Microsoft 365のバックアップとは──標準機能と責任共有モデルの基礎

Microsoft 365は、いまや多くの企業にとって業務基盤そのものです。メール、ファイル、社内のやり取りが一つのプラットフォームに集約されています。しかし、そこに蓄積されたデータのバックアップについて明確な方針を持つ組織は多くありません。

その背景にあるのが、「クラウドサービスを使っているのだから、データは事業者側で守られているはずだ」という認識です。この認識は、正確ではありません。Microsoft自身も「Microsoft 365 Backup」という製品を提供開始しており、その存在自体が、Microsoft 365のデータは利用者自身による定期的なバックアップによって保護される必要があるという事実を示しています。

本記事では、Microsoft 365におけるデータ保護の責任がどこにあるのかを整理したうえで、標準機能で何ができるのか、どこまでが対象範囲なのかを解説します。そのうえで、自社に必要な対策を判断するための考え方を示します。

1. Microsoft 365のデータは誰が守るのか（責任共有モデル）

最初に押さえておくべきなのが、クラウドサービスにおける責任の分担です。この分担は、一般に責任共有モデル（Shared Responsibility Model）と呼ばれます。

Microsoftが責任を負う範囲

Microsoftが責任を負うのは、サービスを利用可能な状態に保つことです。データセンターの運用、物理的なインフラの保護、プラットフォームの可用性の維持がこれにあたり、高い水準のSLAが提示されています。

利用者が責任を負う範囲

一方、サービス内に保存されたデータそのものを保護する責任は利用者側にあります。誤ってファイルを削除した、退職者のアカウント整理でデータが失われた、ランサムウェア攻撃で暗号化された。こうしたケースはいずれもMicrosoftの責任範囲の外です。

Microsoftのサービス規約にも、サービスに保存したコンテンツを定期的にバックアップするか、第三者のアプリおよびサービスを使用して保存することを推奨する旨が明記されています。

この責任範囲が知られていない理由

これが意識されにくい理由の一つは移行の過程にあります。オンプレミスのサーバーを運用していた時代、バックアップは当然に自社の業務でした。しかしクラウドへ移行する際、その工程が誰の担当なのか曖昧なまま引き継がれるケースが少なくありません。

加えてMicrosoft 365には、削除したデータを一定期間復元できる仕組みが標準で備わっています。つまり、日常的な誤削除はこれで対応できてしまうケースがあるのです。その経験がバックアップ不要という認識につながっている面もあります。

責任の主体	責任を負う範囲
Microsoft	データセンターの運用、物理インフラの保護、サービスの可用性の維持
利用者	サービス内に保存されたデータそのものの保護、アクセス管理、バックアップ

2. Microsoft 365 Backup（標準機能）とは

Microsoftは長らく、Microsoft 365に組み込まれた保持機能で十分であり従来型のバックアップは不要という立場をとってきました。その状況が変わったのが「Microsoft 365 Backup」の登場です。この製品の存在自体が、Microsoft 365には利用者自身による定期的なバックアップが必要であるとMicrosoft自身が認めたことを意味します。

対象となるサービスとデータ

本稿執筆時点で、Microsoft 365 Backupが保護の対象としているのは次の3つです。

• Exchange Online（メールボックス）
• SharePoint Online（サイトとドキュメントライブラリ）
• OneDrive for Business（個人のファイル領域）

Microsoft 365の主要なデータ保存場所ではありますが、網羅的ではありません。この点は次章で触れます。

保持期間と復元の単位

Microsoft 365 Backupの保有期間は、OneDrive、SharePoint、Exchange Onlineのいずれもバックアップポリシーで設定します。本稿執筆時点では3か月・6か月・1年・2年から選択でき、既定は1年です。ただし、その期間のうちどの時点に戻せるか（復元ポイント）は、サービスによって異なります。

OneDriveとSharePointでは、2週間前までは10分単位、2週間から52週間前までは毎週のスナップショットが復元ポイントとなります。一方Exchange Onlineでは、52週間前まで10分単位の復元ポイントが利用できます。

ただし、この10分単位が当てはまるのはアカウントやサイトを丸ごと戻す場合です。ファイルやフォルダー単位の復元では、OneDriveとSharePointの復元ポイントは直近2週間でもおおよそ1日単位、それ以前は週単位となります。「1つのファイルを10分前の状態に戻す」という使い方はできません。

つまりOneDriveとSharePointについては、時間が経つほど戻せる時点の選択肢が粗くなります。また、いずれのサービスも保有期間の上限は2年です。それを超える期間の保存が必要な場合、この機能だけでは要件を満たせません。

なお、この保有期間はMicrosoft Purviewの保持ポリシーや削除ポリシーの影響を受けず、公式ドキュメントには「完全に分離されたまま」と明記されています。保持ポリシーを長く設定してもバックアップの保有期間が延びるわけではない点は、混同されやすい部分です。

また利用を停止（オフボード）した場合には90日間の回復猶予期間があり、その間は既存のバックアップを回復できます。

料金体系

Microsoft 365 Backupは、Microsoft 365のライセンスに標準で含まれるものではなく、従量課金制のサービスとして提供されています。本稿執筆時点の課金モデルは、バックアップによって保護されたすべてのデータについて1か月あたり1GBあたり0.15ドルで、復元は無料です。導入を検討する際は、自社の保護対象データ量を把握したうえで試算する必要があります。

あわせて確認しておきたいのが、Microsoft 365のストレージ容量です。SharePoint Onlineの容量は、組織全体で「1TB＋購入ライセンス数×10GB」が基準となります。ユーザーごとに割り当てられるのではなく、組織全体で共有するプールである点が特徴です。

