バックアップは「取っている」だけでは保守にならない──復旧テストを年に何回、何時間でやるかを決め、保守の商品と報告に組み込む方法と計算例

この記事は、バックアップの設計と、復旧テストを保守に組み込む方法を扱います。

「バックアップ 復旧テスト」で調べている制作会社は、一度ひやりとした経験があるはずです。
バックアップはあったのに、戻せなかった。あるいは、戻すのに丸一日かかった。

「バックアップは毎日取っています」が通じなくなる日

「改ざんされたので、先週の状態に戻してください」
バックアップのファイルを開くと、データベースだけが空でした。設定の変更で、半年前から取得に失敗していたのです。

バックアップは、取っていることではなく、戻せることに価値があります。
そして、戻せるかどうかは、実際に戻してみるまで分かりません。

復旧テストとは、保管しているバックアップから、本番とは別の場所にサイトを実際に戻し、動くこととかかった時間を確かめる作業である

黒字化の外科医です。バックアップの設計と、復旧テストを保守に組み込む手順を解剖します。

IPA（情報処理推進機構）は2026年3月に「中小企業の情報セキュリティ対策ガイドライン」を第4.0版へ改訂し、基本の心得に「バックアップを取ろう！」を加えて6か条としました。
ランサムウェアなどで事業が止まる被害が広がっていることが、改訂の背景として説明されています。

なお私は弁護士ではありません。契約の文言に触れる部分は実務の指針として読み、個別の判断は専門家や公的な窓口に確認してください。

復旧テストを保守に組み込むべき理由は、三つあります。

第一に、バックアップは、気づかないうちに壊れるから。
容量の不足、設定の変更、サーバーの移行。取得の失敗は、通知を見落とせば何か月も続きます。

第二に、戻すのにかかる時間は、試さないと分からないから。
お客様が知りたいのは「戻せるか」と「何時間で戻るか」です。復旧テストで測った時間が、緊急時の説明の根拠になります。

第三に、復旧テストは、目に見える保守の成果になるから。
「今月も問題ありませんでした」より、「〇月〇日に復旧を試し、〇時間で戻ることを確認しました」のほうが、保守の価値が伝わります。

バックアップの設計で決める6つのこと

• 何を：ファイル（画像・テーマ・プラグイン）とデータベースの両方。片方だけでは戻りません
• どのくらいの頻度で：更新の多いサイトは毎日、少ないサイトは週1回など、失ってよい期間から決めます
• 何世代残すか：改ざんに気づくのが遅れても戻れるよう、複数の時点を残します
• どこに：本番と同じサーバーだけに置かず、別の場所にも保管します
• 誰が確認するか：取得の成功と失敗の通知を、誰が見るかを決めます
• どう戻すか：手順を文書にし、担当者以外でも戻せるようにします

今すぐ試せる：バックアップ設計を点検するプロンプト

私はWeb制作会社の経営者です。保守しているサイトのバックアップの設計を点検し、復旧テストの計画を作ってください。

【サイトの情報】
・サイトの数と、主なCMS：〔記載〕
・今のバックアップの方法（ツール、頻度、保管場所、世代数）：〔記載〕
・更新の頻度（毎日／週1回／月1回など）：〔記載〕
・お客様が許容できる停止時間と、失ってよいデータの期間：〔分かる範囲で〕
・復旧テストの実施状況：〔例：一度もない〕

1. 「何を・頻度・世代・場所・確認者・戻し方」の6項目で、足りない点を挙げる。
2. サイトの重要度に応じて、復旧テストの頻度を3段階で提案する。
3. 復旧テストの手順を、10ステップ以内で書く。
4. 月次報告書に書く、復旧テストの結果の文例を作る。

