イミュータブルバックアップとは──Microsoft 365のデータをランサムウェアから守る考え方

「バックアップは取っている」という状態と、「必要なときに戻せる」という状態は別のものです。攻撃する側も手順を変えています。データを暗号化する前に、まずバックアップを探して使えなくする。復旧の手段を先に断ってから交渉に入る、という考え方です。

そこで注目されるようになったのがイミュータブルバックアップです。「イミュータブル」とは、いったん作成したあとは書き換えも削除もできない、という意味の言葉です。従来、イミュータブルバックアップが語られるシーンの多くは、社内に設置したサーバーや仮想マシン、ストレージ装置でした。一方で、いま多くの企業が業務の中心に据えているのはMicrosoft 365です。そこに置いたデータについて、改ざんできないコピーはどこまで確保されているのでしょうか。

本記事では、イミュータブルバックアップとは何かを整理したうえで、Microsoft 365の標準機能で守れる範囲と、そこに残る空白を、具体的な期間とともに確認していきます。

1. イミュータブルバックアップとは

イミュータブルバックアップとは、いったん作成したあとは書き換えも削除もできないバックアップのことです。

定義──「指定された期間中は誰も手を出せない」

イミュータブル（immutable）は「不変の」という意味の英語で、日本語では「不変」「改ざん不可」と訳されることもあります。

Microsoftは、イミュータブルについて公式ドキュメントで「不変性は、正式には、指定された期間中に変更、削除、または上書きできないストレージとして定義されています」と説明しています。

押さえておきたいのは「指定された期間中」という条件です。永久に消えないという意味ではなく、あらかじめ決めた保持期間のあいだは管理者を含めて誰も手を出せない、という状態を指しています。

通常のバックアップとの違い

分岐点は、バックアップを取得しているかどうかではありません。取得したあとに手を加えられるかどうかです。

	通常のバックアップ	イミュータブルバックアップ
取得後の変更	権限があれば変更できる	保持期間中は変更できない
取得後の削除	権限があれば削除できる	保持期間中は削除できない
管理者権限が奪われた場合	バックアップも削除・暗号化されうる	保持期間中は手を出せない
主な用途	誤削除・機器故障からの復旧	上記に加え、ランサムウェアや内部不正への備え

通常のバックアップでは、管理者権限を持つ人であればバックアップデータを削除できます。運用上は当然の仕様ですが、その権限が攻撃者の手に渡れば、バックアップは守りとして機能しません。

実際、Hornetsecurityの2022年の調査では、ランサムウェア攻撃の15%がバックアップの侵害を目的としたものでした。バックアップを取得しているという事実だけでは、対策として十分とはいえない状況になっているといえます。

イミュータブルバックアップは、この「権限を持つ人なら消せる」という前提を外す考え方です。

イミュータブルストレージとの違い

混同されやすい言葉に「イミュータブルストレージ」があります。

イミュータブルストレージは、書き換えを防ぐ機能を備えたストレージ製品そのものを指す言葉で、NASやオブジェクトストレージの機能名として使われます。対してイミュータブルバックアップは、バックアップを書き換え・削除から守る運用方針を指します。ストレージの選択は、その方針を実現する手段のひとつにすぎません。

この違いは、SaaSを使っている場合にとくに効いてきます。Microsoft 365の利用者は、データが保存されているストレージを直接制御できないからです。この点は第3章で改めて扱います。

2. なぜいま必要とされているのか

背景には、国内のランサムウェア被害が高い水準のまま推移していることと、攻撃の手順が変わってきたことの二つがあります。

国内の被害状況

IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026」では、組織向けの脅威の第1位が「ランサム攻撃による被害」でした。11年連続の選出です。

警察庁が公表した「令和7年におけるサイバー空間をめぐる脅威の情勢等について」を見ると、実態がより具体的に分かります。

• 令和7年のランサムウェア被害報告件数は226件で、「依然として高水準で推移」している
• 被害組織を規模別に見ると、中小企業が約6割を占めている
• 1か月未満で復旧した組織の割合は、全体の5割強にとどまる
• 復旧に総額1,000万円以上を要した組織の割合は、全体の5割を超えている
• 侵入経路は、VPN（Virtual Private Network）機器が6割以上を占めている

とくに目を引くのは復旧に関する数字です。1か月未満で復旧できた組織が5割強ということは、残りの組織は1か月以上にわたって影響を抱えたことになります。なお侵入経路の中心はVPN機器であり、本記事はその先、侵入されたあとにMicrosoft 365上のデータをどう守るかに絞って扱います。

攻撃はバックアップそのものを狙っている

前章で触れたとおり、ランサムウェア攻撃の15%はバックアップの侵害を目的としたものでした。同じ2022年の調査では、14.1%の組織がデータを失い、6.6%の組織がデータを取り戻すために身代金を支払ったとされています。

