小規模事業のバックアップ: 3-2-1ルールは週20分で回せます

小規模事業がバックアップできている状態とは、事業の継続に必要なすべてのデータについて、2種類の記録媒体に3つのコピーを持ち、そのうち1つはオフサイトかつオフラインで保管し、さらに直近1か月以内に各コピーからファイルを実際に復元した人がいる状態です。これが英国の National Cyber Security Centre(NCSC、国家サイバーセキュリティセンター)が推奨する3-2-1ルールです。費用は月額約£10と£90程度のドライブ代で、作業は週20分で済みます。このガイドでは、何をコピーし、どこに保管し、どうテストするかを説明します。

多くの経営者は、ノートパソコンがクラウドと同期しているから大丈夫だと考えています。2026年4月に公表された政府の Cyber Security Breaches Survey によると、英国企業の43%が前年に侵害や攻撃を確認しており、小規模企業では46%でした。また74%がクラウドサービスにバックアップしています。それでも、2020年に Tuckers Solicitors がランサムウェア攻撃を受けて972,191個のファイルが暗号化されたとき、同事務所のバックアップも一緒に暗号化され、Information Commissioner は£98,000の制裁金を科しました。小規模事業のバックアップが失敗する原因は2つです。コピー元と同じネットワーク上にコピーがあること、そして誰も復元を試したことがないことです。

以下では、3-2-1の意味と考案者、小規模事業が実際にコピーすべきものの一覧、2026年10月時点の3つのコピーと費用、既存のクラウドツールが提供する保持期間、多くの会社が省略する復元テスト、そして覚えていてもいなくても週次の確認が行われるようAIエージェントに任せられる事務作業を紹介します。

評価の方法

1. まず公的ガイダンス。 ルールは、2026年4月9日に公表された NCSC の小規模組織向けガイドと、2026年7月に更新された「Offline backups in an online world」に基づいています。
2. 政府統計。 侵害とバックアップの数値は、Department for Science, Innovation and Technology の Cyber Security Breaches Survey 2025/26 によります。
3. 実際の事例。 ベンダーの怖い話ではなく、ICO の制裁通知を使っています。
4. 2026年10月24日に確認した価格。 各提供元の公式ページから、ポンド建ての場合はポンドで記載しています。
5. 一人経営でもできることだけ。 すべての手順は、ノートパソコン、外付けドライブ1台、個人向けクラウドアカウントで実行できます。

3-2-1ルールとは

データのコピーを3つ、異なる2種類の記録媒体に保存し、そのうち1つをオフサイトに置きます。この言葉は写真家の Peter Krogh が2000年代半ばに The DAM Book の初版を書く中で考案したもので、NCSC も同じ形で述べています。少なくとも3つのコピーを2つのデバイスに持ち、1つはオフサイトに置くということです。Veeam の「3-2-1-1-0」は、オフラインまたは変更不可のコピーを1つ加え、検証済みの復元でエラーをゼロにする変形です。小規模事業にとっての実践的な形は次のとおりです。

同期はバックアップではありません。ノートパソコン上のファイルが暗号化されたり削除されたりすると、同期フォルダはその被害をそのままコピーします。クラウドのバージョン履歴は元に戻すための猶予を与えてくれますが、その期間は短く、いずれ閉じてしまいます。

小規模事業が実際にコピーすべきもの

ツールを選ぶ前に一覧を作りましょう。ほとんどの会社では、思っているより短くなります。

• 会計と税務。 請求書、領収書、銀行のエクスポート、帳簿ファイルです。HMRC は、1月31日の申告期限から少なくとも5年間は記録を保管することを求めています。1年分を失うと、事務の問題だけでなく税務の問題にもなります。
• 顧客記録。 CRM のエクスポート、予約リスト、メーリングリスト、署名済みの契約書と見積書です。
• メール。 メールボックスは事業の記録です。Google Workspace と Microsoft 365 はサーバー上に保管しますが、アカウントが閉鎖されたり乗っ取られたりすると一緒に失われます。年2回エクスポートしてください。
• ウェブサイトとショップ。 データベース、商品画像、テーマ、ドメインのログイン情報です。多くのホスティング会社は独自にバックアップを持っていますが、保持期間は必ず確認してください。
• 写真とデザイン。 ロゴファイル、施工前後の写真、パンフレットのデータです。
• パスワードと鍵。 パスワードマネージャーの暗号化エクスポート、印刷した復旧コード、二要素認証のバックアップコードです。パソコンではなく、ローカルドライブと一緒に保管します。

事業を1週間で立て直すのに必要なものは、すべて一覧に入ります。仕入先から再ダウンロードできるものは入りません。

コピー1: 作業用コピーと、同期が実際に与えてくれるもの

クラウドの同期フォルダはすでに最初のコピーであり、何もないよりずっと良い備えです。主要なサービスはどれも、削除したファイルや古いバージョンをしばらく保持します。その期間を知っておくことが、取り消せるか失うかの分かれ目になります。

