バックアップ

CISAの3-2-1ルールは、大切なファイルをすべて3つずつコピーし、2種類の記録媒体に置き、1つは家や職場以外の場所に保管するよう求めています。

もとは写真家のために書かれたルール

背景このルールは、たいていのクラウドサービスより古いものです。ピーター・クローは2009年、『The DAM Book』第2版で写真家のためにこれを書きとめました。ポール・ルジェーロとマシュー・ヘカソーンがUS-CERT（現在はCISAの一部）のために書いた2012年の文書は、このルールを家庭の利用者と企業に広げました。CISAは今も、小規模事業者向けの助言で同じ3つの数字をくり返しています。

その2012年の文書『Data Backup Options（データバックアップの選択肢）』は、デジタル資産管理についてのクローの本を出典として挙げ、ルールを3つの部分で示しています。大切なファイルは3つのコピーを持つ。原本と2つのバックアップです。2種類の異なる媒体に置く。1種類の故障で両方を失わないようにするためで、たとえばパソコン本体のディスクと外付けドライブ、または外付けドライブとオンラインストレージです。1つのコピーは家や職場から離れた場所に保管する。火事、洪水、盗難で一度にすべてのコピーを失わないようにするためです。

2012年のUS-CERTの文書『Data Backup Options』にある3-2-1ルール。現在はCISAが公開しています。

ファイルが消えるさまざまな道すじ

ファイルはいろいろな形で失われます。ノートパソコンを落としたり盗まれたりする、ドライブが寿命をむかえる、キーボードにコーヒーをこぼす、まちがってファイルを消す、ランサムウェアにすべてを暗号化される。ランサムウェアは、デバイスのファイルを暗号化して使えなくするマルウェアで、それを動かす犯罪者は鍵と引きかえに支払いを要求します。最近ではさらに、先にデータをコピーして、公開すると脅すことも増えています。よいバックアップがあれば、これらはすべて大惨事ではなく、ちょっとした不便ですみます。CISAのStopRansomwareの手引きは簡単にこう言います。バックアップがいちばんの手だ。

まず、取りかえのきかないものを書き出しましょう。CISAの小規模事業者向けの助言はまさにその一覧作りから始まり、家庭でも同じ方法が使えます。写真と動画、契約書や証明書などの書類、学校の課題、そしてデバイスをなくしたあとに必要になるアカウントとリカバリーコードの一覧。プログラムは入れ直せますが、これらのファイルはそうはいきません。

同期フォルダーがバックアップではない理由

ファイルがクラウドに同期されているから、バックアップされていると思いこむ人はたくさんいます。CISAのランサムウェアの手引きは、自動のクラウド同期だけでは足りないかもしれないと警告しています。パソコンのファイルが攻撃者に暗号化されると、暗号化された版がクラウドに同期され、正常なコピーを上書きしてしまうことがあります。削除も同じように同期されます。本当のバックアップは、もどれる古い版を残しています。CISAの企業向けの助言は、少なくとも7日前までデータをもどせるようにすることで、多くのオンラインストレージやバックアップツールが版の履歴を残しているのもそのためです。自分のものがどこまでさかのぼれるか確かめましょう。

同じ手引きから、さらに2つの習慣が出てきます。少なくとも1つのバックアップはオフラインにしておきましょう。たとえば、バックアップのときだけつないで、終わったら外す外付けドライブです。ランサムウェアは届くバックアップを探して、それも暗号化したり削除したりするからです。バックアップは暗号化で守りましょう。家の外に持ち出すものは特にそうです。そして試しましょう。一度も復元したことのないバックアップは、計画ではなく願いにすぎません。数か月ごとにいくつかのファイルを選び、実際に復元して開けるか確かめましょう。

よくある間違い

「写真はクラウドに同期されているから、バックアップされている。」 同期はまちがいもコピーします。暗号化されたファイルや削除されたファイルも同期され、正常なコピーを上書きすることがあります。もどれるのは版の履歴か別のバックアップがあるときだけで、CISAは企業に、少なくとも7日前までもどせるようにすることをすすめています。
「つないだままの外付けドライブは安全なバックアップだ。」 ランサムウェアは届くバックアップを探して、暗号化したり削除したりします。バックアップのときにドライブをつなぎ、終わったら外しましょう。
「バックアップアプリに緑のチェックが出ているから、ちゃんと動いている。」 それを証明するのは復元だけです。チェックは何も証明しません。数か月ごとに、本物のファイルをいくつか復元して開いてみましょう。
「同じ引き出しにノートパソコンとUSBメモリー2本があれば3-2-1を満たす。」 それで2種類の媒体に3つのコピーができますが、すべて1か所にあります。火事や盗難ですべてを失います。そのためにあるのが「1」、別の場所に置くコピーです。

