苦難を反面教師に

2018年の事件から学ぶ、災害復旧チームの三大共通課題

2018年は、災害復旧（DR）チームにとって良くも悪くも重要な年になった。ランサムウェアの流行、GDPRへのコンプライアンス、クラウドなど、災害復旧に大きな課題が生まれた。

公開 2019年02月08日 09時02分

更新 2019年07月06日 18時07分

著者

Nick Cavalancia

[TechTarget]

印刷する

企業のDRチームの在り方が問われている

　2018年、災害復旧（DR）の成熟を大きく促す出来事があった。非常に多くのシステム停止、データ侵害、サイバー攻撃などがニュースをにぎわせ、現代の企業運営ではDRが中心的役割を果たす必要があることが明白になった。

　では、2018年のDRはどこに問題があったのだろう。

　簡単に言えば、最も重要な点は、DRの3つの主要課題である「セキュリティ」「コンプライアンス」「クラウド」に対する企業の備えが完全ではなかったことだ。本稿では、この3つのテーマとDRチームが2018年に達成できなかったことを考える。

併せて読みたいお薦め記事

さまざまなバックアップ環境

DR対策に取り組む前に

セキュリティ：知識が不十分なDRチーム

　2018年のサイバー犯罪攻撃経路として注目を集めたのがランサムウェア攻撃だ。企業組織がランサムウェア攻撃を受けた際、何が影響を受け、何を復旧しなければならないのかをDRチームが理解していないという現状がある。現在のDRが抱える大きな課題の一つは、攻撃を受けた恐れのあるデータを特定するための対処計画をDRチームが立てていないことだ。そのため、攻撃を受ける前の時点に復旧しなければならなくなる。

　米アラスカ州マタヌスカ・スシトナ郡政府への攻撃を考えてみよう。これは、サイバー攻撃から保護されなかった例だ。2018年7月、同政府の500台のワークステーションと120台のサーバが攻撃を受けた。最悪だったのが電子メールだ。全くバックアップされておらず、システムを再インストールしなければならなくなった。関係者は文字通り全てを失った。

　企業は、ごく一部のシステムと最低限のデータしかサイバー攻撃の被害を受けないと考えている。だが、そのようなことはめったにない。特定の業界、企業、地域を標的とする攻撃が増えてきている。悪意のある攻撃者がその気になれば全てを乗っ取れることを頭に入れておく必要がある。

コンプライアンス：関与しないDRチーム

　EU（欧州連合）が2018年5月に施行したGDPR（一般データ保護規則）は、DRに新たな課題をもたらす。GDPRは、コンプライアンス義務で定義されたデータセットだけでなく、そのデータ周辺のセキュリティも保護しなければならないという新たな事態を生み出した。具体的には、データに関係するファイル、アプリケーション、ディレクトリの各レベルのアクセス許可なども含まれる。

　基本的には、EUに属する市民と企業がGDPRの対象になる。GDPRで定義されたEU市民の個人を特定できる情報がどこにあるかを把握し、その情報を利用できるような復旧計画を実装する必要がある。適切なデータ利用を実現するため、データ、アプリケーション、システムのセキュリティ管理計画を立てなければならない。

　これはGDPRに限った話でしかない。コンプライアンスチームとミーティングをしていないDRチームは、他のコンプライアンス義務の調査にも着手する必要がある。

クラウド：責任を感じていないDRチーム

　例えばMicrosoftのクラウドオフィススイート「Office 365」をメールの処理や企業ドキュメントの保管に使用している場合、DRチームはそのデータが自社のものだということを忘れがちだ。ほとんどのクラウドベンダーは、ベンダーと利用者がそれぞれ特定のレイヤーに責任範囲を持つ「責任共有モデル」を打ち出している。ベンダーはこの主張をサービスレベル契約（SLA）にも加えており、基本的には「サービスを所有するのはベンダーだが、データを所有するのはユーザー自身」と記している。

　「DRチームはデータに対する責任を忘れがちだ」と筆者が主張する理由は、「クラウドのデータは保護されている」とDRチームが考えているように思えるからだ。クラウドベンダーが独自にバックアップとレプリケーションをしてくれたり、削除された項目の保持と回復をやってくれたりすると考えがちだ。実際のところ、これらは一般的にユーザーがすべき対策で、ベンダーの範囲ではない。

　データの損失、改ざん、破損などの被害に備える計画の策定に取り掛かり、前進することが大切だ。

2019年の展望：適切、高速、強力なDR

　ここまでの文章は「2018年がDRにとって悪い1年だった」と言っているわけではない。むしろ全く反対だ。DRの課題が目立ったことを受け、中堅以下のクラウドベンダーはサービスを向上させ、DRに関して大手クラウドベンダーとの競争力を高めている。本稿で示した傾向と課題は、DRチームが計画と遂行を今後どのように変えていくべきかについての手掛かりを提示する。

　直面したDRの課題を記録し、戦略に変更を加えれば、DRチームが2019年に直面するであろうあらゆる事態を乗り越える助けになるはずだ。

印刷する