変更要約: 初版
4.1ITサービス継続管理（ITSCM）とBCP・災害対策
災害等の重大障害からサービスを目標時間内に復旧させるITサービス継続管理（ITSCM）、事業全体の継続計画であるBCPとの関係、復旧目標を数値で定めるRTO（目標復旧時間）・RPO（目標復旧時点）・MTPD（最大許容停止時間）、そして復旧サイトのホット/ウォーム/コールドサイトの選択を学び、事業影響とコストの制約下で継続方式を選ぶ判断力を養います。
サービスマネージャにとって、サービス継続は「絶対に止めない」ことを目指す作業ではありません。あらゆる障害を防ぐことは費用対効果が合わないため、「どこまでの停止・データ損失を許容し、そのためにいくらの対策コストをかけるか」を事業影響から逆算して決めるのが本質です。この節では、事業全体の継続計画であるBCPの中でITの復旧を担うITSCMの位置づけを踏まえ、復旧目標（RTO/RPO/MTPD）と復旧サイト方式を、事業影響とコストのトレードオフの中で選ぶ判断軸を養います。
4.1.1ITSCMとBCPの関係
- BCP（事業継続計画）＝災害・システム障害・パンデミック等で事業が中断した際に、中核事業を許容時間内に復旧・継続させるための事業全体の計画。対象はITに限らず、要員・拠点・サプライチェーン・代替手段を含む。ITSCM（ITサービス継続管理）は、そのBCPが定める事業復旧目標を満たすように、ITサービスの復旧を計画・準備・訓練するサービスマネジメントのプロセス。つまりITSCMはBCPの一部であり、BCPが上位・ITSCMが従属の関係。
- ITSCMは「復旧計画を作って終わり」ではなく、定期的な訓練・テスト（実際に切り替えてみる）と、事業やシステム変更に合わせた計画の見直しまで含む継続的な活動である。計画が最新のシステム構成を反映していなければ、いざという時に復旧手順が通用しない——訓練で初めて発覚する手順の陳腐化・依存関係の見落としを潰すことがITSCMの実効性を左右する。
4.1.2RTO・RPO・MTPD
- RTO（目標復旧時間）＝障害発生からサービスを復旧させるまでの目標時間（「何時間以内に復旧させるか」＝時間軸の下流方向）。RPO（目標復旧時点）＝復旧時にどの時点のデータまで戻せるかの目標時点（「いつの時点までのデータ損失を許容するか」＝障害発生時から見て上流方向のデータ）。RTOは復旧の速さ、RPOは許容するデータ損失量を定める、別々の軸である。
- MTPD（最大許容停止時間・MAOとも）＝事業が耐えられる停止の絶対的な上限時間で、これを超えると事業存続が危うくなる境界。RTOは必ずMTPDより短く設定しなければならない（MTPDに達する前に復旧を終える必要があるため）。RPOを短くするほど（データ損失を小さくするほど）バックアップ/レプリケーションの頻度と設備コストが上がり、RTOを短くするほど（速く復旧するほど）待機系設備のコストが上がる——復旧目標を厳しくするほどコストが上がるトレードオフを事業影響度分析（BIA）で決める。
「RTO＝復旧までの目標時間（速さ）」「RPO＝どの時点のデータまで戻すか（許容するデータ損失量）」「MTPD＝事業が耐えられる停止の絶対上限で、RTO＜MTPD」の区別が最頻出です。RTOとRPOを混同しないこと——RTOは時間、RPOはデータの時点で、別々の軸です。復旧目標は事業影響度分析（BIA）からコストとのトレードオフで決めます。
4.1.3復旧サイト（ホット/ウォーム/コールド）と遠隔地
- ホットサイト＝本番と同等の設備・データをほぼリアルタイムで同期した待機系を常時稼働させ、極めて短いRTO/RPOで切り替えられるが、設備を二重に持つため最もコストが高い。ウォームサイト＝機器やソフトは用意しつつデータは定期的に転送する中間形態で、RTO/RPOは中程度、コストも中程度。コールドサイト＝電源・空調・設置スペースのみを確保し、機器の搬入・セットアップは災害後に行う形態で、RTO/RPOは長い（復旧に日単位を要する）が最も安価。
