小さな事業のバックアップ：3-2-1ルールを家庭・小規模の規模に落とす

小さな事業のIT・バックオフィス公開

この記事は特定の製品の使用レビューではありません。公式仕様と公的情報をもとに整理しています。 ・仕様の取得日

結論

  • 3-2-1ルールは「コピーを3つ（原本1＋バックアップ2）、2種類の異なる媒体に、1つは別の場所に」です。米国のUS-CERT（現CISA）が公開している資料に、家庭の利用者から事業者まで共通の目安として載っています。
  • パソコン数台の事業なら、「パソコン本体（原本）＋外付けの記憶媒体＋クラウド」の3点でこの形になります。専用の機器がなくても始められます。
  • 取るだけでは半分です。外付け媒体は取り終えたら外す、クラウドは暗号化と契約内容を確認する、年に数回は実際に戻してみる、までを1セットにします。
  • IPAの「中小企業の情報セキュリティ対策ガイドライン」は2026年3月公開の第4.0版で、基本の対策を5か条から6か条に改め、「バックアップを取ろう！」を加えました。

1. 3-2-1の定義

数字定義（US-CERT “Data Backup Options”）ねらい
3重要なファイルはコピーを3つ持つ。原本1つとバックアップ2つ1つ壊れても残りがある
22種類の異なる媒体に置く同じ種類の故障・災害で同時に失わない
11つは建物の外（自宅や事業所の外）に置く火災・水害・盗難で全部を失わない

2. 媒体ごとの特徴（同資料の整理）

置き場所長所短所・注意
クラウド（遠隔地）災害や手元の機器の故障から切り離せる通信に依存する。データの管理を事業者に委ねるので、暗号化と契約内容を事前に確認する
内蔵ディスク追加の機器が要らず、更新が速い原本と同じ故障・盗難・破損の影響を受ける
取り外せる媒体（外付けディスク、USBメモリ等）パソコンから物理的に離せるので、オンラインの攻撃や過電流から守れる。自分で直接管理できる紛失・盗難に弱い。パスワード保護と暗号化をし、バックアップが終わったら外す
書き換えできない光ディスク後から書き換わらず、壊れたファイルやマルウェアを引き継がない容量が小さい。最新の状態は入らない

もう1つ、同資料が繰り返し注意しているのが「上書きしていく方式のバックアップは、原本の破損やマルウェアをそのままバックアップに広げることがある」点です。上書きの1世代だけでなく、過去の状態に戻れる設定（世代管理）があるかを確認します。

3. 小さな事業での当てはめ

手順1：守る対象を書き出す

種類例失うと困る度合い
作り直せないもの請求・会計のデータ、契約書、顧客とのやり取り、写真・制作物高
手間はかかるが戻せるもの設定、テンプレート、パスワード管理ソフトの保管庫中
再インストールで戻るものOS、アプリ本体低

クラウドの会計ソフトやオンラインストレージを使っている場合も、「そのサービスの中にしかないデータ」は原本が1つの状態です。書き出し（エクスポート）の機能があるかを、各サービスの公式ヘルプで確認します。

手順2：自分の状況に近い行から、3-2-1に割り当てる

下は当てはめ方の例です。どの行でも「原本＋手元のバックアップ＋建物の外のバックアップ」の3点になるようにします。

状況原本バックアップ1（手元）バックアップ2（建物の外）
パソコン1台。データは内蔵ディスクに収まる内蔵ディスク外付けディスク（OS標準のバックアップ機能で可。例: macOSのTime Machineは外付けストレージへ自動でバックアップする）クラウドのバックアップまたはストレージ
パソコン2〜5台。共有したいファイルがある各自のパソコン、または共有の置き場所1か所台ごとの外付けディスク、または共有の置き場所をまとめて取る外付けディスク同上。全台を対象にできるかを確認する
写真・動画などでデータ量が大きい内蔵または外付けの作業用ディスク作業用とは別の外付けディスククラウドに全部を上げるのが回線の面で難しければ、もう1台の外付けディスクを別の建物に置き、定期的に入れ替える
仕事のデータがほぼクラウドのサービス内にあるそのサービス書き出し（エクスポート）したファイルを手元のパソコンに手元のパソコンのバックアップ先（別のクラウドや外付け）

3行目で作業用も外付けディスクの場合、3つとも同じ種類の媒体になり、定義の「2種類の媒体」を満たしません。原本を内蔵ディスクに置くか、一部だけでもクラウドに置いて種類を分けます。

共有の置き場所を1か所にまとめた場合、それ自体は「原本」です。そこに置いただけではコピーは増えていません。

手順3：頻度と担当を決める

決めること目安の考え方
頻度「失っても作り直せる作業量」から逆算する。1日分が限度なら毎日
方法手動は続かないので、自動で動く設定を優先する
外付け媒体の扱い終わったら外す。持ち運ぶなら暗号化する

4. 確認表

#確認すること済
1作り直せないデータの一覧がある□
2コピーが3つある（原本＋2）□
3媒体が2種類以上ある□
41つは建物の外にある（クラウドまたは別の場所に保管）□
5外付け媒体は取り終えたら外している□
6外付け媒体とクラウドのデータが暗号化されている□
7上書き1世代だけでなく、過去の状態に戻れる□
8クラウドサービス内にしかないデータの書き出し方法を確認した□
9ファイルを1つ選んで、実際に戻せた（日付を記録）□
10クラウドのアカウントに2要素認証を設定した□

5. 復元テストの手順（記入して使う）

確認表の9は最も省かれやすい項目です。戻せることを確かめていないバックアップは、まだ「取れているはず」の段階です。バックアップ先ごとに1行ずつ、次の順で試して記録します。

  1. 作り直せないデータの中から、ファイルを1つ選ぶ（できれば数日前に更新したもの）。
  2. バックアップ先から、元の場所とは別のフォルダへ復元する（原本を上書きしないため）。
  3. 復元したファイルを開き、中身と更新日が想定どおりかを見る。
  4. 世代管理がある場合は、1つ前の状態も取り出せるかを試す。
  5. かかった時間と、つまずいた点（パスワードの所在、手順の分かりにくさ）を書き残す。
バックアップ先試した日選んだファイル開けたか前の世代も戻せたかかかった時間・メモ
外付けディスクはい／いいえはい／いいえ／対象外
クラウドはい／いいえはい／いいえ／対象外

「いいえ」が出たら、3節の手順2に戻って構成を見直します。暗号化したバックアップは、復号のパスワードが手元のパソコン以外の場所にも控えてあるかを、このときに確かめます。

→ パスワード管理と2要素認証の進め方

6. 向き・不向き

  • 顧客の個人情報や健康情報など機微なデータを大量に扱う場合は、保管場所と暗号化の要件が変わります。同資料も、機微なデータは保護の必要性を先に評価するよう求めています。業界のガイドラインや契約上の取り決めを優先してください。

出典（取得日: 2026-09-20）