3-2-1-1-0ルールを解説

3-2-1-1-0ルールが実際に意味すること

3-2-1-1-0ルールとは、データのコピーをいくつ、どのようなメディアに保持し、それらが実際に機能することをどう証明するかを定めたデータ保護の公式です。

• 3：データのコピー数。本番環境のコピーに加えて、少なくとも2つのバックアップを保持する。
• 2：異なる種類のメディアまたはストレージプラットフォーム。単一の技術的障害やベンダーの障害で、すべてのコピーが一度に失われることのないようにする。
• 1：オフサイトに保管するコピー。主要拠点とは地理的に離れた場所に置く。
• 1：追加のコピーとして、イミュータブルまたはエアギャップされたものを1つ保持する。管理者権限を持つ攻撃者であっても到達・改ざんできないようにする。
• 0：エラー数。すべてのバックアップを検証し、すべての復元をテストする。動作するはずだと想定するだけで済ませない。

一見すると自然な流れの数字に見えますが、追加された2つの数字、すなわち2つ目の「1」と「0」は、もともとの公式には含まれていませんでした。これらは何年も後になって、ランサムウェアがバックアップそのものを標的にするようになったことへの直接的な対応として追加されたものです。なぜこの2つが加えられたのかを理解することは、チェックリストそのもの以上に、現代のバックアップ戦略について多くを教えてくれます。

このルールの起源

名称のうち「3-2-1」の部分は、ランサムウェアが登場するよりもずっと前から存在していました。写真家のPeter Kroghが2006年の著書 The DAM Book: Digital Asset Management for Photographers の中でこの言葉を作り、ITプロフェッショナルの間で見られた実践を、システム管理者ではないのに突如としてかけがえのないデジタルアーカイブの管理責任を負うことになった現役の写真家たちでも実践できるくらいシンプルな公式へと落とし込みました。Kroghは、冗長なオフサイトコピーという根底にあるアイデア自体を発明したわけではなく、それに覚えやすい名前を与えたのです。このルールは、後に2012年のUS-CERTによるデータバックアップに関する公表資料の中で正式にKroghの功績として紹介されましたが、その時点ですでにエンタープライズITにおけるデフォルトの推奨事項となっており、現在もCISAとNISTの両方が支持する基本方針であり続けています。

もともとの3-2-1ルールは、その時代の脅威、すなわちディスク障害、火災、水害、盗難、誤削除を想定して設計されていました。その中核にあった前提は、2種類のメディアと2つの拠点に分散させた3つのデータコピーを、単一の物理的な事象で同時に破壊することは現実的にありえない、というものです。この前提は、おおよそ10年間は成立していました。

なぜ3-2-1だけでは不十分になったのか

この前提が崩れたのは、ランサムウェア攻撃者がバックアップインフラを迂回すべき障害物としてではなく、主要な標的として扱い始めたときでした。2種類のメディアに3つのコピーを持ち、1つをオフサイトに置いていても、その3つすべてが同じ侵害された本番環境の認証情報からアクセス可能であれば、3-2-1の要件自体は完全に満たしてしまいます。そしてこれこそが、現代のランサムウェアグループがまさに狙っている状況なのです。

この変化の規模は際立っています。Veeamの「2025年ランサムウェアトレンド」レポートでは、調査対象となった1,300組織のうち、89%が攻撃中にバックアップリポジトリを直接標的にされていたことが判明しました。Sophosの「2025年State of Ransomware」レポートは、調査開始から6年間で最低のバックアップ復旧率を記録しています。データ復元のためにバックアップを利用できた組織は**54%**にとどまり、攻撃者の当初の身代金要求額を上回る額を支払うことになった組織のうち、38%が直接の原因としてバックアップの失敗または不具合を挙げています。

地理的に離れた3つのコピーがあっても、その3つすべてを削除できる認証情報をすでに持っている攻撃者を止めることはできません。追加された2つの数字は、まさにこのギャップを埋めるために設計されたものです。

追加の「1」：攻撃者が本当に到達できないコピー

追加の「1」は、少なくとも1つのコピーがイミュータブルであること、つまり定められた保持期間中は変更や削除から保護されていること（通常はクラウドストレージのオブジェクトロック、Write Once Read Many（WORM）方式のハードウェア、あるいはストレージ層で保持を強制するハードニングされたリポジトリによって実現）、またはエアギャップされていること、つまり本番環境から恒常的なネットワーク経路がまったく存在しないことを求めています。

これは見た目以上に厳しい要件です。同じプロバイダーの2つのクラウドリージョンがあり、いずれも同じ管理者アカウントでアクセスできる場合、この要件は満たされません。認証情報の分離を伴わない地理的な分離は、すでにドメイン管理者権限を持つ攻撃者に対する実質的な防御にはならないからです。真に機能する実装では、迅速な復旧のためのクラウドベースのイミュータブルストレージと、イミュータブル層の管理プレーンさえも侵害されるという最悪のシナリオに備えたより深いオフラインまたはエアギャップされたコピーを組み合わせるのが一般的です。

CISAのランサムウェアガイダンスは、オフラインで暗号化されたバックアップを最後の防衛線として扱うべきだと明確に述べています。それは、侵害されたIDが到達できる被害範囲の外側に、これらのバックアップが位置しているからにほかなりません。