傾向として、ほぼどこでも既定は1か月です。金曜日にランサムウェアでファイルが暗号化され、6週間後に気づいた場合、同期サービスはすでに正常なバージョンを忘れています。そのためにコピー2とコピー3があります。

コピー2: 取り外す外付けドライブ

2 TBの外付けハードディスクを買いましょう。価格比較サイトでは2026年10月時点でおよそ£85から£100でした。あとは OS に任せます。Mac では Time Machine が無料で、ドライブをつなぐと24時間は1時間ごと、1か月は1日ごと、ディスクがいっぱいになるまでは1週間ごとにバックアップを保持します。Apple は Mac のストレージの少なくとも2倍の容量のドライブを推奨しています。Windows では、File History と内蔵のバックアップツールが同じ役割を果たします。

そして取り外してください。NCSC の小規模組織向けガイドは、使っていないときはバックアップドライブを接続したままにしないよう述べています。ランサムウェアは見えているすべてのドライブを暗号化するからです。Tuckers の事例がまさにその例で、同事務所には多要素認証がなく、重要なパッチの適用が5か月遅れ、攻撃者は他のすべてと同じネットワークを通じてバックアップに到達しました。

ドライブはノートパソコンの隣以外の場所に置きましょう。机の引き出しはパソコンの故障には備えになりますが、事務所への侵入窃盗には、車のグローブボックスや自宅のほうが備えになります。

コピー3: オフサイトで自動

3つ目のコピーは、あなたが何もしなくても作られるべきです。小規模な会社には次の2つの方法が向いています。

• バックアップサービス。 Backblaze は、1台のパソコンのデータ無制限で月額$9または年額$99です。バージョン履歴は既定で30日、有効にすれば1年分が無料です。バックグラウンドで動作し、ウェブサイトから2分で復元をテストできます。
• 保持期間の長い別のクラウド。 2 TBの iCloud+ は月額£8.99、Dropbox Standard は180日分のバージョンを保持し、ビジネス向けの Microsoft 365 はユーザーごとに OneDrive の容量をまとめます。大切なフォルダの月次コピーに使い、日々の同期アカウントとは分けておきます。

オフサイトのコピーは二段階認証と、どこにも使い回していないパスワードで守りましょう。NCSC がこれを最後の手順に挙げているのには理由があります。侵害されたメールと同じパスワードで開くバックアップアカウントは、意味のある形ではオフサイトとは言えません。

バックアップがある会社とない会社のランサムウェアの実情

Sophos の State of Ransomware 2026 レポートは、従業員100人から5,000人の2,158組織を対象に2026年1月から3月に実施した調査で、56%がデータを暗号化されたと報告しています。そのうち66%がバックアップから復元し、48%が身代金を支払い、平均復旧費用は$1.70百万、中央値は$375,000でした。2026年7月に公表された英国のサンプルでは、支払った割合が2025年の54%から2026年は18%に下がり、バックアップから復旧した割合は39%から78%に上がりました。このブログの読者の多くよりも大きな会社ですが、傾向こそが教訓です。支払った会社の大半は、復元できなかった会社でした。

NCSC は支払いを推奨していません。助言は2人の会社でも病院でも同じです。最近のオフラインバックアップを保持し、そこから復元できることを確認し、復元する前にバックアップをスキャンして問題を再インストールしないようにすることです。

誰も実行しない復元テスト

Kaseya の2025年バックアップレポートは、3,000人超の IT 専門家の回答に基づき、60%が24時間以内に復元できると考えている一方、実際に実証していたのは35%にとどまり、毎日バックアップをテストしているのは15%、毎週は25%だけだったと報告しています。小規模事業に毎日のテストは必要ありません。10分で終わる月1回のテストで十分です。

1. 先週編集したファイルを1つ選び、ノートパソコンから削除します。
2. 外付けドライブから復元し、開きます。
3. 別のファイルについて、先月のバージョンをクラウドバックアップから復元し、開きます。
4. 日付と結果を1行のログに書きます。

どちらかの手順が失敗したなら、そのバックアップは最初からバックアップではありませんでした。静かな火曜日にそれを知るなら10分で済みますが、盗難の後に知れば事業そのものを失います。

週20分の作業

• 月曜日、5分。 ドライブをつなぎ、Time Machine または File History を実行させ、ランプが消えたら取り外します。
• 月曜日、5分。 バックアップサービスを開き、最後に成功した実行日とサイズを確認します。3週間「実行中」のままのバックアップは、止まっているバックアップです。
• 月曜日、5分。 ウェブアプリの中にしかないものをエクスポートします。予約リスト、CRM の連絡先、ショップの注文などです。エクスポートはバックアップ対象のフォルダに入れます。
• 月の最初の月曜日、さらに5分。 上記の復元テストと、バックアップアカウントの二段階認証コードが今も印刷され、見つかる状態かの確認です。