この容量には、サイトのごみ箱に保持されているデータも含まれます。保持ポリシーによってデータが蓄積し上限に近づくと、追加のストレージ購入が必要になり、想定外の月額コストが発生することもあります。バックアップの費用は、この点も含めて比較検討することが実務的です。

3. 標準機能で守れる範囲と、守れない範囲

Microsoft 365には、Microsoft 365 Backup以外にも、データを一定期間保持し復元するための仕組みが複数あります。まずは、それぞれの対象範囲を整理します。

標準機能でカバーされるケース

日常的に発生する誤削除については、標準機能で十分に対応できる場面が多くあります。

SharePointやOneDriveに保存されたファイルは、ごみ箱から復元できます。ごみ箱は第1段階と第2段階の2階層になっていますが、どちらのごみ箱も保持期間は93日です。起算日は元の場所から削除した時点であり、第2段階へ移動した時点でリセットされるわけではありません。93日目には、第1段階・第2段階のどちらにあっても完全に削除されます。

メールについては、完全に削除したアイテムが「回復可能なアイテム」フォルダーに移動し、既定で14日間保持されます。この期間は最長30日まで変更できます。

また、Microsoft Purviewの保持ポリシーを使えば、指定した期間データを保持することもできます。ただし、保持（リテンション）とバックアップは目的が異なります。保持はコンプライアンス上の要請からデータを消させないための仕組みであり、大規模な復元や、ある時点の状態にまとめて戻すポイントインタイム復元を前提に設計されたものではありません。データを保持していることは、必要なときに復元できることと同義ではありません。

対象	機能	保持期間
SharePoint Online・OneDrive	ごみ箱（第1・第2段階）	93日（元の場所から削除した時点から起算。93日目に完全削除）
Exchange Online	回復可能なアイテム	既定14日（最長30日）
Microsoft 365グループ	論理的な削除からの復元	30日（変更不可）
Microsoft 365 Backup	復元ポイント	保有期間は3か月〜2年から選択（既定1年）。復元ポイントはOneDrive・SharePointが2週間前まで10分単位、以降52週まで毎週／Exchange Onlineは52週間前まで10分単位

標準機能では不十分になるケース

一方で、標準機能の範囲では対応が難しくなる場面も存在します。代表的なものを整理すると、次のようになります。

• 保持期間を超えた時点からの復元が必要な場合（上表のとおり、対象ごとに14日から1年まで幅がある）
• Microsoft 365 Backupの対象外となるサービスのデータを守りたい場合
• バックアップデータをMicrosoftのクラウドの外側にも保持したい場合
• 複数のテナントを一元的に管理したい場合

とくに対象範囲については、注意が必要です。前章のとおりMicrosoft 365 Backupが保護するのはExchange Online、SharePoint Online、OneDrive for Businessの3つであり、Microsoft Teamsのグループチャットや個別チャット、会議のメモ、Microsoft Plannerのデータなどは対象に含まれていません。Teamsのチャネルで共有されたファイルはSharePoint Onlineに保存されるため対象になりますが、チャットの本文は別の扱いになります。Teamsのデータがどこに保存され、どこまで復元できるのかについては、Teamsのデータはどこに保存されるか──バックアップと復元の方法を解説で詳しく解説しています。

こうした個別の論点については、別の記事で詳しく解説しています。サードパーティ製のバックアップを検討する段階にある方は、Microsoft 365にサードパーティのバックアップ製品が必要な11の理由もあわせてご覧ください。

4. 自社に必要なバックアップを判断する

どこまでの対策が必要かは、企業によって異なります。次の4点を整理すると、自社の要件を具体化しやすくなります。

保存期間の要件

過去どの時点のデータまで戻せる必要があるかを確認します。個人情報保護法の安全管理措置や電子帳簿保存法の保存要件に関わるデータが含まれる場合、標準機能の保持期間だけでは要件を満たせないことがあります。監査対応で過去の記録を求められる可能性も含めて検討します。

対象サービスの範囲

メールだけを守れば十分なのか、ファイルやTeams上のやり取りまで含めるのかを決めます。前章のとおり、標準機能の対象範囲には含まれないサービスがあるため、自社が業務でどのサービスを使っているかとの突き合わせが必要です。

復元時間の目標

データが失われた際、どれくらいの時間で業務を再開する必要があるかを考えます。1つのファイルを戻すのか、部門全体をまとめて復元するのかで、求められる仕組みは変わります。

運用体制

バックアップは設定して終わりではなく、定期的に動作を確認し、必要なときに実際に復元できる状態を維持する必要があります。担当者を決めておかなければ、仕組みだけが残って形骸化します。

これらを整理したうえで、標準機能の範囲で足りるのか、追加の対策が必要なのかを判断することになります。稟議に必要な判断材料としても、あらかじめ言語化しておくとよいでしょう。

5. よくある質問

まとめ

Microsoft 365において、サービスの可用性を維持する責任はMicrosoftにありますが、その中に保存されたデータを保護する責任は利用者側にあります。これが責任共有モデルの考え方です。

Microsoftは標準のバックアップ機能を提供していますが、対象となるサービスは3つに限られ、保有期間の上限も2年です。標準機能による保持も、対象によって14日から93日と幅があります。自社が必要とする保存期間、対象範囲、復元時間、運用体制を整理したうえで、標準機能で足りるのか、追加の対策が必要なのかを判断することが重要です。

Hornetsecurity（ホーネットセキュリティ）の365 Total Backupを利用すれば、M365のすべてのメールボックス、Teamsチャット、Plannerのプラン、OneNoteのノートブック、そしてOneDriveおよびSharePointに保存されたファイルを、オンラインコンソールを通じてバックアップ・復元できます。バックアップは1日に複数回自動的に取得され、M365バックアップ用のストレージ容量は無制限です。