3-2-1-1-0ルールが実際に定めていること
3-2-1-1-0ルールは、データのコピーをいくつ保持し、どのような種類のメディアに保存し、それらが実際に機能することをどう証明するかを定めたデータ保護の公式です。
- 3：データのコピーを3つ持つこと。本番データに加えて、少なくとも2つのバックアップです。
- 2：2種類の異なるメディアまたはストレージプラットフォームを使うこと。1つの技術的障害やベンダー側の障害で、すべてのコピーが同時に失われないようにします。
- 1：1つのコピーをオフサイトに保管すること。プライマリサイトから地理的に離れた場所に置きます。
- 1：イミュータブルまたはエアギャップされたコピーをさらに1つ追加すること。管理者認証情報を持つ攻撃者であっても、変更することも到達することもできないコピーです。
- 0：エラーを0にすること。すべてのバックアップを検証し、リストアをテストします。「動くはずだ」と想定するだけでは不十分です。
最初の3つの数字は従来の3-2-1ルールです。2つ目の「1」と「0」は後から加わりました。Veeamはルールを「extended the rule to 3-2-1-1-0」（訳：ルールを3-2-1-1-0に拡張した）と述べ、コピーを1つ追加した理由として「ransomware increasingly targets backups」（訳：ランサムウェアはますますバックアップを標的にしている）とはっきり説明しています。なぜこの2つの数字が加えられたのかを理解すると、チェックリストだけを見るよりも、現代のバックアップ戦略について多くのことがわかります。
ルールの起源
名称の「3-2-1」の部分は、ランサムウェアが主要な脅威となるより前から存在していました。この名称は、写真家Peter Krogh氏と、その著書『The DAM Book: Digital Asset Management for Photographers』に由来するとされています。冗長なコピーをオフサイトに置くという考え方自体をKrogh氏が発明したわけではありません。同氏は、その考え方に覚えやすい名前を付けたのです。
一般に参照されるのは、US-CERTのために2012年に書かれた論文Data Backup Optionsです。この論文はルールを「Keep 3 copies of any important file: 1 primary and 2 backups」（訳：重要なファイルはすべて3つのコピーを保持する。1つはプライマリ、2つはバックアップ）、「Keep the files on 2 different media types to protect against different types of hazards」（訳：さまざまな種類の災害に備え、ファイルを2種類の異なるメディアに保存する）、「Store 1 copy offsite」（訳：1つのコピーをオフサイトに保管する）と記述し、その出典としてKrogh氏の著書の2009年の第2版を挙げています。
同じ基本原則は現在のガイダンスにも残っています。NISTのCybersecurity Framework 2.0は、「Backups of data are created, protected, maintained, and tested」（訳：データのバックアップが作成、保護、維持、テストされている）という成果（PR.DS-11）を挙げています。CISAの#StopRansomware Guideは、組織に対して「maintain offline, encrypted backups of critical data, and regularly test the availability and integrity of backups in a disaster recovery scenario」（訳：重要データのオフラインかつ暗号化されたバックアップを維持し、災害復旧シナリオにおいてバックアップの可用性と完全性を定期的にテストする）よう求めています。
当初の3-2-1ルールは、その時代の脅威、つまりディスク障害、火災、洪水、盗難、誤削除を想定して設計されていました。その中核にある前提は、2種類のメディアと2つの拠点に分散した3つのデータコピーを、単一の物理的事象がまとめて破壊することは現実的に考えにくい、というものでした。
3-2-1だけでは不十分になった理由
この前提は、ランサムウェアの攻撃者がバックアップ基盤を「回避すべき障害物」ではなく「主要な標的」として扱い始めたときに崩れました。2種類のメディアに3つのコピーがあり、そのうち1つがオフサイトにあれば、3つすべてが同じ侵害された認証情報で到達可能であっても、3-2-1ルールは完全に満たされます。そして、それこそが現代のランサムウェアグループが探し求めるシナリオです。CISAのガイドもはっきりとこう述べています。「most ransomware actors attempt to find and subsequently delete or encrypt accessible backups to make restoration impossible unless the ransom is paid」（訳：ほとんどのランサムウェア攻撃者は、アクセス可能なバックアップを見つけ出して削除または暗号化し、身代金が支払われない限り復元できない状態にしようとする）。
