「バックアップは取っているので大丈夫です」。ホームページの相談を受けていると、よく聞く言葉です。
ただ、実際にトラブルが起きたとき、バックアップはあったのに、元に戻せなかったということは少なくありません。
必要なデータが含まれていなかった、すべての世代が問題の起きた後のものだった、戻し方が分からなかった、といった理由です。
この記事では、「バックアップがある」と「本当に戻せる」の違いと、本当に復旧できるバックアップの条件を、図解と動画で整理します。
バックアップがあるだけでは不十分？本当に復旧できるバックアップの条件
この記事の要点
- バックアップは、あるだけでは足りない。戻せて初めて意味がある
- レンタルサーバーの自動バックアップは便利だが、保管期間を過ぎた世代は残らない
- 問題に気づくまでの日数が長いと、手元のバックアップがすべて問題の起きた後になることがある
- 「3-2-1ルール」で、サーバーと一緒にバックアップまで失うことを避ける
- いちばん大切なのは、実際に戻してみて確かめておくこと
レンタルサーバーの自動バックアップだけで大丈夫？
多くのレンタルサーバーには、自動バックアップの機能があります。
たとえばエックスサーバーでは、サーバー上のデータを1日1回バックアップ専用のサーバーにコピーし、Web・メールのデータとデータベースを、それぞれ過去14日分保持しています。サーバーパネルから、そのデータを取得したり、復元したりすることもできます。
とても心強い機能ですが、気をつけたいのは「14日分」という期間です。
改ざんやウイルスの感染は、起きたその日に気づけるとは限りません。
下の図（再生ボタンで動画になります）は、気づくまでに時間がかかった場合に何が起きるかを示したものです。
問題が起きてから気づくまでの日数が、保管している日数より長いと、手元のバックアップはすべて「問題が起きた後」のものになってしまいます。レンタルサーバーの自動バックアップに加えて、もっと長い期間の世代を、別の場所にも残しておくことが大切です。
サーバーと一緒に失わないための「3-2-1ルール」
もう一つの落とし穴は、バックアップが本番のデータと同じ場所にあることです。
サーバーの障害や乗っ取りが起きると、本番のデータと一緒に、サーバーの中のバックアップまで失うことがあります。
そこでよく使われるのが「3-2-1ルール」です。
データのコピーを3つ持ち、保存先の種類を2つ以上に分け、そのうち1つは社外に置く、という考え方です。
下の図（再生ボタンで動画になります）は、その効果を示したものです。
| 数字 | 意味 | 中小企業での例 |
|---|---|---|
| 3 | データのコピーを3つ持つ | 本番のデータ・サーバーの自動バックアップ・自分で取ったバックアップ |
| 2 | 保存先の種類を2つ以上にする | レンタルサーバーと、社内の保存先（NASなど） |
| 1 | 1つは社外に置く | クラウドのストレージなど、サーバーとは別の会社のサービス |
本当に復旧できるバックアップの6つの条件
「ある」だけでなく「戻せる」バックアップにするために、次の6つを確かめておきましょう。
1. 範囲：何を残すか
WordPressなどのCMSでは、記事や設定はデータベースに、画像やテーマはファイルとして保存されています。どちらか片方だけでは元に戻せません。ファイル・データベース・設定ファイルがそろっているかを確かめましょう。
2. 場所：どこに残すか
サーバーの中だけでなく、別の保存先や社外にも残します。3-2-1ルールの考え方です。
3. 世代：いつまで残すか
最新のバックアップだけでは、問題が起きた後の状態しか残っていないことがあります。
毎日の分に加えて、週ごと・月ごとなど、いくつかの時点を残しておきましょう。
4. 手順：どう戻すか
トラブルのときは、誰でも焦ります。誰が、何を、どの順番で戻すのかを書いておくと、落ち着いて対応できます。
制作会社に任せている場合は、連絡先と対応の範囲も確かめておきましょう。
5. 確認：本当に戻るか
いちばん見落とされがちなのがこれです。年に一度は、実際に別の場所へ戻してみて、正しく表示・動作するかを確かめておくと、いざというときに慌てずに済みます。
6. 保護：バックアップ自体を守る
ランサムウェアなどの攻撃では、バックアップまで消されたり暗号化されたりすることがあります。
バックアップの保存先にもパスワードや権限を設定し、勝手に消されないようにしておきましょう。
脆弱性のニュースが出たときにも、バックアップは役に立つ
2026年10月21日にPHPの深刻な脆弱性が公表された夜、弊社でもサーバーのPHPの版と、バックアップの範囲を確認しました。更新を当てる前にバックアップがあれば、万が一うまく動かなくなっても元に戻せます。そのときの手順は「PHPの緊急脆弱性で何をすればいい？修正版公開後の対応手順」にまとめています。
バックアップは、攻撃を受けたときだけでなく、更新や改修を安心して進めるための土台でもあります。
よくある質問
Q. レンタルサーバーの自動バックアップがあれば、自分で取る必要はありませんか？
自動バックアップはとても役に立ちますが、保管期間が決まっていて、サーバー会社の同じ設備の中にあります。
長い期間の世代や、社外の保存先として、自分でも取っておくと安心です。
Q. どのくらいの頻度で取ればよいですか？
更新の多さで決めます。毎日のように更新するサイトなら毎日、月に数回の更新なら週に一度と、更新の前後でも取るのがおすすめです。あわせて、月に一度は長く残す世代を作っておきましょう。
Q. 復元のテストは、本番のサイトで行うのですか？
本番では行いません。別のサーバーや、テスト用の場所に戻して確かめます。
本番に上書きすると、今のデータを失うおそれがあります。
Q. 小さな会社でも、ここまで必要ですか？
すべてを一度に整える必要はありません。
まずは「範囲」と「場所」を確かめて、次に「実際に戻してみる」ところから始めると、効果が大きく出ます。
まとめ：「ある」ではなく「戻せる」を確かめておく
- バックアップは、戻せて初めて意味がある
- 自動バックアップの保管期間より、問題に気づくのが遅れることもある
- 「3-2-1ルール」で、サーバーと一緒に失わないようにする
- 範囲・場所・世代・手順・確認・保護の6つの条件を確かめる
- いちばん大切なのは、実際に戻してみること
金風株式会社では、今のバックアップで本当に復旧できるかの確認や、作る場所と公開する場所を分けた、戻しやすいホームページの仕組みづくりをお手伝いしています。お気軽にご相談ください。
あわせて読みたい
- ホームページを安全に運用するために「作る場所」と「公開する場所」を分ける
- PHPの緊急脆弱性で何をすればいい？修正版公開後の対応手順
- AIによる脆弱性発見が加速する時代へ｜PHP2Shellから考えるホームページの備え
- 静的HTMLとWordPressのセキュリティの違い｜PHPの脆弱性と対策
- なぜホームページは狙われるのか？攻撃の入口とセキュリティ対策
参考資料
- エックスサーバー：自動バックアップ（Web・メールとデータベースを過去14日分保持する機能の説明）
- エックスサーバー：自動バックアップからのデータ復元（サーバーパネルからの復元の手順）
- エックスサーバー：自動バックアップからの復元（データベース）（MySQLデータベースを過去14日分から復元する手順）