災害インシデント（台風、洪水、火災、地震等）、人為的なインシデント（設定ミス、妨害行為、第三者による意図的なセキュリティ事象等）、及び環境インシデント（機器故障、ソフトウェアエラー、通信ネットワークの切断、停電等）によるITサービスの停止からいち早く復旧することは、企業が被る損害及び被害を抑えるために重要なことです。オンプレミスであれば企業がITシステムを運営・管理するため費用面での折り合いは必要なもののある程度は企業が望む復旧計画を立てることができます。しかし、クラウドサービスではクラウドサービスプロバイダがシステムの運用・管理を担っているため、企業が望む復旧計画を立てることが難しい場合があります。そのため、クラウドサービスを利用する企業においては使用するクラウドサービスの災害復旧を理解しておく必要があります。
本ブログではクラウドサービスの災害復旧を理解する上で必要なポイントについて説明していきます。
災害復旧の重要な要素
災害復旧は、迅速にITサービスをインシデントが起きる前と変わらない状態に復旧することを目的としております。その目的を達成する上で欠かせない2つの要素があります。また、その要素はクラウドサービスを利用する企業において重要なものですので、確認をしておくことをおすすめします。
・目標復旧時間（RTO）
RTOはクラウサービスプロバイダが提供するクラウドサービスが復旧するまでに要する時間です。そのため、RTOを知ることでクラウドサービス利用者は事業の再開までの計画を事前に立てることができ、また復旧までの対策や対応も立ておくことができると思います。
また、クラウドサービスプロバイダは示すRTOが達成できない場合、クラウドサービス利用者へ大きな影響を与えてしまいます。クラウドサービスプロバイダは災害復旧における計画を立て、それに従い迅速な復旧を行うための体制を整えるとともに、ITシステムの冗長化などによる備えもしておかなければなりません。
・目標復旧時点（RPO）
RPOはインシデント発生が発生しクラウドサービスが停止した場合に失われるデータの量を示す指標です。例えばRPOが1時間となる場合、クラウドサービス利用者は最大でインシデント発生時点から1時間前までのデータを失うことになります。データ損失を少しでも抑えるため、RPOを短くすることが望ましく、そのためにはバックアップの頻度が重要となります。バックアップをリアルタイムに実施できれば、理論的にはRPOもゼロとなりデータ損失は発生しないとなります。しかし、複雑な処理やデータ量が多い場合、リアルタイムにバックアップを取ることが難しいこともあります。そのため、クラウドサービス利用者はクラウドサービスの特性や性能を理解した上で、RPOを許容していただくことも必要になります。
災害復旧においてRTOとRPOは大事な指標になります。この2つの要素を知ることで、インシデント発生時における対策や対応も事前に立てておくことができます。また、これらの要素はクラウドサービスプロバイダ側の災害復旧計画の見直しやITシステムの変更などにより変わる可能性もあるため、クラウドサービスを利用する企業においては導入後の定期的な確認を行うことをおすすめします。
災害復旧計画
先に説明したRTO及びRPOの目標数値において、クラウドサービスプロバイは災害復旧計画に基づき決めております。そのため、クラウドサービスプロバイはクラウドサービスにおける最適な災害復旧計画の作成を行う必要があります。この災害復旧計画は基本的に計画の作成、実装、継続的なメンテナンスとテストという3つの要素で構成されており、3つの要素について説明していきたいと思います。
・計画の作成
災害復旧計画の作成にはいくつかの重要な構成要素があります。主な構成要素は以下となります。
・災害復旧計画の定義とポリシ：
計画が網羅するクラウドサービス、プロセス、機能等を明確にするために、災害復旧計画の目的、範囲、目標を定義したポリシを決める必要があります。また、策定したポリシにおいてはクラウドサービスプロバイダの経営陣によるコミットメントを含めておくことも重要となります。
・役割と責任：
策定した定義とポリシをつつがなく遂行するために必要なチームを編成し、必要な役割と責任を定義していきます。また、災害復旧に対応するチームは、クラウドサービスを利用する企業とのコミュニケーションチャンネルの開設を行います。
・重要度評価とビジネスインパクト分析：
クラウドサービスを提供する上で必要不可欠なプロセスやシステムなど、また安定して提供する上で必要なリソース要件を特定し、重要度を付けています。その後、必要不可欠なプロセスやシステム及びリソースに対してビジネスインパクト分析を行い、分析結果に従い災害復旧に必要なリソースへの投資、復旧要件（RTO及びRPOの目標数値など）、及び復旧方針などを決めています。
・リスク評価とリスク分析：
初めにすべての資産をリストし、それらの資産に関連する脅威と脆弱性を調査します。その後、脅威と脆弱性の各組み合わせの影響と可能性を評価し、リスクのレベルを計算します。最後にリスクレベルに応じた情報セキュリティリスクの管理及びリスクから保護するためのコントロールの実装に関する適切なアクションと優先順位などを決めていきます。尚、リスク評価とリスク分析においては、ISO27001やNISTなどを基にすることで実施の内容に一定の安心を得ることができます。
・データのバックアップと復元
データのバックアップと復元はRTO及びRPOに大きな影響を与えるため、とても重要なものとなります。データをバックアップにおいては、ロケーション、頻度、及び方法などを決めます。特にバックアップの頻度はRPOに直接影響を与えるため、重要となります。理想はリアルタイムバックアップとなりますが、トランザクションやデータ量などによってはリアルタイムが難しい場合も出てくるため、各クラウドサービスの性質に合わせて最適な頻度を決めていきます。
バックアップの復元はRTOに直接影響を与えるため、復元の範囲、優先順位、及び手順を日頃から確認しておく必要があります。
・計画の実装
計画の作成で策定した内容をクラウドサービスへ実際に落とし込んでいきます。例えば、重要度評価とビジネスインパクト分析では、クラウドサービスを安定して提供する上で必要なリソース要件を特定し、重要度を付け、クラウドサービスを利用する企業へのビジネスインパクト分析を行います。また、データのバックアップと復元においては、バックアップのロケーションを同じ地域内にある別の建屋にするのか又は離れた地域にするのか、またクラウドサービスの性質及びリソースに合わせて実際のバックアップ頻度を決めていきます。この実装においては作成で決めた内容をクラウドサービスへ当てはめていく作業となります。
・計画のテスト
テストスの目的は、計画の作成が実装され、それが有効的であるかを確認すること、災害復旧が発生したとして計画の作成で決めた内容どおりに災害復旧が行えることの証明、及び災害復旧計画の準備と成熟度を向上させることです。そのため、テストは少なくとも年に1回は実施することが最適とされ、またそのテスト結果を踏まえ、計画の作成の見直しを行い、よりよいものへ改善を行うことが重要となります。
クラウドサービスプロバイにおいて災害復旧計画は、インシデント発生時に速やかにクラウドサービスを復旧するために必要なプロセス、対応範囲、目標などを決める上で不可欠なものです。また、クラウドサービスを利用する企業に対してインシデント発生時の復旧対応に関する情報（RTO、RPO、復旧対応の内容、及びコンタクト先等）を提供する上でも欠かせないものとなります。
災害復旧とSAP
SAPはNIST、ISO 22301及びISO 27001などの国際規格を基に災害復旧計画を策定しております。策定した災害復旧計画に従い各クラウドサービスの管理部門が災害復旧の対策を実施していることを外部監査で確認を行っております。
また、SAPが提供するクラウドサービスのRTO及びRPOは各クラウドサービスが提供するサービス内容、リソース、及び性質により異なるためここでの紹介は控えますが、お客様の業務への影響を最小限に抑えるため、様々な対策を講じていることをお約束します。
