4.4災害復旧と事業継続

どれだけ守りを固めても、災害・障害・攻撃で「止まる」ことは起こり得ます。大切なのは、止まった後にどれだけ早く・どこまで元に戻せるかを、あらかじめ決めておくことです。この節では、ITシステムの復旧手順に絞ったDRP（災害復旧計画）と、事業全体を止めないための広い計画であるBCP（事業継続計画）の違い、復旧の目標時間であるRTOとデータ損失の許容量であるRPO、その土台となるバックアップ、そして検知的/予防的/是正的という3種のDRコントロールを、「止まった後どう立ち直るか」を設計する視点で学びます。

4.4.1DRPとBCP・RTOとRPO

• DRP（Disaster Recovery Plan・災害復旧計画）＝サーバ・データ・ネットワークといったITシステムを復旧させる手順に焦点を当てた計画。「壊れたシステムをどう元に戻すか」を具体的に定める、より技術寄りの計画。
• BCP（Business Continuity Plan・事業継続計画）＝災害時にも事業全体を止めない/早く再開するための広い計画。IT復旧だけでなく、代替拠点・人員・業務手順・連絡体制まで含む。DRPはBCPの一部（IT部分）という関係を押さえる。
• RTO（Recovery Time Objective）＝どれだけ早く復旧させるかの目標時間（例：4時間以内に復旧）。RPO（Recovery Point Objective）＝どの時点まで戻せるか＝許容できるデータ損失量（例：直近1時間分までは失ってよい）。RTOは「時間」、RPOは「データのどこまで」を決める。

4.4.2バックアップと3種のDRコントロール

• バックアップ＝データの複製をあらかじめ取り、破損・消失時に復元できるようにする備え。RPOを満たすにはバックアップの頻度が鍵（1時間ごとに取れば損失は最大1時間分）。世代管理や遠隔地保管（オフサイト）で、同時被災や上書きにも備える。
• DRコントロールは目的で3種に分かれる：予防的（preventive）＝そもそも起きにくくする（冗長化・UPS・定期バックアップ）／検知的（detective）＝異常や障害を気づく（監視・アラート・ログ）／是正的（corrective）＝起きた後に元へ戻す（バックアップからの復元・フェイルオーバー・復旧手順の実行）。

深夜、基幹の受注システムを載せたサーバが障害で停止したとします。ここで慌てず動けるかは、事前にBCPとDRPを用意していたかで決まります。まず事業全体の視点（BCP）では、システムが止まっている間も受注を止めないために、電話やメールで注文を受ける代替手順に切り替える、といった業務レベルの継続策が動きます。並行して、IT復旧の具体手順（DRP）に従い、サーバの復旧作業を進めます。この復旧で意識するのが2つの目標値です。RTOは「何時間以内に復旧させるか」で、たとえば4時間と決めていれば、それを超えそうなら代替機への切り替え（フェイルオーバー）を判断します。RPOは「どの時点まで戻せるか＝どれだけのデータ損失を許すか」で、バックアップを1時間ごとに取っていれば、失うのは最大でも直近1時間分の受注データに抑えられます。ここでRTOは時間、RPOはデータのどこまでという違いを取り違えないことが肝心です。さらに、今回の一連の対処はDRコントロールの3分類で整理できます。障害に気づけたのは監視アラート＝検知的コントロール、日頃から冗長化やUPS、定期バックアップで起きにくく/被害を小さくしていたのが予防的コントロール、そしてバックアップからの復元やフェイルオーバーで元へ戻すのが是正的コントロールです。入門段階では、この「DRP（IT）とBCP（事業全体）」「RTO（時間）とRPO（データ）」「予防的/検知的/是正的」という3組の区別を正確に持つことが、止まった後に落ち着いて立ち直るための土台になります。

4.4.3この節のまとめ

• DRPはIT復旧手順に特化、BCPは事業全体の継続を扱う広い計画で、DRPはBCPの一部
• RTOは復旧までの目標時間、RPOは許容データ損失量（バックアップの頻度で決まる）。取り違えない
• DRコントロールは予防的（起きにくく）/検知的（気づく）/是正的（元へ戻す）の3種で整理する