中小企業向けの災害復旧(DR)計画作成ガイド【無料テンプレート付き】

システム停止に備え、迅速な業務復帰を実現するための取り組みは「災害復旧(Disaster Recovery:DR)計画」と呼ばれます。しかし、効果的なDR計画を作成するのは決して簡単なことではありません。特にリソースの限られた中小企業にとっては、時間・知識・専門性が必要となり、投資対効果(ROI)を測定することも難しいのが実情です。

幸い、無料で利用できる支援リソースは数多く存在します。Googleで検索すれば、長さや複雑さもさまざまな災害復旧計画テンプレートが見つかります。当社でもOntrack独自の災害復旧計画テンプレートをご用意しています。

災害復旧計画でビジネスを守る

企業の規模に関わらず、現在のビジネスはITに依存して成り立っていると言っても過言ではありません。そして、モバイルデバイス、メールサーバー、クラウドアプリケーションなど、あらゆるITシステムには障害が発生する可能性があります。

この問題は年々深刻になっています。Statistaの調査によると、システムダウンによる損失は世界中の企業で平均1時間あたり40万ドルに上ります。また、Ponemon Instituteの2018年の調査では、データ消失による世界平均コストは360万ドル、1レコードあたり約141ドルという驚異的な数字が示されています。データ依存度が高い現代において、IT障害からの迅速な回復に失敗すれば、事業そのものが存続の危機に陥りかねません。

そもそも災害復旧計画とは?

災害復旧計画とは、ITサービスが中断された際に企業が従うべき方針と手順のまとまりです。中断の原因は、自然災害、技術的な障害、あるいは破壊行為やテロといった人為的要因など多岐にわたります。基本的な考え方は、影響を受けたビジネスプロセスをできるだけ早く復旧させることです。具体的には、停止したサービスを再開させるか、または予備システムへ切り替えることになります。

災害復旧計画には、以下の要素を盛り込む必要があります。

• ITサービス:どのビジネスプロセスがどのシステムによって支えられているのか? リスクは何か?
• 人:各DRプロセスにおける、ビジネス側およびIT側のステークホルダーは誰か?
• サプライヤー:IT障害発生時に連絡すべき外部サプライヤーはどこか?(例:データ復旧業者)
• 場所:通常のオフィスが使用できなくなった場合、どこで業務を行うのか?
• テスト:DR計画をどのように検証するのか?
• トレーニング:エンドユーザーにどのような研修や資料を提供するのか?

ほとんどのDR計画の中核となるのは、2つの重要なKPIです。これらは通常、ITサービスごとに個別に設定されます。「目標復旧時点(RPO)」と「目標復旧時間(RTO)」です。専門用語に聞こえますが、概念は非常にシンプルです。

• RPO(Recovery Point Objective):バックアップが役に立たなくなるまでの最大許容期間。あるシステムで1日分のデータ損失が許容できるなら、RPOは24時間に設定します。
• RTO(Recovery Time Objective):バックアップを実装し、正常なサービスを復旧させるまでにかけてよい最大時間。

理想的な災害復旧計画の構成

中小企業向けのDR計画であっても、文書としては長く複雑になりがちです。しかし、多くの計画は「定義」「役割」「段階的な対応手順」「保守活動」を含む類似した構造を持っています。当社のテンプレートでは、以下のアウトラインを採用しています。

• はじめに:計画の目的と範囲の概要。対象となるITサービスと拠点、サービスごとのRPO/RTO、テストおよび保守活動などを記載します。変更履歴(改訂履歴)も含めます。
• 役割と責任:各DRプロセスに関わる社内・社外のステークホルダーのリスト。連絡先と担当業務の詳細を併記します。
• インシデント対応:いつDR計画を発動すべきか、また従業員・経営層・パートナー・顧客にいつ、どのように通知するかを定義します。
• DR手順:DR計画が発動された後、ステークホルダーが影響を受ける各ITサービスに対して実行する復旧プロセスを、段階的に記述します。
• 付録:代替勤務地の情報、保険契約書、DRリソースの保管・配布に関する詳細など、DR計画に関連するその他のリスト、フォーム、ドキュメントの一式。

災害復旧計画を「生きた文書」に保つ

他の方針文書と同様に、DR計画も引き出しに眠らせておいては意味がありません。作成しただけで終わりにせず、計画の存在や、IT障害発生時の各自の役割・責任について、スタッフへの研修に十分なリソースを割かなければなりません。

また、常に最新の状態に保つことも不可欠です。時間の経過とともにビジネスが成長すれば、新しいシステムやITサービスをDR計画に反映する必要が生じます。更新の際は、影響を受けるステークホルダーへの周知を忘れないようにしましょう。

テスト、テスト、そしてテスト!

最後に、DR計画を必ずテストし、設定したRPOとRTOのKPIが現実的であるか、そもそも手順自体が目的に適しているかを確認しましょう。段階的にテストすることは有効ですが、計画全体を通しての総合テストも定期的に行ってください。複数のプロセスを同時に実行した際に摩擦が生じないか、見落としている点がないかを把握できます。

災害復旧計画についてさらに詳しく知りたい方は、以下の関連記事もぜひご覧ください。

災害復旧計画とは何か、なぜ必要なのか?

災害復旧計画のステップバイステップガイド

Ontrackを御社の災害復旧計画に組み入れたい場合は、ぜひ当社の専門家までお気軽にご相談ください。

災害復旧テンプレートはこちらからダウンロードできます。