バックアップから復旧できるのであれば、データを取り戻すために身代金を支払う必要はありません。支払いに至った組織は、その選択肢を使えなかった可能性があります。

対策として何が採られているか

Hornetsecurityが2025年10月に公表した「ランサムウェア攻撃レポート」では、調査対象となった組織の62%が改ざん不可能なバックアップを採用していました。過半数の組織が、「バックアップを取る」だけでなく「バックアップそのものを守る」段階に進んでいることになります。裏を返せば、残る約4割はまだその対策を講じていないということです。

3. Microsoft 365のデータに、改ざんできないコピーはあるか

ここからが本題です。Microsoft 365には、削除したデータを一定期間戻せる仕組みが標準で備わっています。ただしそれらは「保持」の仕組みであって、「改ざんできない」ことを保証するものではありません。

標準機能が持っているのは「保持」である

本稿執筆時点で、Microsoft 365が標準で備えている主な保持の仕組みは次のとおりです。

対象	仕組み	期間
SharePoint・OneDrive	ごみ箱（第1段階・第2段階）	どちらのごみ箱も93日
SharePoint・OneDrive	ファイルを復元（バージョン履歴を利用）	過去30日以内の任意の時点
SharePoint・OneDrive	バージョン履歴	新規作成のドキュメントライブラリで既定500バージョン
Exchange Online	回復可能なアイテム	既定14日（最長30日まで変更可能）
Exchange Online・SharePoint・OneDrive	Microsoft 365 Backup（従量課金の追加サービス・回復ウィンドウ）	3か月・6か月・1年・2年から選択（既定は1年）

これらはいずれも有効な仕組みで、日常的な誤削除であれば十分に対応できます。ただし共通しているのは「一定期間データを保持する」という性質であり、「その期間、誰にも変更させない」という性質ではないという点です。

個々の期間については、「Microsoft 365のバックアップとは──標準機能と責任共有モデルの基礎」で詳しく解説しています。

Microsoft 365 Backupはどこまで不変か

Microsoft 365 Backupについては、Microsoft自身が不変性との関係を明示しています。公式ドキュメントによれば、バックアップは追加専用（Append-Only）のストレージを使っており、既存の復元ポイントのデータを書き換えることはできません。一方で、「Microsoft 365 バックアップは、削除できないことを除いて、その定義に従います」「バックアップの削除はブロックされないため、必要に応じてオフボードすることができます」とも説明されています。

つまり、上書きは防ぐことができるが、削除は防ぐことができないということです。同じドキュメントでは、90日間の回復猶予期間や複数管理者への通知といった機能によって「完全な不変性を近似します」と表現されています。近似する、という言い方がそのまま実態を表しているといえます。

もうひとつ押さえておきたいのが保管場所です。同ドキュメントには「データが Microsoft 365 データ信頼の境界を離れることはありません」と明記されています。ただし、テナント全体が侵害される事態を想定したとき、バックアップも同じ境界の内側にあるという点は設計上の論点として残ります。

ランサムウェアはMicrosoft 365にどう及ぶか

クラウドに置いてあるからランサムウェアの影響を受けない、ということはありません。

経路	何が起きるか	結果
同期クライアント経由	端末上で暗号化されたファイルが、同期によってクラウド側へ反映される	クラウド側のファイルも暗号化された状態になる
バージョン履歴の消費	暗号化が「編集」として扱われ、新しいバージョンが積み上がる	上限を超えると、健全なバージョンが押し出される
管理者アカウントの侵害	保持やバックアップの設定そのものを変更される	保持ポリシーの保持期間の短縮（保持ロック未適用の場合）や、バックアップの停止が可能になる

Microsoftのトラブルシューティング文書は、感染時の最初の対応として、OneDriveの同期をただちに停止するか、SharePointライブラリにマップされたドライブを切断することを挙げています。同期の経路が実際に問題になることの裏返しといえます。

またバージョン履歴はランサムウェア対策として機能しますが、保持できる版数には上限があるため、繰り返し書き換えられれば健全な版が押し出される可能性があります。

Teamsのチャットという空白

対象範囲についても確認が必要です。Microsoft 365 Backupが保護するのは、Exchange Online、SharePoint、OneDriveの3つです。Teamsのチャット本文は、この3つに含まれていません。

Teamsのチャットは各ユーザーのExchangeメールボックス内の隠しフォルダーなどに保存されていますが、そこにあるからといってMicrosoft 365 Backupの対象になるわけではありません。詳しくは「Teamsのデータはどこに保存されるか──バックアップと復元の方法を解説」をご覧ください。

4. イミュータブルバックアップを実現する4つの方法

イミュータブル性を実現する方法は、大きく4つに整理できます。

方法	仕組み	Microsoft 365の利用者が自ら選べるか
WORM（Write Once Read Many）	一度だけ書き込み、その後は読み取り専用になる	選べない（ストレージ層の制御が必要）
イミュータブルなクラウドストレージ	WORMに対応したストレージ機能などにより、変更・削除を禁じる	選べない（同上）
オフライン・エアギャップ	ネットワークから物理的に切り離して保管する	選べない（保管媒体を持てない）
バージョニング	時点ごとの版を保存し、各版は作成後に変更できないようにする	一部のみ（バージョン履歴はあるが上限がある）

