新型コロナウイルス感染症の世界的な流行以来、IT部門はサイバーセキュリティの強化に力を入れてきました。ハッカーによるデータの盗難や、危険性が増すランサムウェア攻撃を阻止するために、あらゆる保護対策を強化しています。その過程で、多くの企業はサイバー攻撃と同様に、甚大な被害をもたらす可能性のある他の脅威から目をそらしてしている恐れがあります。今回は、米Veeam Softwareで製品戦略担当シニアディレクターを務めるRick Vanoverと、IT業界で30年以上の経験を持つエンタープライズ戦略担当バイスプレジデントのDave Russellの視点を借りつつ、災害復旧（DR）計画策定での注意点とその手順について紹介します。
Russellによると、データ損失の最も一般的な原因は、依然としてヒューマンエラーです。誤削除や誤った上書き保存などで失うデータ量は、悪意のあるインシデントで失うデータ量の約5倍に上るといわれています。また、誤った設定やアプリケーション、ユーザー管理のエラーによってシステムがクラッシュしたり、データが削除されたり、コストのかかるシステム停止が発生したりすることもあります。
上述に加えて、自然災害の問題も深刻化しています。米国では、過去2年間に記録的な数の熱帯暴風雨が発生しており、専門家は気候変動によって被害がさらに拡大すると予想しています。直近のハリケーン「アイダ（Ida）」による経済的な打撃だけでも、企業、消費者、地域社会において1億ドルに迫る損失が生じています。
サイバー攻撃への関心が高まるのは当然のことですが、企業は、今日見られる脅威に対処するために、DR計画の優先順位を見直す必要があります。従業員のトレーニングに投資し、DRプロセスの機能を自動化し、事業継続を脅かす不測のインシデントに対応できるようDR計画とプロセスを準備することが求められています。
DR計画とプロセスを入念に準備する
DR計画とプロセスの準備を怠ると、事業経営に支障をきたす可能性があります。ある調査によると、壊滅的なデータ損失を経験した企業の94％が事業継続を絶たれており、そのうち43％が事業を再開できず、51％が2年以内に倒産しています。
Veeamが2021年3月に発表した「データプロテクションレポート 2021」では、事業を継続できた場合でも、1時間当たり8万4650ドルの売り上げが消失し、生産性が損なわれています。企業が被る損失はそれだけでなく、顧客の信頼喪失やブランド毀（き）損といった外部からの影響、従業員の士気低下や人材流出など内部的な影響もあります。さらに、企業評価に大きな影響を与える訴訟や規制にも直面します。
不測の事態によるこうした損失を避けるために、従業員のトレーニングから始めるのが良いでしょう。コロナ禍で、従業員向けのサイバーセキュリティ研修を新たに取り入れなかった企業は、特に最優先すべきです。この研修には、インシデント発生時の通知手順の順守から、強力なパスワードの設定、フィッシング詐欺の回避など、通常業務でのベストプラクティスが含まれます。
また、トレーニングの対象は、IT部門担当者にも広げることが望ましいでしょう。システムの構成エラーは、一連のベストプラクティスに従うことで減らすことができます。これには、単一の設定ソースを作成したり、設定変更を簡単に追跡する方法を提供したり、全てのサービスにDNSサービス名を使用することなどが含まれます。想定される全ての条件をテストすることは難しいため、アプリケーションエラーは必ず起こります。しかし、定期的にテスト手順を見直し改訂していくことで、パフォーマンスが向上し日常のケアレスミスを減らすことにつながります。
Vanoverによると、コロナ禍以降は、自動化を最優先にすべきだといいます。自動化は、日常業務のプロセスで発生するヒューマンエラーを削減するだけでなく、従業員がより戦略的で高度なタスクに専念する時間を確保することができます。これは、オフィスで働く人々と同様に、IT担当者にも当てはまります。この2年間に企業は、自動化技術への投資を増やしてきましたが、生産性の一層の向上と、より高いレベルのセキュリティを実現するためには、今後も投資を続ける必要があります。
特に、DRプロセスを自動化することで、時間を節約し、包括的な対応を改善することができます。今日のアプリケーションやデータセットは、かつてないほど大規模化、複雑化、分散化が進み、相互に依存しています。このため、サイト全体はもちろんのこと、一つのアプリケーションでさえ復旧させることは非常に困難であり、リカバリープロセスのオーケストレーションが不可欠なツールとなっています。