- 復旧サイトは本番拠点と同時に被災しない距離＝遠隔地に置くのが原則。同一データセンタ内や近接地に待機系を置くと、大規模地震・広域停電・洪水で本番系と待機系が同時に失われ、継続対策が無意味になる。ただし遠隔地ほど回線遅延・運用要員の移動・コストが増すため、「同時被災しない距離」と「同期性能・運用性・コスト」のバランスで立地を決める。
あるオンライン決済サービスのサービスマネージャが、災害対策サイトの方式を再検討しているとします。事業影響度分析（BIA）の結果、決済処理は停止が4時間を超えると加盟店離れで事業存続に関わる（MTPD＝4時間）こと、また決済データは1件たりとも失ってはならない（RPO＝ほぼ0）ことが判明しました。まず判断すべきは、RTOをMTPD（4時間）より確実に短く——例えば1時間以内——に設定することです。ここで復旧サイトを選ぶと、コールドサイトは機器搬入から復旧に日単位を要しRTO1時間を到底満たせず却下、ウォームサイトもデータの定期転送方式ではRPOほぼ0を満たせないため却下となります。したがってホットサイトを遠隔地に構え、決済データは同期レプリケーションで待機系にリアルタイム反映する構成が要件を満たします。ここでコスト削減を理由に「待機系を本番と同じデータセンタに置けば回線遅延も減りコストも抑えられる」と判断するのは重大な誤りです——同一拠点では大規模災害で本番系と待機系が同時に失われ、継続対策そのものが成立しません。遠隔地の同期レプリケーションは回線遅延で決済応答が悪化しうるため、同期方式・回線帯域・整合性の担保をあわせて設計する必要があります。サービスマネージャは、RPO・RTOという事業要件をまず数値で確定し、その数値を満たせない方式を消去法で外してから、残る選択肢のコストと運用性を比較するという順序で判断します。要件を決める前にコストから入ると、安いが要件を満たさない方式を選んでしまいます。
| 復旧サイト | RTO/RPO | コスト | 概要 |
|---|---|---|---|
| ホットサイト | 極めて短い | 高い | 本番同等の待機系を常時稼働・ほぼリアルタイム同期 |
| ウォームサイト | 中程度 | 中程度 | 機器は用意しデータは定期転送 |
| コールドサイト | 長い（日単位） | 低い | 電源/空調/場所のみ確保・機器は災害後に搬入 |
ひっかけ： 「RTOを短くすればRPOも自動的に短くなる」は誤りです——RTO（復旧の速さ）とRPO（許容データ損失の時点）は独立した別の軸で、片方を厳しくしても他方は改善しません。また「待機系は本番と同じ拠点に置くほど切替が速く有利」も誤り＝同一拠点では大規模災害で本番系と待機系が同時被災し、継続対策が無意味になります。復旧サイトは遠隔地に置くのが原則です。
4.1.4この節のまとめ
- ITSCMは事業全体のBCPの一部としてITサービスの復旧を計画・訓練・見直しする継続的な活動である
- RTOは復旧までの目標時間、RPOは戻せるデータの時点（許容データ損失量）で別々の軸、MTPDは停止の絶対上限でRTO＜MTPD
- 復旧サイトはホット/ウォーム/コールドでRTO/RPOとコストがトレードオフ、原則として同時被災しない遠隔地に置く
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. あるサービスのBIAで、停止は4時間を超えると事業存続に関わり（MTPD=4時間）、データは1件も失えない（RPO≒0）ことが判明した。災害対策サイトの方式選択として最も適切なものはどれか。
Q2. サービスマネージャが災害復旧計画（DRP）の実効性を高めるうえで、最も重視すべき継続的な活動はどれか。
Q3. RTOとRPOの関係についての説明のうち、最も適切なものはどれか。