バックアップの3-2-1ルールとは？整備工場・車販店の当てはめ方

「バックアップは取っているけれど、これで足りているのか分からない」。そう感じたときの物差しになるのが、バックアップの3-2-1ルールです。大切なデータのコピーを3つ持ち、2種類の媒体に分け、そのうち1つは事務所の外に置く、という原則です。この記事では、米国のサイバーセキュリティ機関CISAが公開している資料の原文で中身を確かめたうえで、整備工場や車販店の親機パソコン、外付けHDD、クラウドに当てはめると何が足りないのかを数え方から説明します。

バックアップの3-2-1ルールとは

3-2-1ルールは、米国のCISA（サイバーセキュリティ・インフラストラクチャ安全保障庁）のサイトに掲載されている資料「Data Backup Options」で紹介されています。この資料は2012年にカーネギーメロン大学がUS-CERT（CISAの前身組織）向けに作成したもので、バックアップを1つ保存するだけでは十分でない場合があるとして、次の3つを挙げています。

数字資料の記述（要旨）ひと言でいうと
3大切なファイルはコピーを3つ持つ。本番が1つ、バックアップが2つ本番を含めて3つ
2異なる種類の危険から守るため、2種類の媒体に保存する壊れ方の違う置き場所に分ける
11つは事務所や自宅の外に保管する建物の外に1つ

同じ資料は締めくくりでも、どの方法を選んだとしても3-2-1ルールに従うよう繰り返しています。家庭向けにも企業向けにも同じ原則を当てはめている点が、このルールが広く使われている理由の1つです。国内でも、IPAの中小企業向けガイドラインや総務省のサイトに、遠隔地での保管や複数のバックアップ手段の組み合わせといった、同じ方向の考え方が示されています。

3-2-1ルールはコピー3つ、媒体2種類、社外1つの原則

バックアップの3-2-1ルールとは、大切なデータのコピーを本番を含めて3つ持ち、2種類の異なる媒体に保存し、そのうち1つを事務所の外に置くという原則です。米国CISAのサイトに掲載された資料「Data Backup Options」（2012年、US-CERT向けにカーネギーメロン大学が作成）は、バックアップを1つ保存するだけでは十分でない場合があるとして、このルールに従うよう勧めています。整備工場に当てはめると、親機パソコンの本番データ、事務所の外付けHDD、事務所の外にあるクラウドの3か所で、3、2、1のすべてを満たせます。逆に、親機と外付けHDDだけの工場は、コピーの数も置き場所も足りていない状態です。

「3つのコピー」の数え方

3つのうち1つは、いま毎日使っている本番のデータです。親機パソコンの中にある整備システムのデータがこれに当たります。残り2つがバックアップです。

数えるときに注意したいのは、同じ場所への上書きを何回くり返しても、コピーは1つのままだという点です。毎晩同じ外付けHDDの同じフォルダに上書きしていれば、バックアップは1つしかありません。また、同じパソコンの中の別のフォルダにコピーしただけのものも、パソコンが壊れれば一緒に消えます。US-CERTの資料は、本番とバックアップを同じ内蔵ハードディスクに置くと、そのハードディスクが壊れたり盗まれたりしたときに両方を失うおそれがあると書いています。

コピーが2つあれば、片方が読めなくなっても、もう片方から戻せます。外付けHDDも機械なので、いつかは壊れます。バックアップを1つだけ持っている状態は、その1つが壊れた瞬間に手元の控えがゼロになる状態です。

同じ場所への上書きはコピー1つと数える

3-2-1ルールの「3」は、本番データ1つとバックアップ2つを合わせた数です。数えるときは、置き場所がいくつあるかで数えます。毎晩同じ外付けHDDに上書きしている場合、取った回数が何百回あってもバックアップは1つです。同じパソコンの別のドライブや別のフォルダへのコピーも、パソコンが壊れれば一緒に失われるため、独立したコピーとは言えません。米国CISA掲載の資料「Data Backup Options」も、本番とバックアップを同じ内蔵ハードディスクに置くと、故障や盗難で両方を失うおそれがあると注意しています。整備工場なら、親機の本番データに加えて、外付けHDDとクラウドのように別々の場所にある2つの控えを用意して、はじめて3つになります。

「2種類の媒体」は何と何を組み合わせるか

2種類の媒体に分ける理由について、US-CERTの資料は「異なる種類の危険から守るため」と説明しています。同じ種類の機械を2台並べても、落雷による過電流や、同じ時期に買ったものの寿命のように、同じ原因でまとめて壊れることがあるからです。

整備工場で現実的なのは、事務所の外付けHDDと、インターネットの向こうのクラウドサーバーの組み合わせです。外付けHDDは手元にあるので戻すのが速く、クラウドは事務所の電源や建物のトラブルとは関係なく残ります。どちらも記録する仕組みはハードディスクなどですが、置かれている環境や管理する人が違うので、同じ原因で同時に壊れる可能性は下がります。

