3-2-1ルールの意味と基本の考え方
3-2-1ルールは、特定の製品や技術に依存しないシンプルな考え方です。まずは3つの数字がそれぞれ何を意味するのか、なぜ複数の条件を組み合わせる必要があるのかを整理します。
「3・2・1」の数字が示す3つの条件
「3」はデータを3つ保持すること、「2」は2種類の異なる媒体に保存すること、「1」はそのうち1つを別の場所に保管することを指します。3つのコピーには、日常業務で使う元データ（本番データ）も含めて数えるのが一般的です。つまり、本番データに加えてバックアップを2つ用意する構成が基本形です。バックアップが1つだけでは、その保存先が壊れた時点で守りが失われます。
3つの条件は、それぞれ異なるリスクに備えています。コピーを複数持つことで誤削除や機器故障に対応でき、媒体を分けることで同じ種類の機器に共通する不具合の影響を抑えられます。さらに1つを遠隔地に置けば、火災や水害で拠点ごと被害を受けてもデータを失わずに済みます。どれか1つでも欠けると、特定の事故に対して無防備な状態が残ります。
3-2-1ルールが広まった背景
3-2-1ルールは、デジタル写真の管理方法を解説した書籍で紹介されたことをきっかけに広まったとされています。大量の写真データを長期間失わずに保管するための工夫として示されたもので、もともとは企業のIT部門だけに向けた規則ではありませんでした。複数の保存先を組み合わせ、失うリスクを分散する発想がその中心にあります。
その後、覚えやすく実践的な指針として、個人のデータ保護から企業のシステム運用まで幅広く引用されるようになりました。クラウドストレージを使えば遠隔地保管を比較的手軽に実現できる点も、実践しやすさにつながっています。現在では、バックアップ設計の出発点として多くの場面で紹介されています。業種や規模を問わず応用できる点も、支持を集める理由です。
RAIDやファイル同期だけでは条件を満たせない理由
複数のディスクにデータを分散して記録するRAID（レイド）や、クラウドとのファイル同期を導入していれば安心と考える方もいます。しかしRAIDは主にディスク故障への備えであり、誤削除や暗号化された内容もそのまま全ディスクに反映されます。そのため、独立したバックアップとしては数えられません。RAIDは、止まらずに動き続けるための仕組みと捉えるとわかりやすいでしょう。
ファイル同期サービスも同様で、手元のファイルが壊れたり暗号化されたりすると、その変更が同期先にも伝わるおそれがあります。バージョン履歴機能で過去の状態に戻せる場合もありますが、保持期間や復元できる範囲には制限があります。本番環境と切り離して管理される独立したコピーを持つことが、3-2-1ルールの前提です。
ランサムウェア対策で3-2-1ルールが見直される理由
3-2-1ルールは以前から知られた原則ですが、ランサムウェア被害の広がりによって改めて注目されています。ここでは、なぜ今この原則が重要なのか、従来の考え方にどのような要素が加わっているのかを解説します。
バックアップデータまで狙うランサムウェアの手口
ランサムウェアとは、データを暗号化して使えない状態にし、復旧と引き換えに身代金を要求する不正プログラムです。近年の攻撃では、社内ネットワークに侵入した攻撃者が管理者権限を奪い、バックアップサーバーや保存先を探し出す手口が知られています。バックアップを先に消せば、被害者を支払いに追い込みやすくなるためです。
ネットワークにつながったNAS（ネットワーク接続型ストレージ）やバックアップサーバーは、攻撃の標的になりがちです。本番環境と同じ認証情報で操作できる場合、一緒に暗号化や削除をされる危険があります。IPA（情報処理推進機構）の「情報セキュリティ10大脅威」組織編でも、ランサムウェアによる被害は上位に挙げられています。コピーの数だけでなく、攻撃者の手が届かない場所にあるかどうかが問われています。
この記事をご覧の方には、以下の記事もおすすめです。あわせて参考にしてください。
ランサムウェアからの復旧を左右するバックアップの状態
