BCP / DR

BCP（Business Continuity Plan：事業継続計画）とは、自然災害、サイバー攻撃、システム障害などの緊急事態が発生した際に、事業の中断を最小限に抑え、重要な業務を継続・早期復旧するための包括的な計画です。BCPは単なるIT復旧計画ではなく、人員配置、代替拠点の確保、サプライチェーンの代替手段、コミュニケーション体制など、事業全体を対象とした計画であり、経営層のリーダーシップのもとで策定・維持されるべきものです。

DR（Disaster Recovery：災害復旧）とは、BCPの中でも特にITシステムやデータの復旧に焦点を当てた計画・プロセスです。DRでは、RTO（Recovery Time Objective：目標復旧時間）とRPO（Recovery Point Objective：目標復旧時点）という2つの重要な指標を定義し、システムごとに許容されるダウンタイムとデータ損失量を明確にします。これらの指標に基づいて、バックアップ戦略やレプリケーション構成、フェイルオーバー手順が設計されます。

近年、ランサムウェア攻撃の急増により、サイバーインシデントを想定したBCP/DRの重要性が飛躍的に高まっています。従来の自然災害対策に加え、バックアップデータ自体が暗号化されるリスクや、復旧環境が再感染するリスクを考慮したサイバーレジリエンスの観点が不可欠です。BCP/DRは策定して終わりではなく、定期的な訓練と見直しを通じて実効性を確保し続けることが求められます。

RTO（目標復旧時間）とRPO（目標復旧時点）

RTOは、インシデント発生からシステムが復旧するまでの許容最大時間です。例えば、ECサイトのRTOが4時間であれば、障害発生から4時間以内にサービスを再開する必要があります。RTOが短いほど、ホットスタンバイやアクティブ-アクティブ構成など高コストな冗長化が必要になります。

RPOは、復旧時にどの時点までのデータを保証するかを示す指標です。RPOが1時間であれば、最大1時間分のデータ損失が許容されます。RPOを短くするにはリアルタイムレプリケーションや頻繁なバックアップが必要であり、RPO=0（データ損失ゼロ）を実現するには同期レプリケーションが求められます。

BIA（ビジネスインパクト分析）

BIA（Business Impact Analysis）は、BCP策定の第一歩となる重要なプロセスです。各業務プロセスが停止した場合の財務的影響、顧客への影響、法規制上の影響、レピュテーションへの影響を定量的・定性的に評価し、業務の優先順位を決定します。

BIAの結果に基づいて、各システムのRTO/RPOが設定され、復旧の優先順位が明確になります。例えば、オンラインバンキングシステムはRTO=15分・RPO=0に設定される一方、社内イントラネットはRTO=24時間・RPO=4時間で十分とされるかもしれません。このように、ビジネス要件に基づいた合理的なリソース配分を行うことがBIAの目的です。

DRサイトの構成パターン

DRサイト（災害復旧拠点）には、コストと復旧速度のバランスに応じた複数の構成パターンがあります。ホットサイトは、本番環境と同等のシステムが常時稼働しており、数分～数時間で切り替え可能ですが、運用コストが最も高くなります。ウォームサイトは、ハードウェアは設置済みですがデータの同期頻度が限定的で、復旧に数時間～1日程度かかります。コールドサイトは、施設とネットワーク接続のみが用意された状態で、復旧に数日～数週間を要しますが、コストは最も低くなります。

クラウドの普及により、DRaaS（Disaster Recovery as a Service）の活用が進んでいます。AWS、Azure、GCPなどのクラウドプラットフォームを利用することで、必要な時だけDR環境を起動する柔軟な構成が可能になり、コストを大幅に削減できます。

ランサムウェアを想定したBCP/DR

従来のBCP/DRは自然災害やハードウェア障害を主な想定としていましたが、現在ではランサムウェア攻撃への対応が最重要課題の一つです。ランサムウェアは本番データだけでなく、バックアップデータやDR環境にも感染を拡大する可能性があるため、オフラインバックアップ（エアギャップバックアップ）の確保が不可欠です。

また、復旧作業自体がマルウェアの再感染リスクを伴うため、クリーンな環境での復旧手順、復旧後の整合性検証、段階的なサービス再開プロセスなどを事前に計画しておく必要があります。3-2-1バックアップルール（3つのコピー、2種類のメディア、1つはオフサイト）に加え、1つはオフライン・不変（イミュータブル）であることが推奨されます。

BCPの国際規格とフレームワーク

ISO 22301は、事業継続マネジメントシステム（BCMS）の国際規格であり、BCPの策定・実施・維持・改善のための要求事項を定めています。PDCAサイクルに基づくBCMSの構築を求めており、認証取得により組織の事業継続能力を対外的に証明することができます。

日本では、内閣府の「事業継続ガイドライン」や、経済産業省の「ITサービス継続ガイドライン」がBCP/DR策定の参考とされています。特に金融機関においては、FISC（金融情報システムセンター）の安全対策基準がDRに関する詳細な要件を規定しています。

• 01
  BIA（ビジネスインパクト分析）の定期実施：少なくとも年1回、BIAを実施して各業務システムの重要度とRTO/RPOを見直してください。ビジネス環境の変化やシステム構成の変更を反映し、復旧優先順位を最新の状態に保つことが重要です。
• 02
  オフライン・イミュータブルバックアップの確保：ランサムウェア対策として、バックアップの少なくとも1つはネットワークから分離されたオフライン環境に保管してください。イミュータブルストレージ（書き換え不可能な保存領域）を活用し、攻撃者によるバックアップの改ざん・暗号化を防止しましょう。
• 03
  DR訓練と復旧テストの定期実施：四半期ごとに机上演習、年1回以上の実機切り替え訓練を実施してください。実際にバックアップからの復旧を行い、RTOとRPOが達成可能であることを検証しましょう。訓練結果に基づくBCP/DRの改善を継続的に行うことが重要です。
• 04
  クラウドDR環境の構築と自動化：DRaaS（Disaster Recovery as a Service）を活用し、クラウド上にDR環境を構築してください。Infrastructure as Code（IaC）によるDR環境の自動構築と、自動フェイルオーバー機能の実装により、復旧時間を短縮し人為的ミスを削減できます。
• 05
  サプライチェーンを含むBCPの整備：自社だけでなく、主要なサプライヤーやクラウドサービスプロバイダーのBCP/DR能力も評価してください。外部サービスの障害が自社業務に与える影響を分析し、代替手段や冗長化を計画に含めましょう。
• 06
  コミュニケーション計画と役割の明確化：インシデント発生時の指揮命令系統、社内外への連絡手順、広報対応、監督官庁への報告手順を事前に文書化してください。担当者が不在の場合の代行者を指定し、連絡先リストを最新の状態に維持しましょう。