調査データも同じ方向を示しています。Veeamの2025 Ransomware Trends Reportは1,300組織を対象とした調査に基づいており、そのうち900組織が過去12か月間にランサムウェアの被害を受けていました。このレポートによると、攻撃を受けた組織の89%で、脅威アクターにバックアップリポジトリが標的にされ、平均してバックアップリポジトリの34%が変更または削除されていました。SophosのState of Ransomware 2025は、ランサムウェアの被害を受けた組織のITおよびサイバーセキュリティ責任者3,400人を対象とした調査で、データを暗号化された組織のうち、バックアップを使って復元したのは54%にとどまったことを明らかにしました。Sophosはこれを過去6年間で最も低い割合としています。また、同調査で攻撃者の当初の要求額を上回る金額を支払った151組織のうち、38%がバックアップが失敗した、または正常に機能しなかったと回答しています。
地理的に分離された3つのコピーも、3つすべてを削除できる認証情報をすでに持っている攻撃者を止めることはできません。追加された2つの数字は、このギャップを埋めるために設けられたものです。
追加の「1」：攻撃者が本当に到達できないコピーを1つ
追加の「1」は、イミュータブルまたはエアギャップされたコピーを少なくとも1つ持つことを求めます。イミュータブルとは、定められた保持期間中は変更も削除もできないよう保護されていることを意味し、通常はクラウドのオブジェクトストレージのObject Lock、WORM（Write Once Read Many）ハードウェア、あるいはストレージ層で保持を強制する強化リポジトリ（hardened repository）によって実現されます。エアギャップとは、本番環境からそのコピーへの常時接続のネットワーク経路がまったく存在しないことを意味します。
これは一見した印象よりも厳しい要件です。同じプロバイダーの2つのクラウドリージョンは、どちらも同じ管理者アカウントで到達できるのであれば、この要件を満たしません。認証情報の分離を伴わない地理的な分離では、すでにドメイン管理者権限を持っている攻撃者から身を守れないからです。CISAはクラウドバックアップについて関連する指摘をしており、「in case all accounts under the same vendor are impacted」（訳：同一ベンダー配下のすべてのアカウントが影響を受けた場合に備えて）マルチクラウドのアプローチを提案しています。より強固な実装では、迅速な復旧のためのイミュータブルなクラウドストレージと、最悪のケース、つまりイミュータブル層の管理プレーンまでもが侵害された場合に備えたオフラインまたはエアギャップされたコピーを組み合わせることがよくあります。
イミュータビリティにもトレードオフがあります。CISAのガイドは、一部のクラウドベンダーが別環境を用意せずにデータを保護できるイミュータブルストレージを提供していることに触れたうえで、次のように警告しています。「Use immutable storage with caution as it does not meet compliance criteria for certain regulations and misconfiguration can impose significant cost」（訳：イミュータブルストレージは慎重に使用すること。特定の規制のコンプライアンス基準を満たさず、設定ミスによって多大なコストが生じる可能性がある）。
「0」：バックアップが実際に機能することを証明する
「0」はこのルールの運用面を担う部分であり、最も省略されやすい部分でもあります。求められているのは、未検証のバックアップをゼロにすることです。すべてのバックアップの完全性をチェックし、すべてのリストア経路をエンドツーエンドで定期的にテストします。緑色の「ジョブ成功」通知を監視するだけでは足りません。Veeamはこの数字を「zero recovery errors」（訳：リカバリエラーゼロ）と説明し、CISAの表現では「regularly test the availability and integrity of backups」（訳：バックアップの可用性と完全性を定期的にテストする）となります。
バックアップジョブの成功と、クリーンなリストアは別物です。Veeamの2024 Ransomware Trends Reportによると、調査対象となった攻撃被害組織のうち、リカバリ時に何らかのサンドボックスを使用したのは37%にすぎませんでした。復旧したデータを本番環境に戻す前にスキャンするステージング領域がなければ、リストアによって攻撃者のマルウェアまで一緒に戻してしまい、復旧作業が2度目のインシデントになりかねません。
「0」が存在するのは、一度もリストアしたことのないバックアップは統制（コントロール）ではないからです。それは単なる想定です。定期的に実施され、現実的な目標復旧時間と照らして評価される検証こそが、その想定を実際のインシデント時に頼れる事実に変えます。
3-2-1-1-0を実装する際のよくある間違い
- 2つのクラウドリージョンを「2種類のメディア」として数える。 メディアの多様性とは、本当に異なるストレージ技術やプラットフォームを使うことであり、同じオブジェクトストアの2つのインスタンスのことではありません。
- 追加の「1」を、任意のオフサイトコピーで満たされたものとして扱う。 オフサイトは地理的なリスクへの対策であり、イミュータブルやエアギャップは認証情報の侵害への対策です。ルール上は要件を満たすオフサイトコピーでも、本番環境とアイデンティティ基盤を共有していれば、この数字が追加される動機となったギャップは埋まりません。
