フレームワーク横断で比較したバックアップおよび復旧の要件
バックアップは、すべてのフレームワークが求める5つのトピックの1つです。違いは、実施頻度、攻撃者からの保護方法、そして復元が機能することを誰かが証明する必要があるかどうかにあります。
本記事では、執筆時点でControlMappingがマッピングしていた11個のフレームワークを扱います。その後、DORA, CPS 234, Cyber Essentialsが2026-10-27に追加されました。それらのページおよびカバレッジマトリクスにも含まれています。
バックアップと復旧は共通の中核要件に含まれており、当サイトが対応付けている11のフレームワークすべてが要求しています。GDPRも、個人データの可用性およびアクセスを適時に復旧する能力を求めています。最も差が大きい要件は頻度ではなく保護です。ランサムウェアがバックアップを標的にするようになって以来、フレームワークは、ネットワークを掌握した攻撃者がコピーまで破壊できてしまうかどうかをますます重視しています。
要件の内容
| フレームワーク | バックアップと復旧 | リンク |
|---|---|---|
| NIST CSF 2.0 | PR.DS-11RC.RP-03 | トピックの定義 |
| ISO 27001 | A.8.13 | 対応表 |
| CIS v8.1 | CIS 11.2CIS 11.3CIS 11.5CIS 11.4 | 対応表 |
| SOC 2 | A1.2 | 編集 |
| PCI DSS | 9.4.1.1 | 対応表 |
| CMMC | MP.L2-3.8.9 | 対応表 |
| 800-53 | CP-6CP-9 | 対応表 |
| HIPAA | §164.308(a)(7)(ii)(A)§164.310(d)(2)(iv) | 対応表 |
| GDPR | Art.32(1)(c) | 編集 |
| NIS2 | 4.2 | 対応表 |
| Essential Eight | ISM-1511ISM-1810ISM-1811ISM-1814ISM-1707ISM-1515 | 編集 |
各リンクの詳細と根拠： バックアップと復旧 のフレームワーク横断 →
頻度
頻度を明示しているフレームワークは少数です。CIS Controlsは、データの機密性に応じて、自動バックアップを週次以上で実施することを求めています（11.2）。HIPAAは、ePHIの取得可能な完全なコピーを作成・維持するためのデータバックアップ計画を求めています（§164.308(a)(7)(ii)(A)）。Essential Eightは、事業継続の要件に沿ったバックアップを求めています。ISO 27001（A.8.13）、SP 800-53（CP-9）、SOC 2（A1.2）は、頻度を復旧目標に委ねています。これは妥当な考え方です。失ってもよい期間が許す限り頻繁にバックアップを取るべきだからです。
保護
フレームワークの差が最も大きいのはこの点です。
- CISは、復旧データの保護（11.3）と、その隔離されたインスタンス（11.4）を求めています。すなわち、オフラインであるか、クラウド上で隔離されているか、その他ネットワーク上の攻撃者が届かない状態に置かれている必要があります。
- Essential Eightは保護を成熟度レベルに組み込んでいます。特権のないアカウントは他のアカウントのバックアップにアクセスできず、上位レベルでは特権アカウントであってもバックアップを変更または削除できないようにします。
- CMMCは、バックアップに含まれるCUIの機密性を保護することを求めており（MP.L2-3.8.9）、PCI DSSはオフラインのバックアップメディアを安全に保管することを求めています（9.4.1.1）。
- ISO 27001とSOC 2は、バックアップが適切に保護されていることを期待していますが、変更不可性（イミュータビリティ）には明示的に言及していません。
復元テスト
CISは、サンプルに対する復旧テストを四半期ごと以上に実施することを求めています（11.5）。Essential Eightは、災害復旧演習の中で、データ、アプリケーション、設定の復元をテストすることを求めています。ISO 27001はバックアップのテストを求めていますが頻度は定めておらず、SOC 2の監査人はA1.3の下で復元テストを確認します。一度も復元されたことのないバックアップは、統制ではなく期待にすぎません。
主なポイント
