セキュリティ、パンデミック──身近に潜む、事業継続を脅かすリスク。BCPのプロが傾向と対策を語る!

「BCP（事業継続計画）」というと、災害やテロのような危機的状況を思い浮かべる人も少なくないでしょう。しかし、事業継続を脅かすリスクはサイバー攻撃やパンデミックなど、意外と身近に潜んでいます。減災・回復等の対策として、ディザスタリカバリ（DR）が挙げられますが、費用対効果の観点から限られた投資となることが多く、導入していても「有事の際に本当に想定通りの事業復旧継続ができるのか」といった課題を抱えていることが多いのが現状です。

本稿では、リスク傾向と対策のポイントについて、プリンシプルBCP研究所の林田朋之氏と伊藤忠テクノソリューションズ株式会社（以下CTC）の東智之氏にお話を伺ったので、その模様をお届けします。

「対策に100点満点はない」事業を脅かすリスク

── 企業の事業継続を脅かすリスク、特に「危機管理」に関わるリスクについてお聞かせください。

林田氏: 企業のリスクマネジメントの中でも、自助努力で防ぎきれない災害や事故について、減災・回復等の対策を講じるものを危機管理と呼びます。特に事業継続計画を検討すべき事柄として、サイバーセキュリティ・自然災害・パンデミックなどが挙げられます。

サイバー攻撃者のITリテラシーは非常に高く、AI技術を活用したり、SaaSモデルを採用したりと、進化が著しい傾向にあります。近年は標的型攻撃が非常に目立っています。攻撃メールも流ちょうな日本語で、上司や経営者を装いますので、「怪しいメールは開かない」などの教育だけで防ぐことは困難になっています。

また、日本は地震や台風、豪雨、豪雪といった自然災害が頻繁に発生する土地です。パンデミックは、2020年から現在に至るまで流行した新型コロナウイルスによって、事業継続への影響がよく知られるところになりました。

── 危機管理の難しい点はどのような点にあるのでしょうか。

林田氏: 100点満点がないというところです。対策を講じなければならないことはわかっていても、どこまで実行すればよいのか決断が難しいのです。その結果、見えやすいコストばかりに注目し、安価で安易なものを選択しているケースも少なくありません。

当該リスクの事業に対する影響度がわからなければ、経営判断はできません。昨今のITは、ビジネスの成否に関わる重要なインフラとして進化しているにも関わらず、これが停止したらどれほど事業に影響を与えるのか推量できていないのが課題です。特に日本の企業は、こうしたITに対する分析が不十分だと感じています。

ITリスクの捉え方と具体的な対策の検討方法とは

── ITリスクについて、企業はどのように検討・対策すればよいのでしょうか。

林田氏: まずITを企業内のセクションではなく、”事業”と捉えるべきです。つまり一般的な事業と同様に「人・物・金・ブランド・情報」という5つの要素をふまえて、事業継続計画やディザスタリカバリ（DR）を検討するということです。また全社的にDR委員会やDR局といった専門組織を設けて、“継続的な復旧計画（サステナブルDR）”を立案・実施することも重要です。

事業継続を阻害する要因として、「システム要因」「環境要因」「人的要因」の3つが挙げられます。システムはサーバーやデバイス、アプリケーションなどを指します。環境要因とはITの置かれた環境のことで、データセンターの電力や空調も含まれます。人的要因は、操作ミスや内部攻撃、感染症などが該当します。たとえば、IT部門20名のうちサーバー管理者は3名のみといった状況で、もし新興感染症でこの3名の業務継続が困難になれば、サーバーを維持管理できなくなります。

東氏: システムが通常どおりに動いているように見えても、人が介在しなければ持続できないことを理解してほしいですね。また対策を検討するうえでは、自然災害もサイバー攻撃も特別なものではなく、リスクが日常的なものだと理解することも大事です。新型コロナウイルス感染症のように、日常に影響するパンデミックは初めての経験でしたが、大きな影響を与えることがはっきりしました。

── では、どのように具体的な対策に講じればよいのでしょうか。

東氏: より具体的な対策に反映させる考え方として、林田さんが挙げている「システム」「環境」「人」という要素をこれらの対となる「距離」「複製」「運用」というキーワードで考えてみましょう。

まず「距離」とは、離れた場所にシステムを置くということです。地震や豪雨や津波といった自然災害を避けるには、当該の地域から離れる方法しかありません。

次に「複製」とは、システムのコピーをいずれかに用意しておくという意味です。もしサイバー攻撃などでメインのシステムが動かなくなっても、コピーによって事業を継続することが可能です。前述した「距離」と組み合わせて、遠隔地に複製を置くという考え方ができるようになります。

最後に「運用」は人が行うものです。たとえばパンデミックなどで運用担当者が業務できない状況になったとしても、ITが安定的に稼働し続ける方法を模索しなければなりません。

林田氏: なるほど、非常にイメージしやすいですね。それぞれどのような仕組みや技術が考えられますか?