専門用語には、短い説明を添えること。

復旧テスト工場：手順・記録・料金の型

1. 復旧テストの手順

① 本番とは別の場所（検証用の環境）を用意する
② 保管しているバックアップから、指定の時点のものを選ぶ
③ ファイルとデータベースを戻す
④ トップページ、主要なページ、管理画面のログインを確認する
⑤ フォームの送信と、画像の表示を確認する
⑥ 開始から確認の完了までの時間を記録する
⑦ 検証用の環境を片付ける（個人情報を含むデータを残さない）
⑧ 結果を記録し、月次報告に載せる

⑦は見落とされがちです。
復旧テストのために作った環境に、お客様のデータを残したままにしないでください。

2. 結果の記録の型

【復旧テストの記録】
サイト：〇〇株式会社 コーポレートサイト
実施日：〇年〇月〇日　担当：〇〇
使ったバックアップ：〇年〇月〇日 取得分（〇世代前）
結果：成功／一部失敗（内容：〇〇）
かかった時間：〇時間〇分
気づいたこと：〔例：画像フォルダの取得に失敗していたため設定を修正〕
次回の予定：〇年〇月

3. 料金への組み込み方

復旧テストの月割り ＝ 1回の工数 × 年の回数 ÷ 12 × 時間単価

例：1回3時間、年4回、時間単価 8,000円
　　3時間 × 4回 ＝ 年12時間
　　12時間 ÷ 12か月 ＝ 月1.0時間
　　1.0時間 × 8,000円 ＝ 月8,000円

この月8,000円を、保守の竹・松プランに含めます。
保守の松竹梅の全体の組み方は、こちらで扱っています。

▶ 保守料金をセキュリティ込みで決め直す──「月1万円で全部」をやめ、工数の積み上げ・松竹梅・緊急対応の別料金で組む料金設計と計算例

4. 契約に書くこと

□ バックアップの対象（ファイル・データベース）と頻度
□ 保管する世代数と、保管期間
□ 復旧テストの頻度と、結果の報告方法
□ 戻せる範囲（バックアップの時点以降の変更は戻らないこと）
□ お客様が独自に追加したデータや外部サービスは対象外であること

取得の作業そのものを自動にする方法は、こちらで扱っています。

▶ 保守・運用の自動化、Web制作会社は「値上げ」の前に原価を下げられる──バックアップ・更新・監視・フォーム確認・レポートのどこを任せ、どこを人が見るかと、1サイトの原価の計算例

構造的なリスク

逆説を指摘しておきます。

復旧テストに成功すると、「何があっても〇時間で戻せる」と約束したくなります。
けれど、テストで戻せたのは、決まった条件のときだけです。

ランサムウェアや大規模な改ざんでは、バックアップそのものが汚染されていることもあります。
だから、報告では「テストでは〇時間で戻った」と事実だけを書き、復旧の時間は約束しません。

よくあるQ&A

Q. サーバー会社のバックアップがあれば十分か？

それも一つの保管場所になります。ただし、保管の期間や、戻せる単位、費用は会社ごとに違います。それだけに頼らず、別の場所にも保管することをおすすめします。

Q. 小さなサイトでも、復旧テストは必要か？

頻度を下げて、年1〜2回にしてください。一度も試していないバックアップは、ないものと同じです。

Q. テストに失敗したら、お客様に伝えるべきか？

伝えてください。失敗に気づき、直したことは、保守が機能している証拠です。原因と対策を、月次報告に書きます。

最後に

バックアップは、取ることではなく、戻せることに価値があります。

復旧テストの頻度と手順を決め、結果を報告として届けた会社だけが、事故の日に「戻せます」と言えるのです。

報告書の型と、保守の提案書の一式は、こちらにまとめました。

▶ セキュリティ保守の提案書キット──3プランのメニュー表、提案書8枚、説明トークと反論への答え、約款の条項例、月次報告書の型、AIプロンプト

これまでの記事は、メンバーシップ「黒字化オペ室」でまとめて読めます。月額1,980円、記事2本分の金額です。詳しくはプロフィールから。

#Web制作会社 #バックアップ #復旧テスト #セキュリティ保守 #ランサムウェア対策 #保守契約 #制作会社経営 #中小企業 #WordPress #サイト運用