先生からひとこと一覧作りから始めましょう。バックアップの計画は、取りかえのきかないファイルを学習者が3つ挙げられるまでは抽象的なままなので、まずそれをたずねます。3-2-1の数字は覚えやすいものの、当てはめまちがえやすいものです。コードの練習では、コピーを数えるだけでなく、「2種類」と「1つは別の場所」の確認を学習者に書かせます。同期とバックアップのちがいは、言うより見せるのがいちばんです。同期フォルダーの試しのファイルを消し、もう1台のデバイスからも消えるのを見せましょう。

3	大切なファイルのコピー：原本と2つのバックアップ
2	異なる種類の記録媒体
1	離れた場所に保管するコピー
ランサムウェア	ファイルを暗号化して支払いを要求するマルウェア
オフラインのバックアップ	使ったあとに切りはなすので、マルウェアが届かない
復元テスト	実際にファイルをいくつか復元して、バックアップが使えることを確かめる

ポイント

3-2-1：コピーは3つ、媒体は2種類、1つは離れた場所に。
同期はまちがいもランサムウェアもコピーする。版の履歴を残す。
バックアップの1つはオフラインに。家の外に出すバックアップは暗号化する。
数か月ごとに本物のファイルを復元して試す。

3-2-1ルールでは、大切なファイルのコピーを原本も含めていくつ持つべきですか？
「2」は何を表していますか？
- 2種類の異なる記録媒体
- 1日に2回のバックアップ
- 2つのパスワード
- 同じ部屋にある2台のパソコン
1つのコピーを離れた場所に置くのはなぜですか？
- 火事、洪水、盗難ですべてのコピーを失わないようにするため
- 速いから
- どのアプリでも必須だから
- 電気を節約するため
クラウド同期だけではバックアップにならないのはなぜですか？
- 暗号化や削除されたファイルも同期され、正常なコピーを上書きしうるから
- クラウドはいつもオフラインだから
- 同期で古い写真が消えるから
- 同期は夜にしか動かないから
少なくとも1つのバックアップをオフラインにするべきなのはなぜですか？
- ランサムウェアは届くバックアップを探して暗号化するから
- オフラインのドライブのほうが安いから
- 復元が速いから
- オンラインのバックアップは違法だから
CISAは企業に、少なくとも何日前までデータをもどせるようにすることをすすめていますか？
バックアップが使えることのいちばんの証明は何ですか？
- いくつかのファイルを復元して開く
- アプリの緑のチェック
- バックアップドライブが温かい
- ファイルの大きさが似ている
3-2-1を満たしている計画はどれですか？
- ノートパソコンのディスク、家の外付けドライブ、オンラインストレージ
- 同じ引き出しにあるノートパソコンのディスクとUSBメモリー2本
- ノートパソコンの中の3つのフォルダー
- 友だちの家に置いた外付けドライブ1台
バックアップの手順を、筋の通った順に並べましょう。

このコースの出典 (13)

(checked 2026-10-17; reordered 2026-10-19: standards and law first, then official agency guidance, then technical documentation, history last)
Standard: NIST SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management (pages.nist.gov/800-63-4/sp800-63b.html, final 31 July 2025 per the csrc.nist.gov document history (Date Published: July 2025), checked 2026-10-17: sec. 3.1.1.2 password rules, 3.1.3.3 PSTN restricted, 3.2.5 phishing resistance, Appendix B syncable authenticators)
Law: 개인정보 보호법 제2조 (국가법령정보센터, law.go.kr)
Official agency guidance: CISA Secure Our World: Use Strong Passwords, Turn on MFA, Recognize and Report Phishing, Update Software, and tip sheets (cisa.gov/secure-our-world, checked 2026-10-17)
CISA, More than a Password (cisa.gov/MFA) and fact sheet Implementing Phishing-Resistant MFA (2022)
checked 2026-10-17
CISA #StopRansomware Guide (checked 2026-10-17)
CISA, Back Up Business Data and Data Backup Options (Ruggiero and Heckathorn, 2012, Carnegie Mellon University, produced for US-CERT, which CISA retired into CISA.gov on 24 February 2023; 3-2-1 rule) (checked 2026-10-17)
KISA, 118 상담 서비스 (kisa.or.kr/118, checked 2026-10-17)
KISA 보호나라 스미싱 확인서비스 (boho.or.kr, checked 2026-10-17)
KISA 개인정보침해 신고센터 (privacy.kisa.or.kr, checked 2026-10-17)
Technical documentation: MDN Web Docs, Passkeys (developer.mozilla.org/en-US/docs/Web/Security/Authentication/Passkeys, checked 2026-10-17) and autocomplete attribute (checked 2026-10-17)
No product is recommended. Every code exercise was checked with a Playwright probe against a reference solution.

確認日: 2026-10-17