システムのバックアップとBCP｜中小企業が最低限やるべき備えと確認ポイント

システムには、顧客情報・売上・在庫など、事業の要となるデータが詰まっています。それが故障・災害・ランサムウェア・操作ミスで一瞬にして失われることは、決して珍しくありません。この記事では、なぜバックアップが必要なのか、どう備えればいいのか、そして事業を止めないための**BCP（事業継続計画）**との関係まで、専門知識がなくてもわかるように整理します。あわせて、中小企業が最低限やるべきことと、開発会社への確認ポイント・費用感もまとめます。

バックアップとは — なぜ必要なのか

バックアップとは、データの控え（コピー）を別に取っておくことです。元のデータが壊れたり消えたりしても、控えから元の状態に戻せるようにする備えです。当たり前のようでいて、いざというときに「控えが無い」「あっても古すぎて使えない」というケースは後を絶ちません。

データが失われる原因は、特別なものではなく身近にあります。主なものは次の4つです。

原因	どんなことが起きるか
機器の故障	サーバーやパソコンのハードディスクが突然壊れ、中のデータごと消える
災害	地震・火災・水害・停電で、機器そのものが使えなくなる
ランサムウェア	ウイルスにデータを勝手に暗号化され、「戻したければ金を払え」と脅される
人的ミス	誤って重要ファイルを削除・上書きする、設定を間違える

見落とされがちですが、これらは「いつか起きるかもしれない」ではなく「いつか必ず起きる」前提で考えるべきものです。特に機器は消耗品で、故障は避けられません。バックアップは、事故そのものを防ぐのではなく、事故が起きても事業を続けられるようにするための保険です。

とりわけ近年は、ランサムウェアの被害が中小企業でも増えています。攻撃の多くは特定企業を狙い撃ちにするものではなく、弱点のある機器を機械的に探して感染を広げます。「うちは小さいから狙われない」という思い込みは危険です。そして、まともなバックアップがあるかどうかが、払わずに復旧できるか、事業をたたむ瀬戸際に立たされるかの分かれ目になります。

バックアップが無いとどうなるか（一般化した例）

抽象的な話だけではイメージしにくいので、よくある失敗を一般化した例で示します（いずれも架空のケースです）。

• 例：バックアップを取っていなかったケース。 サーバーのハードディスクが故障し、過去数年分の顧客名簿と受注データが消失。復旧業者に依頼しても一部しか戻らず、取引先への対応と再入力に数週間を要した。日次バックアップがあれば、失うのは最大1日分で済んだ。
• 例：同じ場所に控えを置いていたケース。 バックアップ用のディスクを本体のすぐ隣に置いていたため、火災で本体も控えも同時に焼失。別拠点かクラウドに1つ逃がしていれば、片方は残っていた。
• 例：ランサムウェアに感染したケース。 業務データが丸ごと暗号化されたが、社内の共有フォルダに置いたバックアップも同時に暗号化され、使い物にならなかった。ネットから切り離した控えがあれば、支払わずに復旧できていた。

共通するのは、どれも特別な不運ではなく、「控えの取り方」の抜けを突かれたという点です。逆に言えば、正しく分散して持っておくだけで、多くの被害は「業務が半日止まる」程度に抑えられます。

バックアップの方法 — 頻度・世代・保存先

バックアップは「取ればいい」のではなく、どのくらいの頻度で・何世代・どこに取るかで、いざというときの戻り具合が変わります。押さえるべきは次の3点です。

頻度（どのくらいの間隔で取るか）

更新の多いデータほど、こまめに取る必要があります。1日1回なら、事故時に失うのは最大1日分。1時間ごとなら最大1時間分で済みます。「毎日更新される受注データは日次」「月1回しか変わらない資料は月次」のように、データの性質に応じて分けるのが現実的です。

世代（何回分さかのぼれるか）

最新の1つだけを上書きし続けると、壊れたデータをそのまま控えにコピーしてしまう危険があります。たとえばファイルが壊れたことに数日気づかなかった場合、上書き型だと控えも壊れた状態です。数世代を残しておけば、「壊れる前の日」まで戻れます。

保存先（どこに置くか）

同じ機器・同じ場所に置くと、災害や盗難で一度に失います。**別の機器・別の場所（別拠点やクラウド）**に置くことで、片方がダメでももう片方から戻せます。

これらを人手でやると必ず忘れが出るため、自動化が基本です。決まった時刻に自動で取得し、失敗したら通知が来る仕組みにしておけば、「取ったつもりで取れていなかった」を防げます。手動運用は、担当者の異動や多忙で止まりがちで、最も事故につながりやすいパターンです。

