SCS評価制度★3のバックアップ要件とは？遠隔地バックアップとリストア手順書の作り方

「SCS評価制度の★3でバックアップが求められているけど、今のバックアップで足りているの？」と不安に感じていませんか。

結論から言うと、★3のバックアップで確認されるのは次の3つです。

対象・頻度・保管期間を決めてバックアップを取っていること
重要な機密情報は、離れた場所にもバックアップしていること（遠隔地バックアップ）
バックアップ対象ごとにリストア（戻し方）の手順書があること

「NASにコピーしているから大丈夫」と思っていても、ルールや手順書がないと基準を満たせません。この記事では、★3の評価基準の原文をもとに、中小企業がバックアップで準備すべきことを解説します。

この記事でわかること

★3のバックアップに関する3つの評価基準
遠隔地バックアップの考え方と現実的な方法
リストア手順書に書くべき内容
ランサムウェアに備えるときの注意点

私は情報処理安全確保支援士の資格を持つセキュリティマネージャーで、勤務先で★3の評価基準のチェックを完了しています。SCS評価制度の全体像はSCS評価制度とは？★3の要求事項と中小企業がやることを解説をご覧ください。

Contents

★3のバックアップに関する評価基準
ステップ1：対象・頻度・保管期間を決める（4-3-4-1）
1. クラウドサービスのデータも忘れずに
ステップ2：重要な機密情報は遠隔地にもバックアップする（4-3-4-2）
ステップ3：リストア手順書を作る（4-3-4-3）
1. 年に1回はリストアを試す
ランサムウェアに備えるときの注意点
まとめ

★3のバックアップに関する評価基準

バックアップは、★3の要求事項「4-3-4 適切なバックアップ」で求められています。評価基準は次の3つです。

評価基準	原文
4-3-4-1	取得対象、取得頻度及び保管期間を定めて自社で取り扱うデータのバックアップを取得すること。
4-3-4-2	重要な機密情報については、No.4-3-4-1におけるバックアップに加えて、遠隔地バックアップを実施すること。
4-3-4-3	バックアップ対象ごとにリストア手順書を整備すること。

また、復旧に関する要求事項「7-1-1 事業継続要件に沿った復旧準備」では、事業上重要なシステムについて目標とする復旧レベルを決め、そこまで回復するための準備をすることが求められています。バックアップは、この復旧準備の中心になる対策です。

ステップ1：対象・頻度・保管期間を決める（4-3-4-1）

まず、何を、どのくらいの頻度で、いつまで残すかを表にします。

対象	取得頻度	保管期間	保存先
ファイルサーバ（共有フォルダ）	毎日	30日分	社内NAS＋クラウド
会計・販売管理データ	毎日	1年分	社内NAS＋クラウド
サーバのシステム全体	毎週	4世代	外付けディスク
Microsoft 365などのクラウドデータ	サービスの保持機能を確認	サービスの仕様に従う	クラウド

表の数字は一例です。「何日前の状態まで戻せれば業務が困らないか」「どれくらい前のデータまで戻したいか」を、業務の担当者と一緒に決めるのがポイントです。

クラウドサービスのデータも忘れずに

Microsoft 365やGoogle Workspaceにはごみ箱や版の管理がありますが、保持期間には限りがあり、誤削除やアカウントの乗っ取りによる一括削除に備えたバックアップとは性質が異なります。クラウドのデータもバックアップ対象に含めるかどうかを検討し、含めない場合はその理由を記録しておきましょう。