ランサムウェア被害からの復旧では、身代金を支払ったとしても確実にデータが戻る保証はありません。攻撃者が復号の手段を渡すとは限らず、支払いが次の攻撃を招く懸念も指摘されています。そのため、自社で保管しているバックアップから正常な状態に戻せるかどうかが、業務再開までの期間を大きく左右します。日頃のバックアップ運用が、そのまま復旧力の差として表れます。
警察庁の公表資料でも、バックアップを取得していたにもかかわらず、被害直前の状態まで戻せなかった事例が報告されています。同資料では、バックアップ自体も暗号化されていたことなどが、復元できなかった理由として示されています。バックアップを取得しているだけで満足せず、戻せる状態で保たれているかを定期的に確認することが重要です。
3-2-1-1-0ルールなど発展形の考え方
ランサムウェア対策を意識して、3-2-1ルールに条件を加えた「3-2-1-1-0ルール」という考え方も、バックアップ製品のベンダーなどから提唱されています。追加された「1」は、ネットワークから切り離したオフラインのコピー、または書き換えできないコピーを1つ持つことを意味します。3-2-1ルールの枠組みを残したまま、攻撃を受ける前提で守りを強めた形です。
最後の「0」は、復元テストなどで検証した結果、バックアップにエラーがない状態を指します。コピーが存在するだけでなく、実際に使えることまで確認するという発想で、バックアップの質を問う考え方です。呼び方や定義の細部は提唱する組織によって異なる場合があるため、名称よりも狙いを理解して自社の対策に取り入れることが大切です。
3-2-1ルールを自社のバックアップ構成に落とし込む方法
ここからは、3-2-1ルールを自社の環境にあてはめる具体的な方法を紹介します。保存先の組み合わせ、取得の頻度と世代、攻撃から隔離したコピーの持ち方の3点を順に決めていくと、構成を検討しやすくなります。
保存先の組み合わせ例とそれぞれの役割
中小規模の企業でよく見られるのは、本番サーバーのデータを社内のNASへバックアップし、さらにクラウドストレージへ複製する構成です。NASは復元が速く日常的な誤削除に対応しやすい一方、クラウドは遠隔地保管の役割を担います。これで「3つのデータ」「2種類の媒体」「1つの遠隔地」を満たせます。
データ量が多い企業では、クラウドの代わりにテープ媒体を使い、書き出したテープを別の拠点で保管する方法もあります。テープは保管中にネットワークから切り離されるため、オフラインのコピーとしても機能します。復元の速さや保管コスト、運用の手間を比べ、自社に合った組み合わせを選びましょう。クラウドを使う場合は、単なる同期ではなく世代を保持できるサービスかも確認が必要です。
取得頻度と保存する世代数の決め方
バックアップの頻度は、どの時点までのデータを取り戻したいかを示すRPO（目標復旧時点）から逆算して決めます。1日分のデータ消失まで許容できるなら毎日、数時間分でも困るならより短い間隔での取得が必要です。あわせて、復旧にかける時間の目安であるRTO（目標復旧時間）も定めておきます。RTOが短いほど、復元の速い保存先を手元に置く必要があります。
世代数、つまり過去のバックアップを何回分残すかも重要です。ランサムウェアは侵入から暗号化までに時間差があることもあり、直近のバックアップにすでに不正プログラムが含まれている可能性があります。日次・週次・月次など期間の異なる世代を残しておくと、感染前の状態にさかのぼって復旧しやすくなります。容量との兼ね合いも考慮しましょう。
オフラインや書き換え不可のコピーを1つ確保する
3-2-1ルールをランサムウェア対策として機能させるには、攻撃者が操作できないコピーを1つ持つことが有効です。代表的なのは、バックアップ時だけ接続し、終了後は取り外す外付けディスクやテープ媒体です。外付けディスクは、接続したままにしないよう運用ルールで徹底します。このように物理的にネットワークから切り離す方法は、エアギャップとも呼ばれます。