車販店で在庫や顧客の管理に車両販売システムや車販ソフトを使っている場合も、考え方は同じです。整備と車販で別々のシステムを使っているなら、それぞれのデータについて2種類の媒体を確保します。

2種類の媒体は「同じ原因で壊れない組み合わせ」で選ぶ

3-2-1ルールの「2」は、バックアップを性質の違う2種類の媒体に分けて保存することです。米国CISA掲載の資料は、その理由を異なる種類の危険から守るためと説明しています。同じメーカーの外付けHDDを同じ時期に2台買って並べると、寿命が来る時期が近く、落雷や過電流でまとめて壊れることもあります。整備工場で取り入れやすいのは、事務所の外付けHDDと事務所の外にあるクラウドサーバーの組み合わせです。外付けHDDは戻すのが速く、クラウドは建物や電源のトラブルと切り離されています。媒体の種類そのものより、壊れる原因が重ならないかどうかで組み合わせを考えると、自社の機材で判断しやすくなります。

「1つは事務所の外」を満たす方法

3-2-1ルールの中で、多くの整備工場に欠けているのが最後の「1」です。浸水、火災、地震、盗難は、事務所という場所に対して起こります。同じ建物にある限り、コピーをいくつ増やしても同時に失われます。

IPAの「中小企業の情報セキュリティ対策ガイドライン」第4.0版は、バックアップを元のシステムから物理的に分離した場所に保存する「物理的隔離」を紹介し、保管先は可能な限り遠隔地が望ましいとしています。図の例には、銀行の貸金庫や、信頼できる取引先、関連会社が描かれています。総務省の「国民のためのサイバーセキュリティサイト」も、オフラインの場合はバックアップ媒体を遠隔地に運んで保管する方法、オンラインの場合は遠隔地にあるストレージにバックアップする方法を挙げ、これらは特に災害リスクへの対策になると説明しています。

方法向いている工場続けるうえでの注意
外付けHDDを自宅や別拠点に持ち帰る経営者が毎日事務所と自宅を行き来する工場持ち運び中の紛失。持ち帰りを忘れる日が出る
媒体を貸金庫や取引先に預ける預け先が近くにある工場預ける頻度が月1回などに下がりやすい
クラウドへ自動で送る人の手を増やしたくない工場回線と親機の電源が必要

日本カーネットのクラウドバックアップ機能（30日分）は、整備システムをお使いの工場向けのオプションで、親機パソコンを起動しておくだけでデータが暗号化されてクラウドサーバーへ送られます。持ち運びの手間をかけずに「1つは事務所の外」を満たせます。

「1つは社外」は持ち運びかクラウドで満たす

3-2-1ルールの「1」は、コピーのうち1つを事務所の建物の外に置くことです。浸水や火災、盗難は建物単位で起こるため、事務所の中にコピーを何本並べても、このときは同時に失われます。IPAの中小企業向けガイドライン第4.0版は、バックアップを物理的に分離した場所、それも可能な限り遠隔地に保管する方法を紹介し、銀行の貸金庫や信頼できる取引先を例に挙げています。総務省のサイトも、媒体を遠隔地に運ぶ方法と、遠隔地のストレージにオンラインで送る方法の2つを、特に災害への対策として示しています。持ち運びは毎日続けるのが難しいため、人が操作しなくても事務所の外へ送られるクラウドの仕組みを1つ持つと、この条件を安定して満たせます。

整備工場の3-2-1ルール自己チェック表

自社の状況を書き出してみます。次の表の「いまの状態」に、親機以外の保存先を当てはめてください。

確認すること満たしている例満たしていない例
コピーは本番を含めて3つあるか親機、外付けHDD、クラウド親機と外付けHDD1台だけ
2種類以上の媒体に分かれているか外付けHDDとクラウドサーバー同じ外付けHDDを2台並べている
1つは事務所の外にあるかクラウド、または毎日持ち帰る媒体全部が事務所の中
自動で取れているか親機の起動だけで送られる担当者がボタンを押す
過去の時点にも戻せるか複数回分が残っている毎回上書きで1回分だけ

下の2行は3-2-1ルールそのものには含まれませんが、実際に戻せるかどうかに直結します。上の3行が全部埋まっていても、手作業で月に1回しか取っていなければ、戻せるのは1か月前のデータです。取る頻度と残す回数の決め方はバックアップの頻度と世代管理で、保存先それぞれの長所と短所はバックアップの保存先の選び方で取り上げています。サイトのトップでも3-2-1ルールの図解を載せています。

親機と外付けHDDだけの工場は「1」が未達

整備工場で3-2-1ルールを確かめるときは、親機パソコンの本番データ以外に、どこにいくつコピーがあるかを書き出します。親機と事務所の外付けHDDだけという工場は、コピーが2つ、媒体は実質1種類、事務所の外はゼロで、3つの条件のうち満たしているものがありません。ここに事務所の外のクラウドを1つ足すと、コピーが3つ、媒体が2種類、社外が1つとなり、すべてがそろいます。そのうえで、人の操作なしで自動で取れているか、上書き1回分だけでなく過去の時点にも戻せるかの2点も表に加えて確認します。3-2-1ルールはコピーの置き方の原則で、取る頻度や残す回数までは決めていないためです。

