事業継続性向上に向けたオフサイトバックアップ戦略　その3

皆様こんにちは。
前回から長～い間が空いてしまいましたが、これの続きをやっていきましょう。
と、その前になんですが、この動画をご覧いただけますか？

昔「SONY MUSIC TV」っていう週1の深夜番組がありまして、2時間（だったと思います）にわたって海外のミュージシャンのPVをひたすら流す、というものだったんですが、そんな中で、若かりしころの私はこのお兄さんはかっこいいしPVも、チラチラと映り込む英単語や2～3の単語からなる文が皮肉が効いててなかなかいいなと思ったんですよ。ただ、当時はいかんせん中学生か高校生です。当時の私にとってスーパースターはDead or AliveのPete Burnsしかおらず、好きなミュージシャンのCDをバカスカ買うお金なんて到底なかったので、何となくバンド名と曲名だけを覚えておくだけになったんですよ。

で、時代は下って現在。PVもYouTubeで見放題ですし今はさすがに経済的余裕もある。というわけで改めてこの曲について調べてみたんですね。そしたらですね。思った以上に私の趣味にピッタリでして。このバンドの名前はInformation Societyで、この曲は「Peace & Love, Inc.」っていうタイトルなんですけど、Peace & Loveといえばビートルズ以降のポピュラーミュージシャンにとって基礎教養みたいなもんでしょ？それに「Inc.」という言葉をくっつけたこのセンス。それだけでもすごいと思うんですが、歌詞がまたすごいことになってまして。chatGPTにかなり意訳的に訳してもらったのが以下の文になります。

わかりやすい「真実」「正義」が流通していて、それを巡って表層的な理解をした人たちが必死になって争っている。まさに現代だと思いませんか？そして、その上でPVをもう一度ご覧いただきますと、ボーカルのイケメンさんは確かにイケメンだけど、笑顔はどこか胡散臭い。そこまでわかって演じているんなら、恐るべき才能だと思います。この曲、’92年の発表です。そのころといえば、Windows3.1がようやく世に出たころ。そのころに、ネットというものが登場してそれによって誰もがわかりやすい正義を巡って罵り合いを続けているこの状況を予見していたのなら本当に予知能力者のようです。

ボーカルのカート・ハーランドはこんなにイケメンながら頭の中はC言語やらいろんな電子機器やらのことで一杯で、コンピュータやシンセサイザーを弄くり回していることに無上の楽しみを覚えるという人です。いまはゲームに関するサウンド制作エンジニアを主な仕事としていまして、細々と音楽活動もやっているという状態なんですが、面白い人ですので皆様一度調べてみてください。私、絶対この人と話があう自信があります。

さて、本題に入りましょうか

というところになりまして本題に入りましょう。

オフサイト戦略における重要検討事項

オフサイトバックアップ戦略の成否は、単にソリューションを選ぶだけでなく、技術的、法的、セキュリティ上の深い検討事項をいかに精査するかにかかっています。

立地選定と地理的リスク分析

オフサイト拠点の最大の目的は、主となる拠点と同時に被災するリスクを回避することにあります。そのため、本社や主要オフィスから十分な地理的距離を確保することが極めて重要です。しかし、この「距離」は、単なる物理的条件ではなく、RTO（目標復旧時間）というビジネス要件と、技術的制約のバランスを考慮して決定すべきものです。

データ転送の方式には、主に「同期」と「非同期」があります。同期方式は、リアルタイムにデータを複製するため、データの一貫性を高めますが、遠隔地にあるディスクの完了報告を待つ必要があるため、書き込みに時間がかかります。このため、一般的に同期方式は100km以下の距離での使用に限定されます。一方、非同期方式には距離の制限がありませんが、データ転送のタイムラグにより、データ損失を伴う可能性があります。この技術的なトレードオフは、許容できるデータ損失量（RPO）に直接的な影響を及ぼします。したがって、広域災害に備えて遠隔地を選ぶほど、RPOの要件を満たすことが難しくなる場合があります。