- バックアップジョブが緑色だからといって「0」を省略する。 バックアップジョブの成功が示すのは、データが書き込まれたということだけです。そのデータがリストア可能であること、アプリケーション整合性が取れていること、そしてリストアが必要になった原因であるマルウェアを含んでいないことは確認できません。
- データの重要度に関係なくルールを一律に適用する。 一般に、ティア1のシステムはアーカイブデータよりも頻繁な検証と短いRTOを必要とします。環境全体に単一の保持ポリシーとテストポリシーを適用すると、多くの場合、最も重要なシステムの保護が不足し、そうでないシステムには過剰な費用がかかります。
2026年でも3-2-1-1-0で十分か
ほとんどの組織にとって、3-2-1-1-0を正しく実装すれば、ランサムウェアがバックアップ基盤を標的に変えてしまう原因となっているギャップのかなりの部分を埋めることができます。ここでいう「正しく」とは、イミュータブルまたは隔離されたコピーとリカバリの検証が、チェック欄に印を付けただけではなく、実際に徹底されていることを意味します。
3-2-1-1-0は、今でも堅実な運用上のベースラインです。Veeamは3-2-1-1-0モデルを明確に推奨しています。NISTとCISAは、その根底にある統制、つまり保護されたバックアップ、オフラインコピー、定期的なテストを後押ししています。CISAはイミュータブルストレージも選択肢の1つとして挙げていますが、上で引用した注意点を添えています。
このルールが及ばないのは冗長性ではなく、それを取り巻くセキュリティアーキテクチャです。ルールは、いくつのコピーを維持すべきか、それらをどこに置くべきか、どのような状態にしておくべきかを教えてくれます。しかし、侵害が進行している最中にそれらのコピーを守るために必要なアクセスガバナンス、管理上の信頼境界、ネットワークセグメンテーション、監視、リカバリアーキテクチャまでは十分に定義していません。
BackupSecのFibonacci Rule of Backup Security（5-3-2-1-1-0）は、このギャップに対処するために設計されています。3-2-1-1-0を置き換えるものではなく、5つの基本的なセキュリティ原則によってそれを拡張するものです。
完全に実装され、定期的に検証された3-2-1-1-0戦略にまだ取り組んでいる組織にとっては、その土台づくりが先です。Fibonacci Ruleは、その上に積み重ねるアーキテクチャのレイヤーです。
BackupSecの役割
BackupSecは、この問題のVeeam側に取り組んでいます。当社の4つのサービスがこのルールに対応しています。
- ZeroMON はVeeam Backup & Replicationを監視します。OVAとしてオンプレミスで稼働し、読み取り専用アカウントで接続し、BackupSecにも第三者にも何も送信しません。ジョブの健全性を追跡し、構成変更（誰が、何を、いつ変更したか）を記録し、セキュリティチェックリストを実行し、Veeamが自身のリポジトリ設定に基づいて報告するイミュータビリティのステータスを表示します。アラートはメールとアプリ内通知で届きます。ZeroMONが読み取るのはVeeamの構成であり、ストレージ自体のロックを検証することはなく、リストアテストも実行しません。「1」と「0」を支える条件が変化したときにそれを知らせるのがZeroMONの役割であり、リストアテストは別の作業です。
- ZeroVault は、Object Lockを備えたS3互換のクラウドオブジェクトストレージで、Veeamバックアップのオフサイトのイミュータブルなターゲットとして使用します。ZeroMONとは異なり、設計上バックアップデータをお客様の環境の外に保持します。それがオフサイトコピーというものだからです。
- ZeroTAM は、アーキテクチャ、キャパシティ、ランサムウェアからのリカバリ計画、そして優先的な危機対応サポートのために、専任のバックアップセキュリティアドバイザーを提供します。ソフトウェアではなくアドバイザリーサービスです。追加の「1」が本当に隔離されているのか、それとも単に遠くにあるだけなのかを尋ねる相手になります。
- ZeroPEN は、Veeam Backup & Replication、Veeam ONE、Enterprise Managerを対象とした脅威主導型のペネトレーションテストです。MITRE ATT&CKにマッピングされた8つのステージでランサムウェアのキルチェーンをシミュレートし、初期アクセスからリポジトリへのアクセス、バックアップの無力化を経て、暗号化能力の実証までを行います。非破壊型のテストであり、ZeroPENは「never deletes real backups, performs real encryption, or stops production or backup services」（訳：実際のバックアップを削除することも、実際の暗号化を行うことも、本番サービスやバックアップサービスを停止することもない）としています。エンゲージメントにはリストアの完全性とイミュータビリティの検証も含まれ、監査対応可能なレポート一式をもって完了し、重大な指摘事項の再テストも含まれます。
バックアップのセキュリティ態勢についてBackupSecに相談する →
まずは手軽にセルフチェックをしたい方へ。無料のBackup Security Assessmentでは、バックアップ戦略やアクセス制御からリカバリテストまで、7つの分野にわたる28の質問にお答えいただけます。