BCP対DRP：中断と復旧への備え

事業継続計画（BCP）と災害復旧計画（DRP）は関連していますが、異なる分野です。BCPは、手動プロセス、代替サイト、サービスレベルを下げた運用モードなどによって、障害発生中も業務を継続することに重点を置きます。DRPは、災害後にITシステムとインフラを復旧することに特化しています。BCPはより広い枠組みであり、DRPはその中でテクノロジーの復旧を担う構成要素の1つです。どちらの計画も文書化し、テストを実施し、最新の状態に保つ必要があります。

BCPとDRPは、通常の運用上のインシデント対応では対処できない業務を阻害する事象によって発動されます。きっかけには、重要なシステムを暗号化するランサムウェア攻撃、主要データセンターに被害を与える自然災害（洪水、地震、竜巻など）、インフラ障害（長時間の停電、ISP障害など）、パンデミックや公衆衛生上の緊急事態（COVID-19によって、リモートワークを継続する計画の重要性が明らかになりました）、交換用ハードウェアを入手できなくするサプライチェーンの混乱などがあります。

事業影響分析（BIA）は、BCPとDRPの基盤となる文書です。BIAでは、重要な業務プロセス（どのような状況でも継続しなければならないプロセス）、重要ではあるものの遅延を許容できるプロセス、各プロセスの停止による財務上および運用上の影響（1時間あたりの収益損失、規制上の罰則、評判の毀損）、そして各プロセスの最大許容停止時間を特定します。BIAの成果は、技術的な復旧要件を決定するRTOとRPOの目標値に直接反映されます。

災害が宣言されると、危機管理チーム（CMT）が活動を開始し、組織の対応に関する権限を引き継ぎます。CMTには、上級管理職、IT、法務、広報、人事、施設管理の担当者が含まれます。CMTは、あらかじめ定められたインシデント・コマンド・ストラクチャ（ICS）に従い、誰が復旧の意思決定を行うのか、誰が顧客やメディアと連絡を取るのか、誰がベンダーや規制当局との調整を行うのか、誰が従業員の安全と福利厚生を管理するのかといった役割を明確に割り当てます。明確な指揮命令系統により、災害の影響を拡大させる混乱や意思疎通の不備を防止できます。

BCPでは通常、主要サイトが利用できなくなった場合に業務を再開するため、代替サイトを利用します。ホットサイトは、完全に設備が整った複製施設で、常時同期されており、数分以内に業務を引き継げます。ウォームサイトには機器と電源がありますが、データの読み込みやシステムの設定に数時間から数日かかります。コールドサイトは電源と接続環境だけを備えた空の施設であり、機器を搬送して設置する必要があるため、数日から数週間かかります。ホットサイトは大幅にコストが高くなりますが、重要なプロセスの停止時間を最小限に抑えられます。

相互支援協定とは、災害発生時に支援を提供するために組織間で締結する契約です。一般的な形態には、相互協定（いずれかの組織が災害に見舞われた場合に、互いの業務を受け入れることに合意する2組織間の協定）、第三者DRサービスプロバイダー（SungardやIBMなど、災害復旧施設をサービスとして提供する企業）、業界相互支援組織（電力・ガスなどの公益事業者、銀行、医療機関が、地域災害時にリソースを共有するための正式なネットワーク）があります。相互支援協定は毎年見直し、演習時に発動する必要があります。

コミュニケーション計画は、BCPの重要な構成要素です。災害時には、通常の通信手段が利用できなくなる可能性があります（メールサーバーの停止、オフィスの電話の利用不能など）。計画には、個人の携帯電話番号を記載した緊急連絡先リスト、帯域外通信チャネル（Slack、Teamsのバックアップインスタンス、個人用メール）、顧客への通知手順（ステータスページ、ソーシャルメディア、直接メール）、規制当局への通知要件（データ侵害通知法、金融規制当局への通知）、そして公表声明を管理するためのメディア対応を含める必要があります。

有効なBCP文書には、いくつかの主要な構成要素が含まれます。BIA（重要なプロセスと最大許容停止時間を特定）、BCP本体（業務を維持するための手順を段階的に記載）、DRP（IT復旧手順）、緊急連絡先一覧、ベンダー連絡先リスト（クラウドプロバイダー、ISP、主要サプライヤー）、保険関連書類、規制当局への通知手順です。すべての文書は、主要システムが利用できない場合でもアクセスできる場所に保管する必要があります。たとえば、印刷したコピー、オフラインアクセスが可能な安全なクラウドストレージ、主要担当者が保管するUSBドライブなどです。

COVID-19により、ほとんどのBCPでは、災害が特定の地域に限定されず、すべての拠点に同時に影響するパンデミックのシナリオに十分対応できていなかったことが明らかになりました。主な教訓は、従業員の20～30% בלבדを想定していたパンデミック前の設計ではなく、従業員の100%がリモートで働ける規模にVPNインフラを拡張できるようにすること、オンプレミスインフラなしで機能するクラウドベースのコラボレーションツールを導入すること、重要なプロセスを完全にリモートで実行できることを検証すること、そして従業員の自宅にオフィス環境を迅速に構築する必要がある場合に備えて、ハードウェアのサプライチェーンの継続性を確保することです。

一度もテストされていないBCPは、実際の災害時に機能しないBCPです。定期的なテスト方法には、机上演習（主要担当者と話し合いながら手順を確認する演習で、システムは起動しない）、機能演習（連絡網や復旧手順の一部を実際に起動する演習）、フルスケールテスト（業務を代替サイトへ切り替え、一定期間そこで業務を行うテスト）、そして実際の経験に基づいて計画を更新するインシデント後レビューがあります。計画は毎年見直し、インフラに重大な変更を加えた後にも更新する必要があります。

多くの規制対象業界では、BCPとDRPが義務付けられています。HIPAAでは、対象事業者に対し、データバックアップ、DR、緊急時運用手順を含むコンティンジェンシープランの策定を求めています。PCI-DSSでは、対象範囲のシステムについて、インシデント対応計画と事業継続手順が必要です。FINRAおよび銀行規制当局は、毎年のテストと規制当局への提出を含む詳細なBCPを求めています。サイバー保険の保険会社は、補償の条件として、文書化されテスト済みのBCPを求めるケースが増えています。また、補償対象の事象が発生した際に計画が存在しなかったり、テストされていなかったりすると、保険金請求を拒否する場合があります。

このレッスンで学んだCompTIA Security+ (SY0-701)の概念について、理解度を確認しましょう。

このレッスンでは、BCPは中断発生中の業務を維持し、DRPはITシステムを復旧すること、事業影響分析は復旧要件の基準となる重要なプロセスと最大許容停止時間を特定すること、そして代替サイト（ホット、ウォーム、コールド）は、主要サイトが利用できない場合に業務を再開するため、復旧速度とコストの異なる選択肢を提供することを学びました。次は、復旧目標を具体的な数値で表すRTO、RPO、MTTRについて学びます。