IT-BCPの"現実解"(2) 障害復旧/セキュリティの考慮ポイント

前回は、IT-BCP(IT Business Continuity Plan)の重要性と策定の方法について述べた。2回目の今回は、企業の事業継続にとって重要な柱となる情報システムの障害復旧と情報セキュリティ対策に焦点を絞り、その現実解を探っていく。

情報システムの障害に備える

インターネットの普及とモバイル活用の進展により、企業における情報システムの重要性は増す一方であり、情報システムの安定稼働は、企業の事業継続にとって、まさに不可欠な要件になりつつある。

災害やテロ、IT機器の故障や操作ミスといった理由のいかんを問わず、情報システムの停止は、ビジネスに重大な損害をもたらすだけでなく、企業の信用を失墜させてしまうインパクトを持つからだ。

バックアップ、レプリケーション、システム二重化……、対策はさまざま

情報システムの迅速な障害復旧を実現するためには、データのバックアップ/リストア体制の確立から、RAIDストレージやレプリケーション機能の導入によるデータ可用性の向上、システムの仮想化とクラスタ化によるシステム可用性の向上、ホットスタンバイ/コールドスタンバイによるシステムの二重化、同期/非同期のディザスタ・リカバリ(DR)サイトの構築まで、さまざまなレベルでの対策が考えられる。

実際に、情報システムを復旧するまでにどれだけの時間が許容され、そのために、どのような対策を講じる必要があるのかは、企業の業種や、提供しているサービスの種類、システム拠点の地理的環境などによって異なってくる。

例えば、金融サービスなどを提供する企業の場合は、どのような事態が発生したとしても、システムの停止は許されず、ホットスタンバイで二重化されたシステムと同時に、複数のDRサイトを構築する必要があるだろう。

また、eコマースなどビジネスに直結するサービスを提供する企業の場合も、長時間にわたるシステムの停止はビジネスに致命的なダメージを受けることになり、高レベルのシステム復旧対策が求められる。

リユース活用によるコスト低減策も

しかし、一般の企業が、情報システムの二重化やDRサイトの構築などに取り組むにあたっては、金融機関やeコマース企業のように無制限にコストをかけることはできないため、既存のシステムの状況に十分配慮しながら、コストを考慮した現実的な対策を検討する必要がある。

例えば、レガシー・システムが安定的に稼働し、ビジネスに重要な役割を果たしている場合は、たとえシステムがメーカーのサポート期限切れを迎えていたとしても、性急にリプレースを行うのではなく、バックアップ・システムにリユース機器を活用することにより、既存のシステムをそのまま使い続けながら、二重化対策を施すという選択肢も十分に考えられる。

DRサイト構築にはそれなりの予算が必要。DRサイトをリユース製品で構築し、コスト削減する企業もある。

最近では、メーカー・サポート期間切れのレガシー・システムに対して24時間365日のオンサイト保守を提供し、故障時の交換作業までカバーするサービスも登場しており、リユース・システムを障害復旧対策に安心して利用できる環境も整ってきている。

サイバー攻撃と情報漏洩に備える

企業の事業継続を確保するうえで、もう1つ重要な柱となるのが情報セキュリティ対策である。とりわけサイバー攻撃と情報漏洩への対応は、企業における危機管理と情報ガバナンスの重要な取り組みとして改めて注目を集めている。

最近、国家機関や防衛産業、ゲーム会社などを狙い撃ちにした標的型のサイバー攻撃が世間を騒がせ、社会と企業に大きな脅威を与えている。これらの標的型の攻撃は、ターゲットとなるシステムの周辺にあるPCにアドウェアを感染させ、長期間潜伏し、さまざまな手法を駆使して執拗なスパイ行為や妨害行為、情報詐取を行うという特徴を持っている。

こうした攻撃は、直接標的にされるシステムに対してだけでなく、関係する組織のPCを踏み台にして行われることが多いため、直接標的にされていない一般の企業も攻撃に巻き込まれる危険性が高い。いったん攻撃に巻き込まれると、その被害は予想を超えて大きくなる危険性がある。

一方、故意・過失に関係なく、企業の重要な内部情報が漏洩してしまうという脅威も拡大しつつある。

知的財産にかかわる機密情報や、クレジットカード情報などの顧客の信用にかかわる個人情報が流出してしまうと、賠償を含む被害額は想像を超える規模に達し、場合によっては、企業の存続にかかわる重大な事態に陥ることにもなりかねない。