3-2-1ルールだけでは足りない部分：世代とネットワークの分離

3-2-1ルールは置き場所の原則なので、それだけでは防げないことがあります。1つは、壊れたデータや暗号化されたデータがそのままバックアップに上書きされることです。US-CERTの資料は、最新の状態で自動的に上書きしていく方式のバックアップについて、本番ファイルの破損やマルウェアが気付かないうちにバックアップへ広がることがあると書いています。

これを補うのが世代管理です。IPAのガイドラインは、複数のタイミングにわたってバックアップを持っておけば、データが破損しても特定の時点に遡って戻せると説明しています。もう1つは、バックアップ先がネットワーク上で本番とつながったままになっていることです。総務省のサイトは、同じネットワーク上にバックアップの仕組みをつなぐと共倒れのリスクが高まるとしています。ランサムウェアへの具体的な備えは整備工場のランサムウェア対策で解説しています。

さらにもう1つ、3-2-1ルールが扱っていないのが、システムを替えるときにデータを持ち出せるかどうかです。3つのコピーがそろっていても、どれも今のシステムでしか開けない形式なら、乗り換え先では使えません。日本カーネットが運営するDataPorta（データポルタ）は、システム会社がお客様のデータを返却や移行に応じることに賛同していると示すマーク制度で、顧客、車両、伝票と車歴のヘッダー、車歴明細の4種類を返却対象データとしています。「なくさない」の3-2-1ルールと、「持ち出せる」の確認は、別々に点検しておくものです。

3-2-1ルールに世代管理とネットワーク分離を足す

3-2-1ルールはコピーの数と置き場所を決める原則で、何回分の過去の状態を残すかまでは決めていません。毎回同じ控えに上書きする方式だと、ランサムウェアで暗号化されたデータや壊れたデータが、気付かないうちにバックアップへ写り込みます。米国CISA掲載の資料も、自動で上書きを続けるバックアップは本番の破損やマルウェアを黙って広げることがあると注意しています。IPAの中小企業向けガイドライン第4.0版は、複数のタイミングにわたってバックアップを残す世代管理で、特定の時点に遡って戻せるようにする方法を示しています。あわせて総務省のサイトが勧めるように、バックアップ先を本番と同じネットワークにつなぎっぱなしにしないことも、3-2-1ルールに足しておきたい条件です。

よくある質問

3-2-1ルールの「3」に本番のデータは含まれますか？
含まれます。米国CISA掲載の資料は、本番1つとバックアップ2つで合わせて3つと説明しています。親機パソコンのデータが1つ目、外付けHDDとクラウドが2つ目と3つ目、という数え方です。
クラウドにバックアップしていれば、外付けHDDは要りませんか？
親機とクラウドだけだとコピーは2つで、3-2-1の「3」に1つ足りません。回線が止まった日や、大きなデータを急いで戻したい日には、手元の外付けHDDが役に立ちます。外付けHDDは取るときだけつなぎ、普段は外しておくと、ランサムウェアの巻き添えも避けやすくなります。
小さな工場でも3-2-1ルールは必要ですか？
パソコン1台の工場でも、そのパソコンが壊れたり事務所が浸水したりすれば、顧客や車両のデータを失う点は同じです。台数が少ない工場ほど、外付けHDD1台とクラウド1つという少ない道具で3-2-1を満たしやすいとも言えます。
自動車整備システムや整備ソフトを比較するとき、3-2-1ルールと関係はありますか？
あります。整備システム 比較の際に、システムのデータを事務所の外へ自動で控える仕組みがあるか、データをCSVなどで出力できるかを確かめておくと、導入後に3-2-1を満たしやすくなります。車両販売システムや車販ソフトも同じ観点で確認してください。
自社のバックアップが3-2-1を満たしているか見てもらえますか？
日本カーネットでは、整備システムのデータについて、保存先や取る頻度、残している回数をお聞きし、足りない部分を無料でご説明しています。無料相談フォームまたは03-5256-7877までご連絡ください。

出典・参考資料

記載内容は2026年10月6日時点で公表資料を確認したものです。法令の解釈や個別の判断が必要な場合は、専門家または所管官庁にご確認ください。

整備工場のデータは、会社の資産。

なくさないためのクラウドバックアップ機能（30日分）は、整備システム・整備ソフト DREAM POWER のオプションです。親機を起動しておくだけで自動で取得し、最新30回分を保管します。いまの保存先・頻度・世代数をお聞きして、何が変わるかを無料でご説明します。

無料相談はこちらDataPorta（データポルタ）を見る

お電話：03-5256-7877平日 9:00〜12:00・13:00〜18:00