AIエージェントがルールの維持を助ける方法

3-2-1の難しさは技術ではありません。同じ小さな作業を何年も毎週続けることです。それはエージェントが退屈せずにこなせる種類の仕事です。

• 週次のエクスポートを実行。 予約ツール、CRM、ショップへのアクセスをエージェントに与えると、毎週月曜日にエクスポートを取得し、日付を付けてバックアップ対象のフォルダに入れます。Jobbit のオートメーションは、パソコンを開かなくてもスケジュールどおりに動きます。
• バックアップが実際に実行されたかを確認。 バックアップサービスの状態を読み取り、開かないダッシュボードの代わりに、最後に成功した日付を1行のメッセージで知らせます。
• 復元ログを管理。 最初の月曜日にリマインドし、結果を記録し、抜けた月があれば知らせます。
• 復旧計画を作成。 各コピーの保管場所、復元に使うアカウント、コードの保管者を、最悪の日に必要になる順番で書いた1ページの文書です。
• 保持期間を監視。 Dropbox や Google がポリシーを変更したり、契約が失効したりしたとき、期間が閉じる前に知らせます。
• 最悪の場合の通知文を下書き。 ICO は72時間以内の侵害報告を求めています。あなたが事業の対応に当たる間に、エージェントが規制当局の形式で事実関係を準備します。

ChatGPT、Claude、Gemini、Microsoft Copilot、Manus、Meta の Muse は、いずれもバックアップを説明し、チェックリストを書いてくれます。しかし、1年間月曜日の作業を実行し続けることはしません。Jobbit のエージェントはスケジュールを実行し、ログを保持し、人の手が必要な作業では、ネットワークから審査済みの人を呼んでドライブの設定やショップの復旧を任せます。

最初の1週間

• 1日目: 一覧を作る。 上記の6つのカテゴリについて、それぞれがあるフォルダやアプリを書き出します。
• 2日目: ドライブを注文する。 2 TBで、知名度のあるブランドのものと、復旧コードを入れるラベル付きの封筒を用意します。
• 3日目: オフサイトのコピーを有効にする。 バックアップサービスか別のクラウドアカウントを選び、二段階認証をオンにし、パスワードはマネージャーに保存します。
• 4日目: 最初のローカルバックアップ。 完了まで待ち、取り外して保管します。
• 5日目: 最初の復元テスト。 各コピーから1ファイルずつ復元し、記録します。
• 7日目: 月曜日のリマインダーを設定する。 またはこの作業をエージェントに任せます。

次に読む

• 2026年のおすすめパスワード・プライバシーツール(1Password、Bitwarden、Proton ほか)
• 2026年のAI詐欺: 小規模事業を狙う9つの手口と見分け方
• 2026年版 小規模事業のためのAI自動化アイデア50選(事例付き)

よくある質問

3-2-1バックアップルールとは何ですか。

データのコピーを3つ、異なる2種類の記録媒体に保存し、1つをオフサイトに保管するルールです。NCSC もこの言葉で推奨しています。小規模事業の場合、ノートパソコンとその同期フォルダにある作業用コピー、使用後に取り外す外付けドライブへの週次コピー、クラウドバックアップサービスまたは別のクラウドアカウントへの自動コピーを指します。

Google Drive や OneDrive のようなクラウド同期はバックアップですか。

一部だけです。同期は削除や暗号化も含めてすべての変更をコピーするため、ノートパソコンの紛失には備えられますが、ランサムウェアや遅れて気づいた操作ミスには備えられません。Google Drive は削除したファイルを30日間、職場向けの OneDrive は93日間保持し、その後は失われます。同期はコピー1と考え、残り2つを加えてください。

小規模事業はどのくらいの頻度でバックアップすべきですか。

同期フォルダは常時、外付けドライブは週1回、オフサイトサービスは毎日自動です。復元テストは月1回行います。Kaseya の2025年調査では、1日以内に復元できると考えた組織が60%だったのに対し、実際に実証していたのは35%だけでした。

小規模事業のバックアップにはいくらかかりますか。

2026年10月の価格で、2 TBの外付けドライブが一度だけ約£85から£100、これに Backblaze の月額$9、または2 TBの iCloud+ の月額£8.99が加わります。OS のバックアップソフト(Mac の Time Machine と Windows の File History)は無料です。

バックアップがない場合、ランサムウェアの身代金を支払うべきですか。

NCSC は支払いを推奨しておらず、支払ってもデータが戻る保証はありません。Sophos の2026年英国調査では、被害を受けた会社の78%がバックアップから復旧し、支払ったのは18%で、前年の54%から減りました。取り外したドライブにあるオフラインのコピーは、そもそも支払いを判断せずに済ませる最も安い保険です。

AIエージェントにバックアップを管理してもらえますか。

毎週必要な部分を任せられます。ウェブアプリからのエクスポート、バックアップサービスが完了したかの確認、月次の復元リマインダー、ログです。Jobbit のエージェントはこれをスケジュールどおりに実行します。毎日100クレジット無料でカードは不要、現地での作業が必要なときは審査済みの人を呼びます。