バックアップ復元テストの進め方：確認項目・チェックリスト・記録例

バックアップの取得ログが「成功」になっていても、それだけでは必要な状態に戻せるかは分かりません。復元テストでは、試す対象と条件を先に決め、復元したデータの内容、業務に必要な操作、権限が期待どおりかを確かめます。この記事は一般的な進め方の解説で、特定の製品の操作手順や、実際に検証した結果を示すものではありません。

次の5つは、それぞれ別のことを確かめています。

• バックアップの設定：対象・頻度・保存先・保持期間が決まっていること。
• 取得の成功：決めた時刻にバックアップが作られ、エラーが記録されていないこと。
• 復元処理の成功：バックアップから、指定した場所へデータを戻す処理が完了したこと。
• 内容の照合：戻したデータの件数・内容・関連・添付ファイルが、期待した時点のものと合っていること。
• 業務の再開：担当者が必要な操作を行え、見せてはいけない人には見えないこと。業務を再開してよいかを、決めた人が判断できること。

ファイルが開ける、件数が合うといった一部の確認だけで、全体を合格とはしません。また、業務を戻すには、データに加えて、設定、権限、アプリケーション、添付ファイル、外部サービスとの連携などが必要な場合があります。これらがバックアップに含まれるかは製品や契約によって異なるため、対象ごとに確認します。

IPAの「中小企業のためのセキュリティインシデント対応の手引き」も、バックアップしたファイルが定期的に復元できるかを確認することを挙げています（中小企業の情報セキュリティ対策ガイドライン 第4.0版 付録8、p.4）。日頃の予防の対策は、管理者と従業員のランサムウェア対策で扱っています。

最初から全社のシステムを試す必要はありません。止まると影響が大きい業務を一つ選び、その業務を再開するために必要なデータ・ファイル・設定・権限を対象にします。対象に含めないものも書いておくと、結果の範囲が明確になります。

目標には、RTOとRPOを使います。

• RTO（目標復旧時間）：システムや業務が止まってから、使える状態に戻すまでに許容できる時間の目標。
• RPO（目標復旧時点）：障害の前のどの時点までのデータを戻せればよいか、つまり失ってよいデータの範囲の目標。

RTOとRPOは、業務の責任者と事前に決める目標です。試験で測った時間や、実際に戻せたデータの時点は、結果として別に記録し、目標と混同しません。また、バックアップの取得が終わった時刻と、そのバックアップに含まれるデータの時点、取得の間隔と実際に戻せる時点は、それぞれ別のものです。値が決まっていない場合は空欄や0にせず「未確認」と書き、誰がいつまでに決めるかを残します。

NIST SP 800-34 Rev.1も、業務が許容できる停止の時間と、RTO・RPOを分けて定義しています（NIST SP 800-34 Rev.1、p.17）。ただし、同文書は米国連邦政府の情報システム向けの指針で、その数値や要件を日本の企業へ一律に当てはめるものではありません。

試験の頻度に、すべての企業に共通する決まりはありません。業務の重要度、システムや構成の変更、契約、運用の体制に応じて決め、構成や担当者を変えた後にも確認します。手順書を読み合わせる机上の確認は準備に役立ちますが、実際に復元する試験の代わりにはなりません。

試験の前に、次の確認票で条件を整理します。記入の手がかりは、受注台帳と関連する添付ファイルを対象にする場合を想定した例です。最初から全欄が埋まっている必要はありません。分からない項目は「未確認」と書き、確認する担当と期限を書き込みます。

実行に必要な復元先、権限、手順、承認が決まっていない場合は、復元を始めずに確認を優先します。未確認の項目はすべて同じ重さではないため、試験を始める前に決めておくものと、試験の後でよいものを分け、誰が何を確認するかを決めます。確認票を埋めたことは、復元を確認したことにはなりません。

復元テストは、次の6つの段階で進めます。実際の復元の操作は、使っている製品と版の公式の手順に沿い、承認者の了承を得て行います。この記事では、共通のコマンドや操作の画面は扱いません。

