そのバックアップは機能するのか？ システム復旧と事業継続の命運を分ける「レジリエンス」の真髄

事業復旧の命運は「最初の数時間・数日」で決まる

　もう一点、忘れてはいけないのが、バックアップシステムを運用する担当者が、万が一データが暗号化された場合の対応手順を含め、適切な運用体制を整えておくことです。レジリエンスはあくまでもバックアップ頻度ではなく、「どれだけ迅速に復旧できるか」という復旧能力で測るべきであり、迅速に復旧できるノウハウをITシステム担当者たちの間で共有しておくことが望ましいでしょう。

　そのためには、年1回など定期的にデータ復旧テストを実施することが重要です。事前に復旧作業を経験しておけば、実際のトラブル発生時にも冷静に対応できます。特に、トラブル発生後のシステム復旧は、「最初の数時間～数日の間にどんな対応をするか」が決定的な意味を持ちます。データが暗号化され、システムが数週間後に復旧したのでは、事業的損失が大きくなりすぎます。そのため、事業継続の観点から「いつまでに復旧するか」を示すRTO（目標復旧時間）と、「どの時点までデータを戻すか」を示すRPO（目標復旧時点）を、あらかじめ明確に設定しておくことが不可欠です。

　また、バックアップデータの整合性については定期的な検証を行い、問題がないか確認しておきましょう。加えて、万が一の事態に陥った際の役割分担を事前に決めて、役割ベースのアクセス制御を誰が担うのか、どのような手順で復旧を進めるのかを明らかにして共有しておきましょう。

　サイバーセキュリティ対策というと、セキュリティツールの導入に目が向きがちです。しかし、復旧を行う際のデータバックアップやその際の復旧手順の確認といった、人が行うべき作業まで含めてトータルで策定して、サイバー攻撃を受けても対応できる真に強い組織となれるのです。SCS評価制度がいざ施行された時に、「当社はNISTガイドラインに準拠したセキュリティ対策を実施しています」と自信をもってアピールできるよう、今のうちから準備を進めておきましょう。