バックアップの保存先と、その守り方

三つのコピーのルール

データは三つ持ちましょう。サイトそのものと二つのバックアップを、二種類の異なる媒体に、うち一つはサイトのサーバーの外に。一つが失われても、残りの二つが残ります。

三つの保存先、三つの用途

• サイトのサーバー上。更新でサイトが壊れたあと、すばやく元に戻すのに便利です。ただし、サーバー自体が落ちたら役に立ちません。
• 自分のパソコン。サーバーの外にあります。ただし、忘れずに保存し、ファイルを大切に保管することが条件です。サイト全体が入っているからです。
• 自分専用のストレージ。SFTPサーバーや、多くのストレージサービスが提供しているS3互換ストレージ。サーバーの外にあり、バックアップが自動で送られるなら、覚えておく必要もありません。

鍵をかける

バックアップにはすべてが入っています。アカウント、注文、お客様からのメッセージ。公開フォルダに置き忘れれば、誰でもダウンロードできてしまいます。だからバックアップは暗号化し、その鍵はファイルとは別の場所に保管しなければなりません。そうでないと、ファイルを見つけた人が、それを開く手段まで手に入れてしまいます。

GDPRはどうなる？

サイトに個人のデータ（お客様、登録者、注文）が保存されていれば、バックアップにもそれが含まれます。GDPRが特に求めているのは、次のことです。

• データを復旧できること、そしてインシデントの後、適切な期間内にデータへのアクセスも回復できること（第32条）。これはまさにバックアップの役割です。
• データを保護すること。たとえば暗号化によって（第32条）。
• 必要以上に長く保存しないこと（第5条）。保存期間を決め、古いものは自動で削除されるようにしましょう。
• データがどこにあるかを把握すること。欧州連合の外にあるストレージはデータの移転にあたり、適切な保護措置が必要です（第5章）。ストレージのリージョンは、そのことを理解したうえで選びましょう。

暗号化は情報漏えいの際にも役立ちます。盗まれたデータが、アクセス権限のない者には理解できない状態であれば、GDPRは影響を受ける本人一人ひとりへの通知を免除しています（第34条）。