手作業での取り外しが難しい場合は、一定期間データの変更や削除ができないイミュータブル（不変）ストレージを使う方法もあります。一部のクラウドストレージやバックアップ製品には、保存したデータを指定期間ロックする機能が備わっています。管理者の操作でもロックを解除できない設定が可能かどうかを確認して選びましょう。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料を取り寄せて、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でサイバー攻撃対策の一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
ランサムウェア復旧に備える運用の見直しポイント
3-2-1ルールに沿った構成を整えても、運用が伴わなければいざというときに役立ちません。導入後に見落とされやすい復元テストと権限管理の2つの観点から、見直しのポイントを確認します。
定期的な復元テストで戻せることを確かめる
バックアップの有効性は、実際に復元してみなければ確かめられません。ファイル単位の復元だけでなく、サーバー全体を別の環境に戻す訓練を半期や年に1回など頻度を決め、計画的に行いましょう。手順書どおりに作業できるか、想定した時間内に終わるかを確認しておくことが大切です。結果は記録として残しておきます。
復元テストでは、担当者が不在でも他のメンバーが対応できるかどうかも確認しておくと安心です。テストで判明した問題点は、手順書やバックアップの設定に反映して改善します。こうした点検の流れを情報セキュリティの管理体制に組み込めば、担当者が交代しても継続的に運用できます。ランサムウェア被害を想定するなら、感染前の世代を選んで戻す手順も確かめておきましょう。
バックアップ環境の管理者権限と認証情報を分離する
攻撃者に管理者権限を奪われると、バックアップの設定変更やデータの削除まで実行されるおそれがあります。バックアップ管理用のアカウントは、日常業務や本番サーバーの管理に使うアカウントとは分けて運用しましょう。同じパスワードを使い回さないことも基本です。権限を持つ人数も、必要最小限に絞ることが望ましいでしょう。
管理画面へのログインには、パスワードに加えて別の要素で本人確認を行う多要素認証を設定すると、不正ログインのリスクを減らせます。バックアップサーバーを社内ネットワークから区切り、必要な通信だけを許可することも有効です。あわせて、不審な削除操作や設定変更に気づけるよう操作ログを定期的に確認しましょう。バックアップ製品に通知機能があれば、活用すると効率的です。
バックアップと併用したい侵入防止・復旧支援
バックアップによる復旧の備えとあわせて、ランサムウェアなどの不正プログラムの実行を防ぐ製品と、被害発生時の調査や復旧を支援するサービスを選びました。
AppGuard
- 定義ファイル不要の「OSプロテクト型」
- 未知・既知を問わず、高度なサイバー攻撃による侵害を未然に防止
- 端末に対して悪いコトをさせず、「攻撃の無効化」を実現
DAIKO XTECH株式会社が提供する「AppGuard」は、OS防御型のエンドポイントセキュリティ製品です。定義ファイルでマルウェアを見分けるのではなく、システムに対する有害な動作を遮断し、侵入を許しても脅威が活動しないようにします。ユーザー空間とシステム空間でのアプリケーション起動制御や、リスクの高いアプリケーションの制限、子プロセスへのポリシー自動継承などの機能を備えています。ランサムウェアに対しても、有害な活動を始める前に実行を阻止する仕組みです。
サイバーインシデント対応支援サービス （キヤノンマーケティングジャパン株式会社）
- 証拠保全・フォレンジック調査で被害状況を整理。
- 原因究明で侵入経路と情報流出を特定。
- 感染影響調査、復旧と再発防止を支援。
インシデント対応 （クラウドストライク合同会社）
- 24時間365日待機の専門家が迅速に復旧支援
- 侵害経路と影響範囲をフォレンジック調査で特定。
- AIと脅威情報で調査・判断を加速。
まとめ
3-2-1ルールは、データを3つ持ち、2種類の媒体に分け、1つを遠隔地に置くというバックアップの基本原則です。ランサムウェアがバックアップまで狙う現在では、オフラインや書き換え不可のコピーを加え、復元テストで戻せることを確かめる運用が欠かせません。まずは自社のバックアップ構成を3つの数字に照らして点検し、足りない要素から補強していきましょう。
