BCPやDRって中小企業も必要ですか？ - 言いたいことはココだけde

自己紹介する機会も最近多いのですが「キュレーションのWebアプリ開発してます」と言ってもそもそもキュレーションとは？から説明しないと99%の人(一発で「あぁそっちですか」と分かってくれた人は渋谷に会社のある方お一人です)が分かりませんし、説明しても過半数の人は理解できないので最近は「クラウドとセキュリティマネージメントのエンジニアです」というようにしてます。ただこれも問題があってセキュリティというと「ウィルス対策が・・・」とか「安全なアプリ開発は・・・」とかいう恐れ多くも高木浩光先生のような立場と間違われるんですね。そこは僕はやり込められる立場ですから。セキュリティではなくセキュリティマネージメントというところがミソなんです。でも多くの人にとってはISO27001もISMSも「何それ？美味しいの？」状態で興味の対象外です。だって面白くないし地味だもん。ただ"その時"に困らないようにしていく活動方法がISO27001やISMSなんですよ。"その時"が実際来ると相当慌てるし最悪は下記の事例のように破綻しますから。でもね、"その時"に冷静かつ練られた対処をすると喝采を浴びるんですね。「災い転じて福と為す」とは上手い言い方です。
で今日はセキュリティマネジメントの一つであると僕が考えているBCPとDRについて書いてみます。ちなみに以前いた職場がBCPやDRを考えていたのは10年前の事なんで、そんなの分かっているからという人向けではありませんので悪しからず。

20年以上いわゆる"大手企業"に勤めて大手企業を相手に商売をしていると、それが当たり前な事が中小企業では無かったり、考えられなかったり、それ以前に知られていなかったりして「マジか！？」と驚くことがあります。たぶんBCPやDRなんて売上貢献にならない無駄な事なんでしょう。でもね、取り返しがつかなくなり事業停止に追い込まれた会社もあると知ると少しは印象が違うのでしょうか。

「Doblog」5月に終了障害で3カ月投稿不能、一部データ復旧できず - ITmedia ニュース

これはバックアップ失敗してBCPできなかったNTTデータ通信の事例です。あの銀行協会やクレジットカードのCAFISE、政府機関のITの運用をしているNTTデータでさえ魔が差すとこうなるという事例です。

BCPは Business Continuity Planning の略で事業継続計画と言います。災害や事故などで混乱に陥った際にいかにして事業を続ける環境を確保するかを”事前”に計画しておくものです。地震が起きた際にどうするか？という事もBCPの一つです。
DRは Disaster Recovery の略で災害からの復旧措置のことです。被害を最小限に食い止める事やより速い復旧のための手段を"事前"に講じるものです。大事な点はどちらも事前に考えておくところ。ここが重要です。起きた後では遅いのです。

社会インフラ系の会社ではこれらの計画や設備が当たり前にあります。どれくらい用意するかは重要度とリスクの発生具合によって変わってきます。3.11以降は電力が数時間/数日停止する場合も想定ケースに入りました。IT系のサービス会社だと3.11の計画停電の際にデータセンターに準備してあった非常用発電機をまわしたんです。計画通りです。何の問題もなかったんですが1点計画にない事が発生しました。計画停電です。予備の燃料は72時間分しかなかったので、じゃぁって事で自前で燃料を確保する計画を追加して立てたんですね。素晴らしい計画です。ただね、計画停電を考えるとタンクローリー1000台単位で燃料が要るって事になったんです。電力が止まって東日本全体で燃料足りてねーぇのそんな計画現実的じゃないでしょ？じゃぁ現実的な計画は何かというとサーバのお引っ越しだったんです。

かつて本当に新幹線やトラックでサーバをお引っ越しした会社もあります。はてなとかはてなとかはてななど。僕もかつてサーバデータをMTに入れてトラック輸送した事があります。回線が細かった時代にはファイル転送できなかったんです。でも2010年代の発想はクラウド環境にインスタンス上げてのお引っ越しでしょう。このIT会社もクラウド上(西日本に引っ越したと聞いています)にお引っ越しして計画停電を回避したそうです。

Amazon Web Service なら北米から欧州、シンガポール、南米と場所を問いません。僕の大事な写真や音楽ファイル、住所録などは北米と日本の2つの事業者/地域を分けて預けている事はJAWS-UGさいたま支部の勉強会で話した通りです。AmazonだけでなくDTIのServerman VPSだって東京と大阪で選べますし、sakuraだって・・・やるんでしょ？

中小企業にも顧客データや大事な設計図、プログラムファイルなどコレないと事業できないわぁという"物(ぶつ)"はあるはずなんですよ。ただ無くした場合の影響がどう出るのか、またどうやってやったらいいか分からない人が多い。
やる事は簡単なんです。"物(ぶつ)"をリストアップしてランク付け(これをリスク分析といいます)して「最もリスクの高い物(ぶつ)を徹底的に守ってやる」。ただこれだけです。その為の手法や手段はリストアップしたリスクや物(ぶつ)に応じて変える訳です。

サーバのマルチリージョン化や異なる立地でのバックアップはDRの一つでありBCPの一部です。でも手段なんですねぇ。それ自体は目的ではない。大事な点は"物(ぶつ)"をリストアップしてランク付け(これをリスク分析といいます)して「最もリスクの高い物(ぶつ)を徹底的に守ってやる」という活動を定期的に組織が行う"意識を持つ事"なんですね。ISO27001やISMSではこれをPDCAを回すと言っています。事業に組み込まれているか否かが大事。だってセキュリティ"マネージメント"なんですから。そうすると見えなかったものが見えてくるようになります。これが最大のメリットかな。

あなたがもっとも守りたいものは何ですか？あなたはそれを守り切れますか？