3-2-1ルールの考え方

バックアップの基本として広く知られているのが3-2-1ルールです。難しいものではなく、次の3つを守るという考え方です。

• 3：データは3つ持つ（元データ＋控え2つ）。
• 2：2種類の媒体に保存する（たとえば社内サーバーとクラウドなど）。
• 1：うち1つは別の場所に置く（災害で一度に失わないため）。

なぜこの形かというと、「1か所・1媒体にまとめる」ことが最大のリスクだからです。前述の火災の例のように、控えを本体の隣に置いていては、災害時に意味がありません。分散させ、性質の違う場所に逃がしておくことで、同時に全滅する確率をぐっと下げられます。

中小企業なら、たとえば「①業務システム本体のデータ、②社内の別ディスクへの日次コピー、③クラウドへの自動バックアップ」の3点セットが現実的です。クラウドを1つ組み込むだけで、「別の場所に1つ」が自動的に満たせるため、手間をかけずに3-2-1に近づけます。

復旧目標（RPO / RTO）をやさしく

バックアップの設計を決めるうえで欠かせないのが、2つの復旧目標です。言葉は難しそうですが、意味はシンプルです。

用語	意味	かみくだくと
RPO	目標復旧時点	どこまで前の状態に戻せるか（＝失ってよいデータ量）
RTO	目標復旧時間	どのくらいの時間で復旧させるか

たとえば、バックアップが1日1回なら、事故時に失うのは最大1日分の更新（RPOは1日）。復旧作業に半日かかるなら、その間は業務が止まる（RTOは半日）。この2つを先に決めると、必要なバックアップ頻度と体制が自動的に決まります。

• 「1時間分でも失いたくない」なら、頻度を上げる（RPOを短く）。
• 「止まっていい時間は1時間まで」なら、素早く切り替えられる構成にする（RTOを短く）。

ポイントは、RPO・RTOを短くするほどコストが上がるという点です。何でもかんでも「絶対に止めない・1秒も失わない」を求めると費用が跳ね上がります。だからこそ、「このデータは1日分失っても致命的でない」「この業務は半日止まっても回る」と、業務ごとに現実的な目標を決めることが大切です。これは開発会社と一緒に決めるべき、重要なすり合わせ事項です。

BCP（事業継続計画）との関係

バックアップは、より大きな枠組みである**BCP（事業継続計画）**の一部です。BCPとは、災害や大きな事故が起きても、重要な業務を止めない・早く再開するための計画のこと。バックアップが「データを守る」話なのに対し、BCPは「事業そのものを続ける」話です。

両者の関係を整理すると、次のようになります。

観点	バックアップ	BCP（事業継続計画）
守る対象	データ	事業活動そのもの
主な問い	データを戻せるか	業務を続けられるか
含むもの	控えの取得・保管・復旧	データ復旧＋代替手段・連絡体制・役割分担

たとえば、データが復旧できても、それを動かすシステムや、操作する人、連絡の取り方が決まっていなければ、業務は再開できません。BCPでは、「誰が・何を・どの順番で復旧させるか」「システムが止まっている間、どうしのぐか（紙の伝票・代替サービスなど）」まで含めて考えます。

中小企業がいきなり分厚いBCP文書を作る必要はありません。まずは**「重要な業務トップ3が止まったとき、何を・どう戻すか」を一枚の紙にまとめる**ところから始めれば十分です。その土台が、確実なバックアップです。バックアップが無ければ、どんな計画も絵に描いた餅になります。

中小企業が最低限やるべきこと（チェックリスト）

「大企業のような備えは無理」と感じるかもしれませんが、土台の数項目を押さえるだけでリスクは大きく下がります。まずここから始めましょう。

1. 重要データを洗い出す（顧客情報・売上・在庫など、失うと困るものを特定）。
2. 自動で日次バックアップを取る（手動は忘れるので自動化する）。
3. 複数世代を残す（上書きではなく、数日分さかのぼれるようにする）。
4. 1つは別の場所に置く（クラウドか別拠点へ。3-2-1の「1」）。
5. ネットから切り離した控えを持つ（ランサムウェア対策として有効）。
6. RPO・RTOを決める（どこまで戻す／どれだけで復旧するかの目標）。
7. 定期的に復旧テストをする（本当に戻せるか、年に一度は試す）。

見落とされがちなのが最後の復旧テストです。「バックアップは取っていたが、いざ戻そうとしたら手順が分からない・データが壊れていた」という失敗は非常に多いものです。取ることと戻せることは別で、一度も戻したことのないバックアップは、無いのと同じと考えるくらいがちょうどよいでしょう。年に一度、担当者を決めて実際に復旧を試し、かかった時間や手順を記録しておくと、いざというときに慌てずに済みます。