「0」：バックアップが実際に機能することを証明する

「0」はこのルールの運用面を担う部分であり、組織が最も省略しがちな部分でもあります。これは、未検証のバックアップをゼロにすることを求めています。つまり、緑色の「ジョブ成功」通知を監視するだけでなく、すべてのバックアップの整合性を確認し、すべての復元経路を定期的にエンドツーエンドでテストすることです。

成功を報告するバックアップジョブと、実際に機能する復元との間には大きなギャップがあり、これは十分に裏付けられています。2025年の業界調査では、62%の組織が定期的なバックアップ・復元テストの実施を怠っていたことが判明し、37%はバックアップが存在しなかった、あるいは一度も検証されていなかったために目標復旧時間内に復旧できなかったと回答しています。適切な整合性チェックやマルウェアスキャンを行わずに復元を試みると、推計で63%の組織が、そもそも障害の原因となったのと同じ感染を再び持ち込むリスクを抱えており、復旧の試みが第二のインシデントへと変わってしまいます。

「0」が存在するのは、一度も復元されたことのないバックアップは統制ではなく、単なる想定にすぎないからです。スケジュールに沿って行われ、現実的な復旧時間の目標に照らして測定される検証こそが、その想定を実際のインシデントの際に頼れる事実へと変えてくれます。

3-2-1-1-0を導入する際のよくある誤り

• 2つのクラウドリージョンを「2つのメディア」として数えること。 メディアタイプの多様性とは、同じオブジェクトストアのインスタンスを2つ持つことではなく、真に異なるストレージ技術やプラットフォームを指します。
• 追加の「1」が、単なるオフサイトコピーで満たされると考えること。 オフサイトは地理的なリスクに対応するものであり、イミュータブルまたはエアギャップは認証情報の侵害に対応するものです。本番環境とIDプレーンを共有しているオフサイトコピーは、ルール上は要件を満たしていても、この数字が追加された本来の目的であるギャップを埋めることにはなりません。
• バックアップジョブが緑色のステータスを示しているからといって「0」を省略すること。 バックアップジョブの成功は、データがどこかに書き込まれたことを確認するにすぎません。そのデータが復元可能であること、アプリケーションの整合性が保たれていること、あるいは復元を必要とさせるマルウェアが含まれていないことまでは確認できません。
• データの重要度にかかわらず、ルールを一律に適用すること。 通常、ティア1システムはアーカイブデータよりも頻繁な検証と短いRTOを必要とします。組織全体に単一の保持・テストポリシーを適用すると、たいていの場合、最も重要なシステムの保護が不十分になる一方で、それほど重要でないシステムには過剰なコストをかけることになります。

2026年においても3-2-1-1-0は十分と言えるか

多くの組織にとって、追加の「1」と「0」を単なるチェック項目としてではなく実際に運用として徹底させながら3-2-1-1-0を正しく導入することは、そもそもランサムウェアがバックアップを標的にできるようになった原因であるギャップの大部分を埋めることになります。これは今なお健全な運用上のベースラインであり、CISAとNISTの両方が引き続きその位置づけを支持しています。

このルールが不足しているのはアーキテクチャの部分です。3-2-1-1-0は「コピーの数、保管場所、状態」については答えを示しますが、攻撃を受けている状況下でもそれらのコピーが変わらぬ状態を保てるかどうかを左右するアクセスガバナンス、ネットワークセグメンテーション、継続的なモニタリングについては何も語っていません。これこそが、BackupSec独自の「Fibonacci Rule of Backup Security（5-3-2-1-1-0）」が埋めようとしているギャップであり、同じコピー数の公式の下に5つの基礎的なセキュリティ原則を追加することで実現されます。とはいえ、これから3-2-1-1-0を完全かつ検証可能な形で導入しようとしている組織にとっては、それは前提条件ではなく次のステップです。

BackupSecが果たす役割

BackupSecでは、企業のチームが自社の3-2-1-1-0の導入状況を、単なる書類上のものではなく実際に機能しているものとして検証できるよう支援しています。バックアップセキュリティを「可視化」「助言可能」「証明可能」にすることによってです。

私たちのアプローチは、3つのレイヤーを組み合わせたものです。

• ZeroMONは、バックアップ環境全体に対する継続的な可視化を提供します。リアルタイムのジョブ追跡、自動セキュリティチェック、設定ドリフトを追跡するフォレンジック監査ログ、ワンクリックのコンプライアンスレポートなど、Veeam対応のモニタリングを実現します。このレイヤーによって、ルールが求める「0エラー」という要件が、単なる願望ではなく裏付けのあるエビデンスへと変わります。
• ZeroTAMは、バックアップアーキテクチャ、イミュータビリティの設定、ランサムウェア復旧計画に特化した専門的なアドバイザリーを提供します。追加の「1」が単に地理的に離れているだけでなく、真に分離されていることを確認するために、多くの企業が必要としている「人による」レイヤーです。
• ZeroPENは、実際の攻撃者と同じ視点でバックアップインフラをペネトレーションテストします。管理プレーン、アクセス制御、イミュータビリティ設定を標的とし、さらに実際のリストアシナリオを実行することで、クリーンかつ完全に、そして規定のRTO内に復旧できることを証明します。

BackupSecはオンプレミスに導入され、読み取り専用のAPIアクセスを通じてバックアップアプリケーションに接続し、バックアップデータをお客様の環境の外へ持ち出すことは一切ありません。

BackupSecにバックアップセキュリティ体制について相談する →

自社の環境がどの水準にあるか知りたいですか？無料のBackup Security Assessmentでスコアを確認しましょう。