バックアップの方法と3-2-1ルール｜建設会社の図面・写真
編集・発行：KMC株式会社
バックアップの基本は「3-2-1ルール」です。大事なファイルを3つ（元のデータ1つとバックアップ2つ）持ち、2種類の異なる媒体に保存し、そのうち1つは事務所の外など離れた場所に置きます。 米国のUS-CERT（国土安全保障省のサイバー対応機関）が公表した資料「Data Backup Options」は、失われたり壊れたりしたデータを取り戻せる可能性を高める方法として、このルールを紹介しています。ランサムウェア（データを暗号化して身代金を要求する不正プログラム）に備えるなら、さらにバックアップの一部をネットワークから切り離し、複数の時点のデータを残しておくことが欠かせません。
建設会社のデータには、施工中に毎日増える工事写真と図面、引渡し後も長く残す完成図や契約の記録、会計と支払いのデータが混ざっています。この記事では、3-2-1ルールを土台に、建設会社のデータの種類ごとにバックアップの取り方を整理します。
【早見表】3-2-1ルールと、ランサムウェア時代の追加点
| 項目 | 内容 | 根拠・参考 |
|---|---|---|
| 3つ持つ | 元のデータ1つとバックアップ2つ | US-CERT「Data Backup Options」 |
| 2種類の媒体 | 異なる種類の危険に備え、2種類の媒体に分ける（例：社内のNASとクラウド） | 同上 |
| 1つは離れた場所 | 1つは事務所の外に置く | 同上 |
| 切り離す | バックアップの一部をネットワークから物理的に切り離す | 警察庁はランサムウェアの暗号化対策としてオフラインバックアップを挙げている。IPAは物理的隔離を例示 |
| 世代を残す | 複数の時点のバックアップを持ち、特定の時点に戻せるようにする | IPA「中小企業の情報セキュリティ対策ガイドライン 第4.0版」 |
| 戻す練習 | 正しく復旧できることを確かめる | 同上 |
なぜ切り離しが必要なのか。警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」は、ランサムウェアの攻撃者がネットワークの内部を探索して重要データやバックアップを物色し、復旧を妨害するためにバックアップも一緒に暗号化される場合が多いと説明しています。ネットワークにつながったままのバックアップは、攻撃者から見れば「次に狙う場所」です。
IPAが示すバックアップの3段階
IPAの「中小企業の情報セキュリティ対策ガイドライン 第4.0版」は、企業の規模に関わらず必ず実行すべき「情報セキュリティ6か条」の5つ目に「バックアップを取ろう！」を挙げ、適切な運用の要点を次のように整理しています。
| 段階 | IPAが挙げる検討事項 | 建設会社での具体例 |
|---|---|---|
| 取得する | 対象を選定する、取得方法や取得日時・間隔を検討する | 図面と工事写真は毎日、会計は締めの後、作業所PCは週1回など |
| 保管する | 保管場所を検討する、世代管理を行う、保管期間を決める | 社内のNAS、クラウド、切り離した外付けストレージの3か所。日次の世代と月次の世代を分けて残す |
| 復旧する | 復旧計画を立てる、正しく復旧できることを確認する | どのデータを何日目までに戻すか決め、年に1回以上は実際に戻してみる |
同ガイドラインは、組織としての対策として、バックアップの対象と頻度を定め、遠隔地を含めた保管方法やリストア（復元）の手順書を整備することも挙げています。物理的に隔離する保管先の例として、外付けストレージやバックアップテープ、銀行の貸金庫、信頼できる取引先や関連会社が示されています。
建設会社のデータ別バックアップ設計
| データ | 特徴 | バックアップの考え方 |
|---|---|---|
| 施工中の図面・施工図・BIMのデータ | 毎日更新され、版の取り違えが問題になる | 日次で取得し、数日分以上の世代を残す。誤って上書きした版にも戻れるようにする |
| 工事写真 | 毎日大量に増え、撮り直しができない | 撮影した日のうちに会社の保存先へ集め、そこからバックアップする。端末の中だけに置かない |
| 契約書類・打合せ記録・完成図 | 引渡し後も長期の保存が必要 | 竣工時にまとめて保存し、長期保管用の世代として切り離した媒体にも残す |
| 会計・支払いのデータ | 止まると協力会社への支払いに直結する | 締めのたびに取得し、復旧の手順書を経理と共有する |
| 作業所のPCのデータ | 本社の仕組みの外に置かれがち | 作業所のPCに業務データを置かないことを原則にし、置く場合は本社の保存先に同期する |
建設業法では、営業所に備える帳簿と添付書類を、工事の目的物の引渡しから5年間（発注者と締結した住宅を新築する工事は10年間）保存することになっています。また、発注者から直接請け負った建設業者は、完成図や発注者との打合せ記録などを引渡しから10年間保存しなければなりません（建設業法施行規則第28条）。これらは電子データでの保存も認められていますが、そのデータが失われれば保存の義務を果たせません。どの図書が対象になるかは竣工図書とはで詳しく解説しています。
クラウドストレージは「バックアップ」とは限らない