WORMとイミュータブルなクラウドストレージ

WORMは「一度だけ書き込み、何度でも読み出せる」という意味の仕組みで、バックアップのコピーは一度だけ作成でき、その後は読み取り専用になります。クラウドでは、同じ考え方が各社のストレージ機能として提供されており、複数のクラウド事業者が対応しています。

オフライン・エアギャップ

エアギャップ（air gap）は、もともと「空隙」を意味する言葉で、ネットワークから物理的に切り離された状態を指します。外付けハードディスクやテープにバックアップを取得したあと、接続を外して保管する方法です。ネットワーク越しに到達できないため、遠隔から攻撃者が消すこともできません。

復元に時間がかかり、運用に人手もかかりますが、原理としては最も確実な方法のひとつといえます。

バージョニング

異なる時点のファイルを複数の版として保存し、各版は作成後に変更できないようにする方法です。ただしMicrosoft 365のバージョン履歴とは分けて考える必要があります。前章で触れたとおり、上限を超えると古い版から押し出されるためです。

SaaSでは、そもそも選べる手段が限られる

前掲の表のとおり、4つの方法のうちMicrosoft 365の利用者が自分で選べるものはほとんどありません。WORMのような仕組みは、ストレージ層を制御できる立場の人が使う仕組みだからです。

だからこそSaaSでは、問いの立て方が変わります。「バックアップデータをロックできるか」ではなく、「バックアップが侵害の及ぶ範囲の外にあるか」です。テナント管理者権限を奪われたとき、その権限では到達できない場所にコピーが残っているかどうか。ここが実務上の分岐点になります。

5. 3-2-1-1-0をMicrosoft 365に当てはめる

バックアップの設計では、3-2-1ルールという考え方が業界で広く共有されています。データは3つのコピーを持ち、2種類の異なる媒体に保存し、1つは別の場所に置く、というものです。特定の機関が定めた規格ではなく、実務のなかで共有されてきた経験則です。近年はこれを拡張した3-2-1-1-0という言い方も使われます。1つはオフラインまたは改ざんできない状態で保持すること、復元テストのエラーを0にすることの2条件を加えたものです。

Microsoft 365の環境に読み替えると、次のようになります。

• 3：Microsoft 365上の本番データ、標準機能による保持、第三者によるバックアップ
• 2：Microsoftのクラウドと、それ以外の保管先
• 1：Microsoft 365テナントの外側に1つ
• 1：改ざんできない、あるいは侵害の及ぶ範囲の外にある状態で1つ
• 0：復元テストを実施し、エラーがないことを確認する

自社の環境を書き出してみると、どこが埋まっていて、どこが空いているかが見えてきます。

6. 導入・比較時に確認したい項目

第三者のバックアップを検討する場合、次の5点を確認しておくと判断しやすくなります。

確認項目	何を見るか
保管場所	バックアップがMicrosoft 365テナントの外に保存されるか
認証の分離	バックアップ側の管理者権限が、Microsoft 365テナントの管理者権限と分かれているか
保持期間	自社の業務要件や法令要件に合わせて設定できるか
暗号化	保管時・転送時にどのように暗号化されるか
復元の粒度	1ファイル単位で戻せるか、サイトやメールボックスの単位でしか戻せないか

最初の2項目が、本記事で繰り返し触れてきた論点です。テナント管理者権限が奪われたとき、その権限では到達できない場所にコピーが残るかどうか。ここが分岐点になります。

第三者のバックアップを検討する段階にある方は、「Microsoft 365にサードパーティのバックアップ製品が必要な11の理由」もあわせてご覧ください。

7. よくある質問

まとめ

イミュータブルバックアップは、書き換えも削除もできないバックアップを指す言葉です。ランサムウェアがバックアップそのものを標的にするようになったことで、注目されるようになりました。

Microsoft 365には、ごみ箱の93日、回復可能なアイテムの14日、ファイルを復元の30日、そしてMicrosoft 365 Backupの3か月から2年まで、複数の保持の仕組みがあります。ただしこれらは保持の仕組みであって、改ざんを禁じる仕組みではありません。Microsoft自身、Microsoft 365 Backupについて「削除できないことを除いて」不変性の定義に従うと説明しています。つまり、削除は防げません。

そしてSaaSでは、利用者がストレージ層を制御できません。そのため問うべきは「バックアップデータをロックできるか」ではなく、「バックアップがMicrosoft 365テナントの侵害範囲の外にあるか」です。保管場所と認証が分離されているかどうかを、比較検討の起点にすることをお勧めします。

Hornetsecurity（ホーネットセキュリティ）の365 Total Backupは、Microsoft 365のメールボックス（インプレースアーカイブメールボックスを含む）、Teamsチャット、Planner、OneNote、Entra IDのユーザーとグループ、OneDrive for Businessアカウント、SharePointのドキュメントライブラリを対象とした容量無制限、期間無制限のバックアップサービスです。バックアップデータはMicrosoftのインフラから独立したHornetsecurityの基盤に保管され、個別のAES 256ビットキーで暗号化されます。保存期間は自社の方針に合わせて設定できます。