さらに、オフサイト拠点の選定においては、地域の自然災害ハザードマップを参照し、地震、津波、洪水、土砂災害などのリスクが低い場所を慎重に選ぶことが不可欠です。これにより、複数の災害リスクを総合的に評価し、本社との同時被災リスクを最小限に抑えることが可能になります。

データセキュリティとガバナンス

現代のオフサイトバックアップ戦略において、ランサムウェア対策は最も重要な検討事項の一つです。ランサムウェア攻撃では、業務サーバーだけでなく、バックアップデータそのものも標的となるケースが多発しています。攻撃者は管理者アカウントを乗っ取り、バックアップサーバー上のデータを暗号化したり消去したりすることで、企業の復旧を完全に封じようとします。

警察庁のレポートによると、バックアップを取得していたにもかかわらず復旧できなかった事例が81%に上り、その理由の多くが「バックアップデータの暗号化」や「データが古い・欠損」でした。この教訓は、バックアップデータが業務ネットワークに接続されているだけでは不十分であることを示しています。オフサイトバックアップは、ネットワークから物理的または論理的に隔離された環境に保管することで、ランサムウェアの感染範囲を制限し、最後の砦としての役割を果たすことができます。このため、WORM（Write Once, Read Many）機能や、データの上書きや削除を許可しない不変ストレージ（Immutable Storage）の活用が不可欠です。

法的・規制対応：データ主権と越境移転リスク

オフサイトバックアップのために海外のクラウドサービスを利用する場合、データ主権に関する法的・規制上のリスクを十分に理解する必要があります。データ主権とは、データが保管されている国の法律が、そのデータに適用されるという概念です。EUのGDPR（一般データ保護規則）は、この概念の最も代表的な法規制の一つであり、EU市民の個人データをEU域外へ移転する場合に、厳格な保護措置を要求します。

多くの日本企業は、利便性やコスト面から米国のクラウドサービスを利用していますが、これは米国のCLOUD Act（海外で保管されているデータへのアクセスを米国政府が要求できる法律）のリスクに晒されることを意味します。この法律によって、予期せぬデータの開示が起これば、取引先や顧客との信頼を損なう恐れがあります。

したがって、グローバルなクラウドサービスを利用する場合、データの物理的な保管場所がどこにあるのか、どのような法律が適用されるのかを契約書ベースで徹底的に確認するデューデリジェンスが不可欠です。特に機密性の高いデータや知的財産については、国外法の影響を受けにくい国内に拠点を置く「ソブリンクラウド」や国内データセンターの活用が有効な対策となります。

以上のようなことを踏まえて

オフサイトバックアップの実現方法には、以上のように様々な問題があり、その方法には一長一短があります。これさえ行なっておけば大丈夫という決定的な方法がないというのが実情です。

従って、複数の方法を用いるのが唯一の解決策ということになります。こうなりますと管理の手間が増大するという欠点がまた存在することになるわけですが、データやシステムの消失リスクを考えますと「それには代えられない」という結論に至るのではないでしょうか。

この被害額を見ると、やはりデータの保護は重要事項であるということが改めて浮き彫りになってくるかと思います。複数の方法を組み合わせることによってコストが増すことは避けられませんが、もし被害に遭ったときに発生するであろう被害額を考えると必要な支出とお考えいただければと思います。

まずは、一緒に御社のデータ・システムの保護体制について考えさせてください。より良い方法を見つけてまいりましょう。

というわけで今回は終わりたいと思います。だいたい4000文字ということになりました。おそらく、今回のこの記事をお読みいただいたとき、後に残っているのはInformation Societyのことだろうなとは思うんですが、どうかバックアップのことも忘れないでください。

目次にリンク張っておきますので過去記事もぜひご覧下さい。

他の記事もよろしければご覧ください。
なお、弊社の業務をご紹介するちゃんとしたWebサイトは現在本当に頑張って作成作業中です。今しばらくお待ちください。
今日もありがとうございました。