SCS評価制度の要求事項4-3-4「適切なバックアップ」とは：決めておく3つのことと、遠隔地バックアップの対象

4-3-4は何を求めているか：評価基準3項目の中身

要求事項4-3-4の原文は、「適切なバックアップを行うこと。」の1文です。何をすれば満たしたことになるかは、3つの評価基準に分けて書かれています（ ★3・★4 要求事項・評価基準 、経済産業省・IPA、2026年3月27日版）。

3項目とも★3の段階から求められ、★4で増える項目はありません。内容を要約すると次のとおりです。

大分類「攻撃等の防御」の中分類「データセキュリティ」に含まれます。★3と★4の違い、取引先に何を確認するかは SCS評価制度とは にまとめています。

この項目で用意するもの（★3）

4-3-4で用意するものは、決めごと・取得の設定・手順書の3つです。

• 文書：バックアップの取得対象、頻度、保管期間（4-3-4-1）
• 設定：決めたとおりに取得し、重要な機密情報は遠隔地（別の拠点やクラウドなど離れた場所）にも保管する（4-3-4-1、4-3-4-2）
• 文書：バックアップ対象ごとのリストア（バックアップからデータを戻すこと）手順書（4-3-4-3）

落とし穴1：頻度と保管期間の数字は、評価基準にない

毎日取るか週1回にするかは、自社で決めてかまいません。

4-3-4-1（対象・頻度・保管期間を決めて取得）は、取得対象、頻度、保管期間を「定めて」取得することを求めていますが、毎日・週1回、何日分といった数字は書かれていません。

決めるときの目安は、何日分のデータを失ったら業務が回らなくなるかです。受注や会計のように毎日変わるデータは、頻度を高くします（編集部の整理）。

落とし穴2：遠隔地バックアップは、重要な機密情報だけ

すべてのデータを別の場所に保管しなくても、4-3-4-2は満たせます。

4-3-4-2（重要な機密情報の遠隔地保管）が遠隔地バックアップを求めているのは、重要な機密情報についてだけです。どのくらい離れていればよいかの距離も、評価基準には書かれていません。

社内のサーバと同じネットワークにあるバックアップは、ランサムウェア（データを暗号化して身代金を求める攻撃）で一緒に暗号化されるおそれがあります。離れた場所に置くのは、そのためです（編集部の整理）。

落とし穴3：手順書があっても、戻すのに時間はかかる

★3で求められるのは手順書の整備までで、実際に戻せるかのテストは★4です。

4-3-4-3（リストア手順書）が求めているのは、対象ごとの手順書の「整備」です。手順書どおりに、目標の時間内に復元できるかの確認は、★4の要求事項7-1-1（7-1-1-2（目標復旧時間内の復元の確認））で求められます。

とはいえ、戻すのには時間がかかります。 つるぎ町立半田病院 は2021年10月31日にランサムウェアで電子カルテが使えなくなり、通常診療の再開は2022年1月4日でした。手順書を作ったら、一度は戻す練習をしておくと安心です（編集部の整理）。

進め方（30人規模の記入例）

編集部の記入例です。頻度や保管期間の数字は例で、評価基準の指定ではありません。

1. 取得対象を決める（例：基幹システムのデータ、共有サーバーのファイル、メールデータ）
2. 対象ごとに頻度と保管期間を決めて文書にする（例：毎日1回、30日分）
3. 重要な機密情報（例：設計図面、取引先情報）は、別の拠点またはクラウドにも保管する
4. リストア手順書を対象ごとに1枚作る（誰が、どの順で、どこから戻すか）