中小企業のバックアップ復元確認表｜対象・担当・確認日を残す

「バックアップは毎日成功している」と分かっていても、必要なデータを戻せるかは別の確認です。業務停止の場面で初めて手順を探すことがないよう、対象、担当、戻す場所、結果を一枚に整理します。この記事は特定製品の設定手順ではなく、担当者と保守先が一緒に確認するための運用表です。

IPAの中小企業の情報セキュリティ対策ガイドライン第4.0版は「バックアップを取ろう！」を基本対策に加えています。同ガイドライン本文は、目標復旧時間（RTO）と目標復旧時点（RPO）に合わせた取得・手順整備と、訓練による実効性の検証を示しています。自社の目標値は業務や契約に応じて決めるもので、一律の数字は置けません。

最初に「何を戻せないと困るか」を決める

共有ファイル、会計データ、顧客対応に必要な情報などを、業務が止まる順に挙げます。保存場所が分からないもの、クラウドサービス側にどこまで復元機能があるか未確認のものは、できていると見なさず「未確認」と書きます。バックアップの取得日時だけでなく、戻したい時点と業務再開までに許される時間も担当者と話し合います。

表にパスワードや秘密鍵、顧客データそのものは記入しません。管理者が不明なら、復元テストの前に権限と契約先を確認します。

本番データを上書きしない確認から始める

復元確認を始める前に、対象、作業時間、テスト用の復元先、戻し方を合意します。可能なら少量の非機密テストデータや、適切に扱えるデータのコピーを使い、本番の保存先を上書きせずに取り出せるかを確かめます。製品・サービスによって操作と影響範囲が異なるため、実際の手順は提供元の資料と保守契約に従います。障害や侵害が疑われるときは、通常の練習として本番に戻さず、社内の対応手順と専門窓口を優先します。

成功・失敗の二択にせず、「取得は成功したが復元は未実施」「ファイルは取り出せたが業務で開けるか未確認」も分けて残します。クラウドに保存されていることだけでは、自社が必要な時点のデータを取り出せるとは限りません。

そのまま使える結果欄

次は説明用の架空の記入例であり、実際の復元実績ではありません。

実際にテストした場合は、実施日時、利用した世代、かかった時間、開けた範囲、失敗した箇所を記録します。確認した範囲だけを「確認済み」とし、全システムを復元できると一般化しません。

相談へつなげる

「バックアップの有無」から一歩進め、何をいつまでに戻したいか、試せる場所があるか、誰が実施できるかを整理すると、保守先や外部専門家に依頼する内容が明確になります。未確認点はセキュリティ相談前の準備シートにまとめてください。最初の優先順位から考える場合は中小企業の最初の30日点検も参照できます。

参考資料

• IPA：中小企業の情報セキュリティ対策ガイドライン
• IPA：同ガイドライン第4.0版本文