バックアップ（データ保護と復旧）

種類と方式

バックアップ方式は、何をコピーするか、どの頻度で実行するか、コピーをどのように編成するかによって異なる。一般的な方式には、次のものがある。

• フルバックアップ：ある時点における、選択されたすべてのファイルまたはシステムの完全なコピー。復元を簡素化できる一方、多くのリソースを必要とする。
• 増分バックアップ：あらゆる種類の前回のバックアップ以降に変更されたデータだけを取得する。ストレージ容量とバックアップに使える時間を節約できるが、最新の時点へ復元するには一連の増分データが必要となる。
• 差分バックアップ：直近のフルバックアップ以降の変更を記録する。復元には、直近のフルバックアップと最新の差分バックアップが必要である。
• スナップショット：ストレージシステムまたは仮想マシンにより提供されることが多い、ある時点のイメージ。ボリュームまたはインスタンス全体を迅速に復旧するのに有用である。
• 継続的データ保護：ほぼリアルタイムで変更を記録し、最近の状態へのきめ細かな復旧を可能にする。

バックアップは、ファイル、ブロック、またはイメージの各レベルで実行できる。システムにインストールしたエージェントベースのソフトウェアによって実装する場合もあれば、ハイパーバイザー層またはストレージ層で動作するエージェントレスのソリューションを用いる場合もある。

保管場所と媒体

相関するリスクを低減するため、バックアップコピーは多様な媒体と異なる場所に保管される。典型的な保管先には、ローカルの外付けドライブ、ネットワーク接続ストレージ（NAS）、長期アーカイブ用のテープライブラリ、二次データセンター、クラウドのオブジェクトストレージがある。多くの組織は、迅速な復元のためのオンプレミス媒体と、拠点レベルの災害に対する耐性を確保するためのオフサイトまたはクラウド上のコピーを組み合わせたハイブリッド戦略を採用している。ランサムウェアや改ざんへの保護が重要な場合は、エアギャップ型またはイミュータブルなバックアップが推奨される。

方針、保存期間、コンプライアンス

効果的なバックアッププログラムは、対象範囲、実行スケジュール、保存期間、アクセス制御、廃棄手順を定める方針によって管理される。保存規則は事業上の必要性と法令により異なり、特定の財務、医療、取引記録には法定保存要件が課されることが多い。組織は法的・規制上の義務をバックアップの保存スケジュールに対応付け、保存したデータにアクセス可能で監査できる状態を確保する。会計記録および財務記録の保存に関する指針については、会計記録の資料を参照。

目標復旧時点（RPO）や目標復旧時間（RTO）などの技術的な目標は、許容可能なデータ損失と停止時間の水準を定義するために用いられる。これらの目標は、バックアップ頻度、ストレージの階層化、および高可用性のためのレプリケーションやクラスタリングなど、補完的な対策の選択に影響する。

ベストプラクティス

• 3-2-1原則に従う。データのコピーを少なくとも3つ保持し、2種類の異なる媒体に保存し、そのうち1つをオフサイトに置く。
• 機密情報の秘匿性を保護するため、転送中および保存中のバックアップを暗号化する。
• 規制または脅威モデルが改ざん耐性を求める場合は、イミュータブルな媒体または追記型媒体を使用する。
• バックアップを自動化し、成功・失敗の指標を監視する。アラートにより、気付かれない欠落のリスクを減らせる。
• バックアップからの復元を定期的にテストし、机上演習と完全復元の両方を通じて、完全性と運用上の準備状況を検証する。
• 手順を文書化し、災害復旧計画の中で、バックアップ運用と復旧活動に明確な役割を割り当てる。

課題と動向

現代のバックアッププログラムは、データ量の増加、複雑なマルチクラウドおよびハイブリッド環境、バックアップの破壊を狙うランサムウェアなどの標的型脅威という課題に直面している。重複排除、圧縮、スナップショットベースの保護、クラウドネイティブなバックアップサービスといった技術は、コストと拡張性の管理に役立つ。サービスとしてのバックアップ（BaaS）の提供や統合アプライアンスは運用を簡素化し得るが、組織は依然として、サービス水準の保証、暗号化、保存期間が自らの要件を満たすことを検証しなければならない。機密データとバックアップの取扱いに関する運用指針については、データ保護ガイダンスのデータスチュワードシップ資料を参照。

バックアップは事業継続と災害復旧の中核的要素であるが、より広範なレジリエンス計画の必要性をなくすものではない。レプリケーションと高可用性の設計は停止時間を短縮し、バックアップは復元可能な履歴コピーと、データ破損、誤削除、悪意ある削除に対する保護を提供する。明確な方針、適切な技術、安全な保管、定期的なテストを組み合わせた均衡の取れたプログラムが、復元可能性とコンプライアンスの維持につながる。

追加の参考資料には、特定の業界に関係するベンダー文書、標準化団体、法的ガイダンスなどが含まれる場合がある。バックアッププログラムを設計または見直す際、組織はコスト、リスク許容度、規制上の義務、運用能力を考慮し、技術面と事業面の両方の要件を満たす方法を選択すべきである。