2.5事業継続管理

地震・水害などの自然災害やシステム障害、大規模なサイバー攻撃が発生しても、組織は重要業務を止めるわけにはいきません。あらかじめ「どの業務を、どれだけの時間で、どの時点の状態まで復旧させるか」を計画しておく活動が事業継続管理です。目標復旧時間（RTO）と目標復旧時点（RPO）という2つの目標値の違いを正確に理解し、それを実現する災害対策・バックアップ戦略に落とし込むことが本節の目標です。

2.5.1BCPとBCM

• BCP（Business Continuity Plan・事業継続計画）＝災害・事故等の緊急事態が発生した際に、重要業務をどのように継続・復旧させるかを定めた計画そのもの（文書）。優先して継続すべき業務の選定、復旧目標、対応手順などを含みます。
• BCM（Business Continuity Management・事業継続マネジメント）＝BCPを策定するだけでなく、訓練・教育・見直しを継続的に行うマネジメント活動全体。BCPが「計画（文書）そのもの」であるのに対し、BCMは策定から訓練・維持改善までを含むPDCA的な継続活動である点が違いです。BCPを作って終わりにせず、定期的な訓練で実効性を検証することが重要です。

2.5.2RTOとRPO

• RTO（Recovery Time Objective・目標復旧時間）＝業務が停止してからどれだけの時間内に復旧させるかという目標値（例：「基幹システムはRTO 4時間」）。RTOが短いほど、より迅速な復旧手段（常時稼働の予備システムなど）が必要になり、一般にコストが高くなります。
• RPO（Recovery Point Objective・目標復旧時点）＝どの時点の状態までデータを復旧させるかという目標値（例：「RPO 1時間＝障害発生の最大1時間前の状態までは復旧できる」）。RPOが短いほど、より頻繁なバックアップ・レプリケーションが必要になり、同様にコストが高くなります。
• RTOとRPOの違い＝RTOは「時間（どれだけ早く）」の目標、RPOは「データの新しさ（どこまで戻すか）」の目標という軸の違いを区別することが最重要です。RTOを短くしても、バックアップ頻度が低ければRPOは短くならず、逆にRPOを短くしても、復旧作業自体に時間がかかればRTOは短くなりません。両方は独立に検討・設定する必要があります。

2.5.3災害対策とバックアップ戦略

• 災害対策＝地理的に離れた代替拠点（バックアップサイト）の確保や、システム・回線の冗長化（多重化）により、単一拠点・単一機器の障害が業務全体の停止に直結しないようにする対策。代替拠点は平常時からの稼働状態によりコールド/ウォーム/ホットサイトなどに分かれ、稼働状態が高いほど切替は速いが維持コストも高くなります。
• フルバックアップ＝全データを毎回複製する方式。復旧は最も速いが取得に時間・容量を要します。差分バックアップ＝直近のフルバックアップ以降に変更されたデータ全てを複製する方式。増分バックアップ＝直前のバックアップ（フルまたは増分）以降に変更されたデータのみを複製する方式で、取得は最も軽量ですが復旧時にフル＋複数世代の増分を順に適用する必要があり手順が複雑になります。
• 3-2-1ルール＝バックアップの基本原則で、データを3つ（原本＋複製2つ）保持し、2種類以上の異なる媒体に保存し、そのうち1つは遠隔地（オフサイト）に置くという考え方。同一拠点・同一媒体のみに複製を置くと、火災や地震などその拠点自体を襲う災害でバックアップごと失われるため、遠隔地保管が欠かせません。

ある製造業の基幹受発注システムを例に、BCP策定の考え方を追ってみます。事業継続の検討にあたり、まず経営層と業務部門が協議し、「受発注システムが停止すると1日あたり数千万円規模の機会損失が発生する」ことから、このシステムについてRTOを4時間（4時間以内に業務を再開する）、RPOを15分（障害発生の最大15分前の状態まで復旧できればよい）と設定しました。RTO 4時間という目標を実現するには、単一のデータセンターに障害が起きても4時間以内に切り替えられる代替拠点（ウォームサイト以上の即応性を持つ拠点）をあらかじめ用意しておく必要があります。一方、RPO 15分という目標を実現するには、1日1回のフルバックアップだけでは最大24時間分のデータ損失リスクが残ってしまうため、15分間隔でのデータレプリケーション（準リアルタイムの複製）を別拠点との間で行う仕組みが必要になります。ここで重要なのは、RTOとRPOは独立した目標であり、代替拠点を用意しただけではRPOは短縮されず、レプリケーションを組んだだけではRTOは短縮されない、という点です。両方を満たすには、代替拠点への切替手順の整備（RTO対策）と、頻繁なデータ複製の仕組み（RPO対策）を別々に検討し組み合わせる必要があります。バックアップの取得方式については、容量とコストの制約から、日次のフルバックアップに加え、日中は1時間ごとの増分バックアップを取得する方式を採用しました。復旧時には前日のフルバックアップに当日の増分を時系列順に適用する手順となるため、増分の世代管理と適用順序を誤らないよう手順書を整備します。さらに3-2-1ルールに従い、バックアップデータはオンプレミスのストレージ（原本）に加え、テープ媒体（2つ目の媒体）、そして地理的に離れたクラウドストレージ（オフサイトの3つ目の複製）の計3か所に保存します。こうして策定したBCPは、作って終わりではなく、年に一度、実際にシステムを代替拠点に切り替える訓練を実施し、想定通りRTO 4時間・RPO 15分を満たせるかを検証し、満たせなければ手順を見直す、というBCMのサイクルを回すことで初めて実効性が担保されます。

2.5.4この節のまとめ

• BCP＝計画（文書）そのもの、BCM＝策定から訓練・維持改善までの継続的マネジメント
• RTO＝復旧までの時間の目標、RPO＝どの時点まで戻せるかの目標。軸が異なり両方を独立に設定する必要がある
• バックアップはフル/差分/増分を使い分け、3-2-1ルール（3複製・2媒体・1オフサイト）で拠点障害に備える