給与システムの運用形態は主に2種類ある。1つ目は、企業が専門のソフトウェアを購入し、自社で管理、運用する方法。2つ目は、外部の給与計算サービスを利用する方法だ。これらを組み合わせたハイブリッド型も存在する。

　自社で給与システムを管理する場合、DR計画の策定は不可欠だ。企業は給与計算に関する全てのデータの取得と処理、専用ソフトウェアで利用するためのデータベースへの保管といった、一連の操作に対して責任を負う。この形態を採用する場合、企業は他のITシステムやアプリケーションと同様に、さまざまなリスクや脅威、脆弱（ぜいじゃく）性に対処する必要がある。給与データをサイバー攻撃から守るためには、データ保護とセキュリティ管理が特に重要だ。

　外部の給与計算サービスを利用する場合、システム運用に関する業務のほぼ全てをサービスベンダーが代行することになる。ユーザー企業は、関連データをサービスベンダーに提供し、サービスベンダーは給与計算処理のためにそのデータを安全に保管する。給与データのような機密性の高い個人情報を扱うサービスベンダーは、高度なDR計画を整備していることが一般的であり、安全な場所に機密情報を保管するための大容量ストレージを備えている。

　給与管理サービスベンダー、フィッシング攻撃やDDoS（分散型サービス拒否）攻撃、ランサムウェア（身代金要求型マルウェア）攻撃といった、さまざまな攻撃から給与データを保護するための堅牢（けんろう）なセキュリティ体制を構築している。この形態における最大のリスクは、インターネット接続の切断によってサービスにアクセスできなくなってしまうことだ。ユーザー企業からサービスに接続する経路の確保については、通常ベンダーではなくユーザー企業が責任を負うためだ。

なぜDR計画が重要なのか

　規模にかかわらず、ほとんどの企業で給与計算業務は発生する。自社で給与計算を管理している場合、IT部門は、自然災害やサイバー攻撃、人為的ミス、設備の停止や故障といった影響から、システムとデータを保護しなければならない。

　給与計算処理が停止することは、企業にとって深刻な事態を意味する。給与を支払えなければ従業員の生活に影響が及ぶだけではなく、国や地方自治体への税金の納付が滞り、福利厚生制度の運用にも支障を来す恐れがある。

　給与システムは経理、財務部門向けのレポート作成も担う。これらのレポートの中には行政機関への提出が義務付けられているものがあり、提出が遅れると罰金などの行政処分を受ける場合がある。

DR計画に含めるべき要素

　給与システムのDR計画は、IT部門が管理する他のDR計画と本質的には変わらない。しかし給与データは機密情報であるため、その取り扱いにはより慎重さが求められ、計画の策定も複雑になる。給与システム向けのDR計画には、以下の要素を含めるべきだ。

1．計画の趣旨

　この計画が何を目指し、なぜ策定されたのかを記述する。

2．関連する社内規定

　給与計算に関する社内規定がある場合は、それをDR計画に反映させる。

3．概要と目的

　この計画で達成すべき目標の概要を記述する。

4．緊急連絡先

　DRチームのメンバーや給与システムのベンダーなどの関係者の連絡先を記載する。これによって、障害発生時に主要な関係者と速やかに連絡を取ることが可能になる。

5．役割と責任

　DR計画の準備と実行、管理を誰が担当するかを記述する。具体的には、給与計算システムとデータベースを管理する技術チーム、障害発生後にシステムの復旧と再開を担当する緊急対処チームなどが考えられる。

6．緊急時の対処手順

　給与システムで障害を検出した際に、誰が何を実行すべきかを具体的に定める。問題の原因を特定するために役立つ、給与計算システムが搭載する診断機能の利用手順を記載することも可能だ。

7．システム復旧手順

　給与システムを復旧させ、通常運用に戻すための手順を記述する。

8．ネットワーク復旧手順

　給与システムが利用しているネットワークを復旧させるための手順を示す。

9．データバックアップ手順

　給与データベースに変更を加えるたびに、その変更点を安全な場所にバックアップする必要がある。

10．データ復旧手順

　給与計算処理を再開できるよう、給与データをバックアップから復旧させる方法を具体的に記述する。確実に給与を支払えるようにするため、まず基本的な給与計算を実行し、調整が必要な項目は次回の給与サイクルで対応するといった対応が必要になる場合もある。

11．従業員教育に関する規定

　給与システムを扱う従業員に対して、起こり得る障害や緊急復旧手順の開始方法に関する教育、訓練の方針やスケジュールを定める。

12．DR計画のテストと更新手順

　インシデントが発生した際、従業員が給与システムを復旧し、関連業務を実行できることを確認するために、DR計画のテストと更新不可欠だ。計画が最新かつ実用的な状態を保てるよう、定期的なテストや見直しのプロセスと実施頻度を定める。

　次回は、給与システムのDR計画を策定するための手順と、策定から実行までに実施すべき項目を紹介する。