアップ サービス (Veeam、Dropsuite など) を別途検討する価値があります。なぜなら、前述のように、プラットフォーム自体がデータ損失のリスクを完全にカバーしているわけではないからです。
つい最近まで、完全なバックアップ戦略にかかる費用は、中小企業にとっては贅沢品と考えられていました。しかし今日では、ランサムウェアからの復旧費用は、大企業でも数百万ドル、ギリシャの中小企業でも数万ユーロにも達するため、「バックアップは費用に見合う価値があるか」ではなく、「バックアップがないとどれだけの損失が出るのか」が問われるようになっています。
今後の注目点：近年、クラウドストレージの価格は、新規参入プロバイダーの増加に伴い下落傾向にありますが、不変コピーの要件やより頻繁な復旧テストの実施により、運用コストが増加しています。そのため、今後12～18ヶ月間は、価格は比較的横ばい状態が続くと予想されます。
バックアップ戦略と災害復旧に関するよくある質問
バックアップと災害復旧計画の違いは何ですか？
バックアップとは、データのコピーのことです。災害復旧計画とは、重大なインシデント発生後に、サーバー、ネットワーク、アプリケーション、人員など、事業運営全体を復旧させる方法を定めた包括的なプロセスです。優れたバックアップがあっても、正常な状態に戻るまでに何時間かかるかは分からないものです。
中小企業はどのくらいの頻度でバックアップを取るべきでしょうか？
それは、どれだけのデータ損失を許容できるか、つまり各システムのRPO（目標復旧時点）によって異なります。レジやオンラインショップなどの重要なシステムは、数時間ごとにバックアップが必要になることが多い一方、アーカイブデータは、実際的な問題なく毎日または毎週のサイクルでバックアップできます。
Microsoft 365やGoogle Workspaceは、私のデータを自動的にバックアップしてくれますか？
多くの人が考えているような意味ではありません。両プラットフォームは責任共有モデルに基づいて運営されており、サービスの可用性は保証しますが、偶発的な削除、内部脅威、ランサムウェアに対する完全な保護を保証するわけではありません。完全な保護を実現するには、通常、SaaSデータ専用のバックアップソリューションが別途必要となります。
ギリシャの小規模企業にとって、基本的なバックアップ戦略にはどれくらいの費用がかかりますか？
数台のコンピューターの場合、デバイスごとのクラウドバックアップなどのソリューションは、コンピューター1台あたり年間約99ドルから利用できます。自社サーバーを所有する企業の場合、ローカルNASとクラウドバックアップを組み合わせると、初期費用は高くなりますが、長期的に見るとコストは低くなります。価格は頻繁に変更されるため、必ず公式ページで最新の価格をご確認ください。
不変バックアップとは何ですか？また、なぜそれが必要なのですか？
不変コピーとは、管理者権限を持つユーザーであっても、一定期間変更または削除できないコピーのことです。これは、インフラストラクチャ全体を暗号化する前にバックアップ自体を標的とするランサムウェアに対する唯一の有効な防御策です。
復元はどのくらいの頻度で試みるべきですか？
少なくとも年に2回は、バックアップファイルが存在するかどうかの確認だけでなく、実際に復元テストを行うのが理想的です。実際の復元テストが行われていないバックアップは、本当に必要になるまでその有効性が未知数のままです。
ランサムウェアに身代金を支払えば、必ずデータは取り戻せるのでしょうか？
定義上はそうではありません。身代金を支払っても、完全かつクリーンなデータ復旧が保証されるわけではなく、多くの場合、信頼性が高くテスト済みのバックアップから復旧する場合と比べて、復旧にかかる総コストが大幅に増加します。
オフィスに既にNASがある場合、オフサイトコピーは本当に必要でしょうか？
はい。同じ建物内のNASは、ディスクの故障や誤削除からはデータを保護しますが、火災、洪水、盗難、あるいはローカルネットワーク全体に広がるランサムウェア攻撃からは保護できません。これらの事態に対応するには、オフサイトレプリケーションが必要です。
災害復旧計画が真に評価されるポイント
文書に書き留めた時点では評価されません。評価されるのは、プレッシャーの中で、計画もなく、通常は通常の勤務時間外に、実際にそれを実行しなければならない時です。この試練を無事に乗り切る企業は、必ずしも最も高価なバックアップソフトウェアを導入している企業ではなく、実際に必要になる前に復旧プロセスをテスト済みの企業です。2026年には、ランサムウェアがまずバックアップ自体を標的にするようになるため、この違いが、危機後も事業を継続できる中小企業と、永久に廃業する中小企業を決定づけることになるでしょう。