東氏: 「距離」「複製」については、技術的にカバーしやすい領域で、ツールも揃っています。ただし、ここで注意したいのは「距離」「複製」の技術を活用すれば、そのぶん新しいリスクや課題も生まれる可能性があるということです。たとえばネットワークの回線断は、ローカルに閉じていれば発生しなかったリスクです。対策を検討するうえで、人の経験や知見を軽視するわけにはいかないのです。

林田氏: 私は、自社の事業継続計画をISO20000 と ITILのようなマネジメントシステムに昇華させることをおすすめします。つまり、基本方針を策定し、組織と責任者を割り当て、現状を分析して対応策を検討します。そしてマニュアルなどのドキュメントを整備したうえで、訓練で実効性を試すとともに課題を見つけ、改善していくのです。

そうしたシステムを第三者機関によって評価してもらい、それを公表することも重要です。しっかり事業継続計画を策定している事業者と取引したいと考えるのは当然のことで、特にコロナ禍のビジネスに大きな影響を与えることはまちがいありません。

コストも運用負荷も小さいクラウド型DRサービス

── 読者におすすめする事業継続・DRの最新技術と、クラウド型DRサービスについてお聞かせください。

東氏: DRシステムは古くからありますが、投資対効果がわかりにくく二の足を踏んでしまうケースが少なくありません。理想は現システムと同じものを別の場所に作ることですが、コストも運用負荷も2倍になってしまうのです。

林田氏: この現状を打破する技術として、大いに期待できるのがDRサイトをクラウドに構えることですね。

東氏: クラウドDRは、クラウドサービス事業者が運用するシステムを、オンデマンドで利用できるので、オンプレ環境でDRサイトを構築するよりも、低コストでの導入が見込めます。通常時はデータの複製のみを行い、有事の際はオンデマンドでサーバーを利用できます。

運用面でもクラウドは非常に有用で、バージョンアップやセキュリティパッチの適用などの面倒な運用作業をクラウドサービス事業者に任せられるので、DRサイトが放置されることもありません。また、CTCにて「BCP/DRに関する意識調査」を実施したところ、「コストが高すぎる/費用対効果が低い」の次に「災害時の運用が煩雑すぎる」という声が多かったのが印象的でした。遠隔地の慣れないデータセンターで復旧を行うことや、人的リソースに課題を抱えていることがこの調査結果から読み取れます。クラウドDRであればリモートで容易に復旧できるので、こうした課題も一挙に解決できます。

• CTC「BCP/DRに関する意識調査レポート（2022年2月実施）

林田氏: 日本のデータセンターは、情報セキュリティや災害、オペレーションミスの対策などが徹底されおり、運用面ではオンプレミスDRよりもはるかに信頼できるといえます。3.11の1～2カ月後にデータセンターを見学したことがありましたが、そのときは最先端の免震・制振技術に驚かされましたね。そのようなデータセンターでサービスが提供されているクラウドDRは、企業の事業継続力の強化を後押しするでしょう。

東氏: 最近では、VMwareとAmazon Web Servicesが2021年、AWS東京リージョンで「VMware Cloud Disaster Recovery™」サービスを開始しました。オンデマンドに利用できるクラウド型DRサービスで、クラウド活用の利点が盛り込まれています。シェアの高いVMware仮想化環境と親和性が高いというだけでなく、クラウド型DRサービスとして必要な機能を備えています。

国内企業のニーズにマッチしたDRサービス

── VMware Cloud Disaster Recoveryが選ばれる理由を教えてください。

東氏: 前述した「BCP/DRに関する意識調査」では、やはり本番環境と同等のDRサイト環境を構えるのはコスト的に難しいという声も多く寄せられていました。事業継続計画においては目標復旧時間（RTO）が非常に重要な要素ですが、アンケートでは、コストや運用の問題から即時復旧までは求めておらず、「4時間～1日でよい」という回答が過半数でした。

• CTC「BCP/DRに関する意識調査レポート（2022年2月実施）

そのうえで費用については7割の回答者が「本番環境の半分以下にコストを抑えたい」と回答しています。つまり多額のコストをかけて無停止に近いDRを必要としている企業は意外と少ないのです。また通常時と比較したときに、災害時はある程度コストをかけられるという結果になっています。VMware Cloud Disaster Recoveryは、ホスト利用料金が不要なため通常時は最低限のコストで運用が可能です。一方で災害時は従量課金で使った分だけ支払うことができるため、通常時・災害時のメリハリをつけながら、全体的にコストを抑えられます。

• CTC「BCP/DRに関する意識調査レポート（2022年2月実施）

──最後に読者へのメッセージをお願いします。

林田氏: 事業継続を脅かすリスクは災害に限らず、サイバー攻撃やパンデミックなど日常的に起こり得るものと捉え、対策を講じていく必要があります。クラウドサービス事業者のファシリティは、一般の企業には真似できないほど優秀です。その圧倒的な安心感から、事業継続を考えるうえでクラウド型DRを選ばない理由はないと思います。

東氏: パンデミックや今後発生し得る新たなリスクをふまえると、「運用」が事業継続のカギを握っていると言ってもいいでしょう。適切な事業継続計画を実現するには、運用とコストの要件を整理していくことが重要なのです。CTCではコストとサービスのバランスを見極め、お客様の実態に即した運用を行うことで、”最適な答え”を導き出します。

＊＊＊

対談を通して、ITリスクの捉え方や具体的な対策としてのクラウドDR、なかでもVMware Cloud Disaster Recoveryの魅力を紐解いてきました。日本を代表するシステムインテグレーターであるCTCは、これまでもオープンなハイブリッドクラウドサービスを提供してきました。2021年からさまざまなレイヤーのクラウドサービスを統合し、「OneCUVIC（ワン・キュービック）」というブランド名称で展開しています。同社はオリジナルのホステッドクラウドサービス「CUVICシリーズ」や、VMware Cloud Disaster Recoveryをはじめとしたクラウドサービスを俯瞰的な視点で適切なかたちを提案することで、今後も企業のIT戦略を強力にサポートしていくことでしょう。

VMware Cloud Disaster Recoveryの解説はこちら

[PR]提供：伊藤忠テクノソリューションズ