図面や写真をクラウドストレージに置いていると、それでバックアップができていると考えがちです。しかし、パソコンのフォルダと自動で同期する使い方では、手元で消したファイルや暗号化されたファイルが、同期によってクラウド側でも同じ状態になることがあります。クラウドストレージを使う場合は、次の点を確かめてください。
- 削除したファイルや以前の版を、どれくらいの期間さかのぼって戻せるか
- 管理者が、利用者の操作とは別にデータを復元できるか
- 協力会社と共有しているフォルダの共有範囲が、必要な相手と期間に限られているか（IPAの6か条の4つ目「共有設定を見直そう！」）
- 管理者のアカウントに多要素認証がかかっているか（二段階認証・多要素認証とは参照）
クラウドストレージは3-2-1ルールの「2種類の媒体」「離れた場所」の役を担える便利な置き場ですが、それ1つで済ませず、切り離した媒体と組み合わせます。
戻す練習が、いざというときの差になる
IPAのガイドラインは、北陸の建設業（従業員規模20〜999名）がVPN機器から侵入されてランサムウェアに感染した事例を紹介しています。この会社は年2回の頻度でリストアの訓練をしていたこともあり、発覚から5日後にはバックアップから基幹システムを再稼働できました。それでも各社内システムの利用再開には41日かかり、社内のファイルの2割強を失ったとされています（出典は日本ネットワークセキュリティ協会の調査）。
戻す練習をしていなければ、手順書の誤りや、バックアップが途中から止まっていたことに、事故の当日に初めて気づくことになります。事故の全体の流れはランサムウェア対策と感染したらで整理しています。
【チェックリスト】今のバックアップを点検する
| 確認すること | はい・いいえ |
|---|---|
| 図面・写真・契約書類・会計データのそれぞれについて、バックアップの担当と頻度が決まっているか | |
| バックアップが3つ以上、2種類以上の媒体にあるか | |
| そのうち1つは事務所の外にあるか | |
| そのうち1つはネットワークから切り離されているか | |
| 数日前・数週間前など、複数の時点に戻せるか | |
| 竣工した工事の完成図や打合せ記録を、長期保管用に残しているか | |
| この1年以内に、バックアップから実際にファイルを戻してみたか | |
| 作業所のPCにしかないデータがないか |
「いいえ」が付いた項目から手を付けます。全部を一度に整える必要はありません。まず切り離したバックアップを1つ作り、戻せることを確かめるだけでも、ランサムウェアへの備えは大きく変わります。
よくある質問
Q. バックアップはどのくらいの頻度で取ればよいですか。 A. データの更新の頻度と、失ったときに困る範囲で決めます。IPAのガイドラインも、対象を選び、取得の方法や日時・間隔を検討するよう求めています。施工中の図面や写真のように毎日増えるものは毎日、会計のように締めで区切れるものは締めのたびに取るのが目安です。
Q. 外付けのハードディスクにコピーしていれば十分ですか。 A. つなぎっぱなしでは、ランサムウェアにまとめて暗号化されるおそれがあります。コピーが終わったら外して保管し、別の種類の媒体や事務所の外にもう1つ置くと、3-2-1ルールに近づきます。
Q. 竣工した工事のデータはいつまで残せばよいですか。 A. 建設業法施行規則では、帳簿と添付書類は原則として引渡しから5年間（住宅を新築する工事は10年間）、発注者から直接請け負った建設業者の完成図や打合せ記録などは引渡しから10年間の保存が定められています。保存期間が終わるまでは、バックアップの対象からも外さないでください。
まとめ
バックアップは、3つ持ち、2種類の媒体に分け、1つは離れた場所に置く3-2-1ルールが土台です。ランサムウェアに備えて一部を切り離し、複数の時点に戻せるようにし、実際に戻す練習をしてください。建設会社では、毎日増える図面と写真、引渡し後も長く残す記録、支払いに直結する会計データで、それぞれ取り方と残し方を変えることが、確実に戻せるバックアップへの近道です。
出典・参考
- US-CERT「Data Backup Options」（CISA掲載）: https://www.cisa.gov/sites/default/files/publications/data_backup_options.pdf
- IPA（情報処理推進機構）「中小企業の情報セキュリティ対策ガイドライン 第4.0版」（2026年3月27日）情報セキュリティ6か条、適切なバックアップ運用、掲載の事例: https://www.ipa.go.jp/security/guide/sme/about.html
- 警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」: https://www.npa.go.jp/publications/statistics/cybersecurity/index.html
- 建設業法施行規則 第26条・第28条（e-Gov法令検索）: https://laws.e-gov.go.jp/law/324M50004000014
※ 2026年10月14日時点で各資料を確認しています。
いまの課題に近いものはどれですか？
選んだお悩みに最適なサービスのご案内ページへ移動します。
2営業日以内に担当者からご連絡します。無理な営業はいたしません。