- バックアップと復旧は、当サイトが対応付けているすべてのフレームワークが求める5つのトピックの1つです。
- フレームワーク間の差は頻度よりも保護にあります。CISとEssential Eightは、攻撃者からバックアップを保護することを明示しています。
- 復元テストは最も見落とされがちな部分です。CISはサンプルに対する四半期ごとのテストを求めています。
- 1つの基準（定期的なバックアップ、隔離されたコピー、暗号化、四半期ごとの復元テスト）で、これらすべてを満たせます。
- クラウドプロバイダーが守っているのはインフラストラクチャであり、削除、破損、暗号化からあなたのデータを守るわけではありません。
すべてを満たす基準
- データ、アプリケーション、構成をバックアップする。頻度は目標復旧時点に基づいて設定し、少なくとも週次とします。
- 少なくとも1つのコピーを隔離する。オフラインまたは変更不可とし、ドメイン管理者であっても削除できないようにします。
- 機密データや規制対象データを含むバックアップを暗号化する。
- 復元を四半期ごとにサンプルでテストし、少なくとも年に1回は完全な復旧演習を実施します。
- 失敗と修正を含め結果を記録する。これは、どの監査人も求める証跡です。
バックアップおよび復旧トピックページでは、すべての要件とその出典を一覧できます。災害復旧と事業継続では、より広範な計画を扱っています。すべてのフレームワークが共有する他のトピックについては、共通の中核要件をご覧ください。
よくある質問
バックアップはどのくらいの頻度でテストする必要がありますか？
CIS Controlsは、復旧テストを四半期ごと以上に実施することを求めており（11.5）、Essential Eightは、災害復旧演習の一環として復元をテストすることを求めています。他の多くのフレームワークは、固定の頻度を定めずにテストを求めています。
フレームワークはオフラインまたは変更不可のバックアップを求めていますか？
明示的にそう述べているものは少数です。CIS Controlsは復旧データの隔離されたインスタンスを求めており（11.4）、Essential Eightの上位の成熟度レベルでは、特権アカウントを含むアカウントがバックアップを変更または削除することを禁じています。
クラウドサービスを利用すればバックアップは不要になりますか？
いいえ。クラウドプロバイダーはインフラストラクチャを保護しますが、ほとんどは、利用者自身のデータの削除、破損、暗号化から利用者を守るものではありません。フレームワークは、利用者が責任を負うデータのバックアップと復元テストを引き続き求めています。
データ基準日：2026-10-27。本記事の数値は現行の対応表から算出しており、対応表が更新されると数値も更新されます。 対応表 公開されたクロスウォーク（NIST、ENISA、CIS、PCI SSC）によって関連付けられたもの · 編集 対応するクロスウォークが存在しない箇所における ControlMapping の判断（理由を表示） · CSF 2.0のアウトカムを1つ共有するのみ：確認の価値はあるが、マッピングではありません · 当サイトのデータにはマッピングがありません 当サイトのデータではマッピングされていません。新規の取り組みであることが多いですが、カバレッジに関する注記を確認してください. 準拠に関する助言ではありません。
関連記事
分析 · 2026-10-27APRA CPS 234とISO 27001：ISMSがカバーする範囲とAPRAが追加する要件ISO 27001のISMSは、APRAのCPS 234のほぼすべての段落をカバーしています。しかしAPRAは、取締役会の責務、第三者による保証、厳格な通知期限を追加しています。
分析 · 2026-10-27Cyber Essentials と Essential Eight の比較：2つの国家ベースラインを対比英国の Cyber Essentials とオーストラリアの Essential Eight はどちらも一般的な攻撃を対象としていますが、カバーする領域は異なります。何が重なり、何が重ならないのか、そしてその理由を解説します。
分析 · 2026-10-27DORA対NIS2：NIS2プログラムで既にカバーされている範囲DORAとNIS2はセキュリティ要件の大半を共有していますが、DORAは情報登録簿、契約条件、脅威ベースのテストを追加しています。条文ごとに、何を引き継げるかを示します。