これらは一度に全部そろえる必要はありません。「まず自動の日次バックアップを1つ」「次にクラウドへ別拠点保存を1つ」と、優先度の高いものから段階的に整えていけば、無理なく守りを固められます。大切なのは、完璧を目指して手つかずのまま放置するより、不完全でも今日から1つ始めることです。

クラウドなら何が楽になるか

近年は、業務システムをクラウド上で動かす例が増えています。バックアップの観点では、クラウドには次のような利点があります。

• 自動バックアップがしやすい：定期取得の仕組みが標準で用意されていることが多い。
• 別拠点保存が自然に実現：データセンターが物理的に離れており、「別の場所に1つ」を自動で満たせる。
• 機器の故障対応が不要：ハードディスク交換などの手間を、サービス側が引き受けてくれる。
• 災害に強い：自社が被災しても、データはクラウド側に残る。

ただし、「クラウドだから絶対安全」ではありません。操作ミスでの削除、設定の誤り、契約解除にともなうデータ消失は起こり得ます。クラウドでも、世代管理や復旧手順の確認は自分たちで意識する必要があります。クラウドと自社運用（オンプレミス）のどちらが向くかは、クラウドとオンプレミスの違いもあわせてご覧ください。

要は、クラウドは**備えを「格段に楽にする道具」**であって、「考えなくてよくする魔法」ではないということです。楽になった分、復旧テストやRPO・RTOの設計といった本質的な部分に力を注げる、と捉えるのが正しい向き合い方です。

発注時に開発会社へ確認すべきこと

システムを発注・運用するとき、専門知識がなくても、次を質問できれば十分です。答え方そのものが、その会社の姿勢を映します。

• バックアップは自動で取られるか：頻度・世代・保存先を具体的に説明できるか。
• どこに控えを置くか：別拠点やクラウドなど、災害時に一度に失わない構成か。
• RPO・RTOはどう考えるか：「どこまで戻せて、どれだけで復旧するか」を一緒に決めてくれるか。
• 復旧テストはするか：定期的に「本当に戻せるか」を確認する運用があるか。
• ランサムウェア対策はあるか：切り離した控えなど、感染時に守れる仕組みがあるか。
• 保守契約に含まれるか：バックアップ・監視・復旧対応が月額に入っているか、別料金か。

バックアップの話を避ける・「取っているので大丈夫」だけで具体が出ない会社は要注意です。逆に、良い会社ほど「どのデータをどこまで守りたいか」を先に聞き、それに見合った構成を提案してくれます。保守や運用の範囲は、システムの運用・保守費用やシステムのランニングコストもあわせて確認しておくと安心です。

費用感 — バックアップ・BCPにかかるお金

「別途、高額な費用がかかるのでは」と心配されますが、基本的なバックアップの多くは、まっとうな開発・運用なら標準の工程や保守に含まれるものです。目安として次のように考えられます。

対策	費用の目安
自動バックアップの初期設定	通常は開発費・構築費に含まれる
クラウドの保存領域・別拠点保存	月額のサービス利用料に含まれることが多い
世代管理・復旧手順の整備	保守契約の範囲に含めるのが一般的
定期の復旧テスト・監視	月額の保守契約でカバーするのが一般的
高度な冗長構成（ほぼ止めない設計）	要件次第で追加費用（RTOを短くするほど高い）

金額は規模や要件で幅がありますが、共通するのは**「事故が起きてからの復旧費用」より「平常時の備え」のほうがはるかに安い**という点です。前述の例のように、バックアップが無ければ復旧業者への高額な依頼や、数週間の業務停止という形で、結局もっと大きな代償を払うことになります。

D-oneApp のシステム開発は、料金を着手前に総額で確定する体系です（スタンダード一律100万円／プロ一律200万円、追加費用なし）。バックアップの仕組みや復旧の考え方も含めて設計・見積りするため、「後から想定外のバックアップ費用が積み増される」心配がありません。成果物であるソースコードの権利もお客様に渡すため、将来的に運用先を変えたいときにも困りません。

まとめ

バックアップは、故障・災害・ランサムウェア・人的ミスといった「いつか必ず起きる事故」に備えるための保険です。取るだけでなく、頻度・世代・別拠点保存を押さえ、3-2-1ルールを目安に分散して持つこと、そしてRPO・RTOという目標を決めて、定期的に「本当に戻せるか」を確かめることが肝心です。

そして、バックアップはより大きな**BCP（事業継続計画）**の土台です。中小企業なら、重要データの自動バックアップと、別の場所への1つの控え、切り離した控えの確保、年に一度の復旧テストから始めれば十分に効果があります。クラウドを使えば備えは格段に楽になりますが、「考えなくてよくなる」わけではありません。自社に必要な備えの設計や、開発会社への確認の進め方は、無料相談でもご説明します。