1. 対象と条件を決める：確認票で、対象・目標・合格の条件・担当を決める。
2. 準備する：手順、使うデータ、元の環境と復元先を確認する。元のデータを上書きしない復元先を用意し、通知・同期・外部への送信が起きないかを確かめる。
3. バックアップと期待する結果を確認する：使うバックアップと含まれるデータの時点、照合する値（件数・合計・代表的なデータなど）を事前に記録する。
4. 合意した手順で復元する：別の環境へ復元し、開始・終了の時刻と、途中で起きたことを記録する。
5. 確認する：データの内容、業務に必要な操作、権限、かかった時間を、事前に決めた条件と比べる。
6. 記録し、次につなげる：結果と根拠、残った課題、再試験の条件と担当を残し、手順書や担当表を更新する。

NIST SP 800-34 Rev.1も、試験では目的と成功の基準を決めた計画を作り、バックアップから別の環境へシステムを復元することなどを確かめ、結果を記録するよう説明しています（3.5節）。平時の試験で、本番のデータを消したり上書きしたりして試すことはしません。

復元した後は、次の記録票に結果を残します。実際の試験のときに使うひな形で、この記事の実測結果ではありません。項目ごとに「合格」「不合格」「未確認」「対象外」を分けて書き、対象外には理由を、未確認には担当と次の確認を残します。

事前に必須とした条件が不合格または未確認のときは、ほかの項目が成功していても、チェックの数が多くても、試験全体を合格にはしません。NIST SP 800-34 Rev.1も、通常の運用へ戻す前に、復元したデータが完全で、直近のバックアップの時点まで戻っているかを確かめるデータの検証と、必要な機能を確かめる機能の検証を挙げています（4.4節）。

次の表は、受注台帳と添付ファイルの復元を想定した、結果の記入例です。

事前に決めた必須の条件をすべて確かめ、満たしていれば、その試験の範囲では合格と判断できます。ただし、一つの業務の小さな試験に合格したことは、全社のシステムを復旧できることの保証にはなりません。この記事を読んだことや確認票を埋めたことでも、自社の復旧の能力が確かめられたことにはなりません。実際に試して記録した範囲が、確認できた範囲です。

取引先のセキュリティ質問票では、「バックアップを取得している」と「復元を確認している」で根拠が異なります。回答と根拠の整理は、セキュリティチェックシートの回答方法で扱っています。

バックアップや復元を保守ベンダーやサービスの提供元に任せている場合は、次の点を確認しておきます。

• 対象と対象外：どのデータ・設定・権限がバックアップに含まれ、何が含まれないか。
• 復元先：元のデータを上書きせずに試せる復元先を用意できるか。
• 確認の方法と記録：何を確認し、結果をどの形で受け取れるか。
• 作業の分担と費用：復元の作業、業務の確認、再開の判断をそれぞれ誰が担い、費用がかかるか。
• 未確認の事項と次の予定：まだ確認していないことと、次に試す時期。

平時の復元テストと、事故が起きたときの対応は分けて準備します。事故が疑われるときに備えて、連絡先、判断する人、記録の取り方、業務を再開してよいかを判断する条件を決めておきます。IPAの手引きは、初動で被害の拡大を防ぐ一方で、不用意な操作で記録を消さないようにすること、自社での対応が難しい場合は保守ベンダーなどの外部の専門組織や公的な相談窓口に支援を求めることを示しています（付録8、p.3）。攻撃が疑われるときに、判断をしないまま初期化したり、バックアップで上書きしたり、ネットワークへ再接続したりはしません。契約している保守先や専門の窓口へ連絡し、状況を確認しながら進めます。

試験を計画する前に、次の項目が決まっているかを確認します。すべてに印が付いても、安全であることや、全社を復旧できることを示すものではありません。決まっていない項目を、誰がいつまでに決めるかを確認するために使います。