要点
- Exchange Onlineは既定で、完全に削除されたアイテムを14日間（最長30日間）保持します。
- 削除されたユーザーを復元できるのは30日間です。それを過ぎると、アカウントとメールボックスは失われます。
- Exchange、OneDrive、SharePoint、Teamsに加え、共有メールボックスも対象に含めてください。
- ツールの接続には、全体管理者ではなく最小権限の専用アプリケーションを使用してください。
- 四半期ごとに、メールボックスとサイトを1つずつ試験的に復元してください。
Microsoftが保持するデータとその期間
サブスクリプションに含まれるもの・含まれないものの詳細は、Microsoft 365には本当にバックアップが含まれているのか？で解説しています。本ページでは方法を説明します。Microsoftが公開している標準の復旧期間を押さえておきましょう。
| 状況 | 標準の復旧期間 |
|---|---|
| Exchange Onlineのメールボックスから完全に削除されたアイテム | 既定で14日間、最長30日間 |
| 削除されたユーザーアカウント（メールボックスを含む） | 30日間 |
| 削除されたユーザーのOneDrive | 既定で30日間（変更可能）、その後ごみ箱で93日間 |
これらの期間は、当日に気づいた操作ミスには十分です。しかし、1か月後に発覚したアカウント侵害や、アカウントを乗っ取られた管理者による削除には対応できません。
対象に含めるべきもの
- Exchange Online：メッセージ、フォルダー、予定表、連絡先。侵害されたアカウントによってメールボックスが削除または空にされるケースが最も多く見られます。
- OneDrive：ユーザーのファイル。Microsoftのバージョン管理には、期間とバージョン数の上限があります。
- SharePointとTeams（TeamsのファイルはSharePointに保存されています）：チームサイト、ライブラリ。共同作業の成果の多くはここにあります。
- 個人ユーザーだけでなく、共有メールボックスや設備用メールボックスも含めます。
これら3つのサービス以外にデータを保存するアプリケーション（テナント内の一部のサードパーティアプリ）は、汎用的な「Microsoft 365」バックアップの対象外です。事前に洗い出しておく必要があります。
方法
- メールボックスとサイトを棚卸しします。退職から30日未満のアカウントや共有も含めます。
- Microsoft APIに、最小権限で強力な認証により保護された専用アプリケーションで接続するツールを選びます。パスワードがスクリプト内に残っているような全体管理者アカウントは避けてください。
- 頻度を決めます。多くの中小企業では1日1回で十分です。経営陣や活発な営業担当のメールボックスでは、1日複数回が妥当な場合もあります。この頻度がメールのRPOになります。
- 保持期間を決めます。30～90日あれば、操作ミスとアカウント侵害の大部分をカバーできます。それ以上は、業務ルールで正当化されるものだけを保管してください。バックアップされたメールボックスにもEU一般データ保護規則（GDPR）が適用されます。
- コピーはテナントの外に、暗号化して保存します。ランサムウェア対策期間中はイミュータブルにするのが理想です。CNIL（フランスのデータ保護機関）は、バックアップを元データと同じセキュリティ水準で保護するよう推奨しています。
- 試験的に復元します。テスト用メールボックスへのメールボックス復元、OneDriveのフォルダー、サイトを、少なくとも四半期に一度実施します。
初回はツールが読み取れる履歴をすべてコピーするため、時間がかかります。2回目以降は変更分のみを取得します。
退職者のアカウントを削除する前に、そのメールボックスとOneDriveがバックアップに含まれていることを確認してください。30日を過ぎると、Microsoftではユーザーを復元できなくなります。
よくある誤り
- Microsoftの保持ポリシーを有効にして「バックアップ済み」と考えること。保持ポリシーはテナント内の一部の削除を防ぐだけで、独立したコピーは作成しません。
- 共有メールボックスを忘れること。
- ツールに恒常的な全体管理者ロールを付与すること。
- 一度も復元を試さず、APIアプリケーションが半年前から無効化されていたことに後から気づくこと。
WeDoBackの場合
Microsoft 365は対象範囲に含まれます。メール、予定表、連絡先、さらにSharePointとOneDriveです。公開料金ではメールアドレスごとに1エージェントが必要で、これに保管容量に応じたSMARTまたはINTEGRALのストレージが加わります。暗号化は送信前に行われ、鍵はお客様が保持します。コピーはテナントの外、バックアップ専用サーバーに保存されます。バックアップは24時間体制で監視されています。導入はコンソールから行うか、技術者による導入支援（1時間あたり45 €、税抜）をご利用いただけます。サポートは+33 9 72 50 78 28で、9:00～13:00および14:00～17:30（パリ時間）に対応します。
よくある質問
Microsoftがすでにデータをバックアップしているのではありませんか？
Microsoftが保証するのは、サービスの可用性とデータセンターの冗長性です。標準のサブスクリプションでは、お客様が選んだ日付に復元できる独立したコピーは提供されません。標準の復旧期間は短く、メールボックスから削除されたアイテムは既定で14日間、削除されたユーザーは30日間です。
Microsoft Purviewの保持ポリシーで十分ですか？
保持ポリシーはテナント内での一部の完全削除を防ぎ、コンプライアンスに役立ちます。しかしデータは同じテナント内に、同じ管理者の権限下に残ります。また、メールボックスやサイトを特定の日付の状態に一括で復元することは目的としていません。補完策であって、外部コピーではありません。
退職した従業員のメールボックスのバックアップは、どのくらいの期間保管すべきですか？
業務上の必要性や法的義務によって正当化される期間であり、無期限ではありません。メールボックスには、EU一般データ保護規則（GDPR）の対象となる個人データが含まれるためです。また、アカウントを削除する前にメールボックスをバックアップしてください。Microsoftで削除されたユーザーを復元できるのは30日間だけです。
関連ガイド
出典
2026年10月に参照した資料です。
- Exchange Onlineメールボックスで完全に削除されたアイテムの保持期間を変更する（英語） — Microsoft Learn
- ユーザーを復元する（英語） — Microsoft Learn
- OneDriveの保持と削除（英語） — Microsoft Learn
- セキュリティ：バックアップする（フランス語） — CNIL
- プランと料金 — WeDoBack