発注元のセキュリティチェックシートに、「Boxデータのバックアップ・復旧」で答えるための実務ガイド

14 Aug 2026

読了時間：約10分

SCS評価制度を見据えた、Boxの独立バックアップ、復旧手順、証跡および回答文例

本資料の位置づけ

SCS評価制度は組織全体のセキュリティ対策を評価する制度であり、特定製品の導入を認証する制度ではありません。

本資料は、制度要求や発注元の調査票のうち、Boxに保存する業務データのバックアップ、保持、復旧および復旧確認に関する論点を整理するものです。SysCloudの導入だけで★3・★4の取得を保証するものではありません。

1. SCS評価制度とBoxバックアップ

SCS評価制度は、サプライチェーンを構成する企業のIT基盤について、共通基準で対策状況を評価・可視化する仕組みです。対象にはクラウド環境で運用するIT基盤も含まれます。★3・★4の申請受付は2026年度末頃が予定されています。

Boxに図面、仕様書、契約書、顧客資料などを集約している場合、それらの消失や長期利用不能は事業継続に直結します。そのため、調査票では「バックアップを取っているか」だけでなく、何を、どの頻度で、どれだけ保持し、誰がどの手順で復旧できるかまで説明できることが重要です。

重要 SCS評価制度は特定のバックアップ製品を必須としていません。SysCloudは、関連する技術的対策と証跡の一部を支援します。規程、責任者、教育、復旧目標、定期テストなどは利用企業側で整備する必要があります。

2. Boxの保持機能と独立バックアップの違い

観点	Boxの保持・ガバナンス機能	SysCloudによる独立バックアップ
主な目的	Box内のコンテンツをポリシーに従って保持・管理	Boxとは別のバックアップアーカイブからデータを復旧
保存期間	契約プランと設定した保持ポリシーに依存	既定では無期限。カスタム保持期間は、各アイテムの最終更新日時（タイムスタンプ）を基準に設定
復旧単位	Box標準機能・契約条件に依存	ユーザー、フォルダ、ファイル単位
復旧先	Box標準機能の範囲	元の所有者または別ユーザー
付随情報	標準復旧の仕様に依存	選択により共有権限やコメントを伴う復元が可能
役割	保持・コンプライアンス管理	データレジリエンスと復旧手段の分離

両者は競合ではなく補完関係です。「保持されていること」と「独立した復旧手段を持つこと」を分けて説明します。

3. 調査票で確認される項目とSysCloud

◎＝SysCloudの公開仕様で説明可能、△＝SysCloudと利用企業の運用を組み合わせて説明、―＝利用企業側で整備

確認項目	説明できる内容	区分	主な証跡
1 . バックアップの実施	Boxユーザーを選択したバックアップジョブを作成し、自動バックアップ	◎	ジョブ設定、管理画面
2 . バックアップ頻度	毎日1回の自動同期・バックアップ。必要時にオンデマンド実行	◎	バックアップ状態、スナップショット
3 . 保存期間	既定では無期限。カスタム保持期間は、各アイテムの最終更新日時（タイムスタンプ）を基準に日・月・年単位で設定可能	▲	保持設定、自社保存方針
4 . 過去時点からの復旧	日付または日付範囲から過去のスナップショットを選択	◎	スナップショット画面
5 . 復旧対象の粒度	ファイル、フォルダ、ユーザーアカウント単位の復元	◎	復元画面、ヘルプ記事
6 . 退職者等のデータ復旧	元の所有者または別ユーザーへの復元	▲	復元先設定、退職者対応手順
7 . 構造・共有権限	選択によりフォルダ構造と共有権限を維持して復元	◎	復元オプション、復元結果
8 . コメント	選択によりBoxコメントを伴う復元	◎	復元オプション、復元結果
9 . 復旧状況の確認	復元レポートで進捗を確認	◎	復元レポート
10 . 定期的な復旧テスト	任意データの復元操作は可能。頻度、合格基準、記録は利用企業が定義	▲	テスト計画、復元レポート、結果記録
11 . アクセス管理	管理者がBoxとの接続、対象ユーザー、ジョブを管理	▲	権限一覧、承認記録、棚卸記録
12 . 障害・エラー管理	バックアップ状態を確認。Box API制限等は次サイクルまたは再試行で対応	▲	エラー履歴、再試行・完了記録
13 . RPO・RTO	業務影響に基づく目標値は利用企業が定義	ーー	BCP、復旧計画、テスト結果
14 . 教育・責任体制	利用企業側で責任者、代行者、教育、連絡体制を整備	ーー	規程、体制図、教育記録

4. SysCloudの4つの説明価値

① 毎日の自動保護

Boxアカウントを毎日1回自動的に同期・バックアップ。重要作業の前などはオンデマンドバックアップも実行できます。

② 長期保持と履歴

既定ではバックアップデータを無期限保持。過去のスナップショットを日付で選び、必要な時点へ戻せます。

③ 柔軟な復元先

ファイル、フォルダ、ユーザー単位で、元の所有者または別ユーザーへ復元。退職・異動時の引き継ぎにも活用できます。

④ 業務文脈を保つ復旧

選択により共有権限、フォルダ構造、Boxコメントを伴って復元し、復元後の再設定工数を抑えます。

5. セキュリティ・サービス水準の客観的根拠

確認事項	公開情報に基づく説明	参照資料
データ保管場所	日本国内向けBoxバックアップデータは国内サーバーに保管	製品仕様・契約資料
通信・保管データの保護	転送中はTLSで保護し、保存時および転送時のデータにアクセス制御、トークン化、暗号化等の統制を実施	セキュリティプラクティス
アクセス管理	最小権限、RBAC、四半期ごとのアクセスレビュー、本番環境への2要素認証を実施	セキュリティプラクティス
監視・脆弱性管理	ログ監視、インシデント追跡、定期的な脆弱性・セキュリティテスト、CVSSに基づく評価と再テストを実施	セキュリティプラクティス
第三者統制の確認	AWSからSOC 2レポートを毎年取得し、AWSが実装する統制の設計・運用の有効性を評価	セキュリティプラクティス
バックアップ頻度	初回バックアップ完了後、少なくとも24時間に1回の増分バックアップ	サービスレベルアグリーメント
可用性	SysCloudバックアップアプリケーションについて99.9%の可用性を約束。未達時のサービスクレジットを規定	サービスレベルアグリーメント
重大障害時のサポート	サービス停止など重大な影響について、24時間365日、1時間以内の応答、8時間の解決時間を規定	サービスレベルアグリーメント

「第三者監査」については、公開ページに記載された範囲をそのまま使用しています。SysCloud自体のSOC 2 Type 2報告書を指す表現にはしていません。

6. セキュリティ調査票回答テンプレート

角括弧内は、自社の実態に合わせて記入してください。回答と証跡が一致することを確認してから提出します。

Q1. クラウドサービス上の重要データをバックアップしていますか。

回答例：当社は、Box上に保存する重要データについて、Boxとは別のバックアップサービスであるSysCloudを利用しています。対象ユーザーを指定したバックアップジョブにより、毎日1回、自動的に同期・バックアップしています。重要な変更作業の前後には、必要に応じてオンデマンドバックアップを実行します。

提示証跡：バックアップジョブ設定、対象ユーザー一覧、直近のバックアップ状態

Q2. バックアップデータの保存期間を定めていますか。

回答例：SysCloudでは、Boxのバックアップデータを既定で無期限に保持できます。カスタム保持期間を設定する場合、Boxではアイテムレベル保持が適用され、バックアップを取得した日時ではなく、各アイテムの最終更新日時（タイムスタンプ）を基準に、日・月・年単位で保持期間が判定されます。当社は、情報資産の分類および法令・契約上の要件に基づき、保持期間を【　年／無期限】と定めています。不要となったデータの取扱いは「【規程名】」に従います。

提示証跡：SysCloudの保持タイプ・保持期間設定、自社のデータ保持・廃棄規程

Q3. 誤削除や上書きが発生した場合、過去の状態へ復旧できますか。

回答例：SysCloudのバックアップアーカイブから対象ユーザー、フォルダまたはファイルを検索し、日付または日付範囲で過去のスナップショットを選択して復元できます。既存データへの上書き、または新規フォルダとしての復元を選択できます。

提示証跡：スナップショット画面、復元操作記録、復元レポート

Q4. 退職者や異動者が所有していたBoxデータを復旧できますか。

回答例：SysCloudでは、バックアップ済みのファイル、フォルダまたはユーザーデータを、元の所有者または別のBoxユーザーへ復元できます。当社では退職・異動時の移管先を【部門責任者／後任者】が承認し、【管理者】が復元または移管を実施します。

提示証跡：退職・異動時手順、申請承認記録、復元レポート

Q5. 復旧時にフォルダ構造や共有権限を維持できますか。

回答例：復元時に「Restore with Collaborations」を選択することで、フォルダ構造および共有権限を維持した復元が可能です。また、必要に応じてBoxコメントも復元できます。復元先の権限・Box側設定により制約が生じる場合があるため、事前にテストを実施します。

提示証跡：復元オプション画面、テスト前後の権限比較、復元結果

Q6. バックアップからの復旧テストを実施していますか。

回答例：当社は【四半期／半期／年】ごとに、代表的なファイル、フォルダおよびユーザー単位の復旧テストを実施します。復元所要時間、データ完全性、フォルダ構造、共有権限およびコメントを確認し、結果と改善事項を記録します。

提示証跡：復旧テスト計画、チェックリスト、復元レポート、改善記録

Q7. バックアップまたは復旧の失敗をどのように管理しますか。

回答例：管理者はバックアップ状態および復元レポートを確認します。Box APIの利用上限により処理が一時停止した場合は、次回バックアップサイクルでの完了を確認し、必要に応じて一定時間後にオンデマンドバックアップまたは復元を再試行します。パーミッションエラーの場合は、対象データまたはユーザーのBox側設定を確認します。

提示証跡：エラー記録、再試行記録、完了確認、必要に応じた問い合わせ記録