時間・予算的制約下での実践的バックアップ戦略 その1
皆様、こんにちは。
株式会社カチカのオフサイト＆コールドバックアップ業務担当の村島です！
実はほとんど寝ておりません。主にマシントラブルの問題で早朝から先ほどまで復旧作業を行っておりました。まあトリッキーなことを行っているマシンですから、一度崩れたらバランスを取り戻すのが大変なだけなんですが。
では、例のやつ行きましょうか。
これまでいろいろなパラドックスをご紹介してきましたが、実はこれらは悪のプログラマーが行った犯罪が関連しています。
銀行のコンピュータに侵入し、預金者の利息の端数（1ペニー以下）を四捨五入せずに、切り捨てるように書き換えたのです。
これで、この泥棒プログラマーは週に500ドルを得ることになったのです。
預金者は1ヶ月に平均0.5ペニーの損になりますが、こんな小さな金額に気づく人はまずいないでしょう。
しかし大銀行には10万人ほどの預金者がいますから、全部合わせると500ドルほどがこの切り捨てで浮くことになります。
プログラマーはこの銀行に秘密の口座を持っており、そこにこの500ドルを振り込むようにしておけば帳簿は何も問題なくつじつまが合います。
こういう話題をしはじめたころ「面積が少し減る」とか「増える」とかいう話をしましたが、この手の話は広い範囲からちょっとずつ差を生じさせるのがコツです。
実は「サラミ法」と言いまして、過去に実際に起こった事例です。
さて、今日はタイトルにも謳いましたとおり「時間・予算的制約下での実践的バックアップ戦略」ということで述べていこうと思います。情報事故が起こりましたら大きな損害が発生しますので、それを予見して先制攻撃的防御というのが必要になってくる、そのために投資する価値はある、と言われても、バックアップそのものが具体的な利益を生むものではないため、大企業でも時間や予算をなるべくかけたくないというのが正直なところではないかと思います。というわけで、今日はこれまで何回も述べてまいりましたところからまた始まります。常にスタートは「バックアップは重要です」という話であり、ゴールは例のアレなのです。
中小企業が直面するデータ損失のリスクとバックアップの重要性
現代のビジネス環境において、データは企業の生命線であり、その損失は事業継続に壊滅的な影響を及ぼす可能性があります。データ喪失は、事業運営の中断、顧客からの信頼失墜、法的責任の発生、そして直接的な経済的損失に直結します。特に、日本企業における重大なインシデント発生時の平均修復時間は6時間12分と報告されており、1分あたりのダウンタイムコストは74万円にも上ると推定されています。中小企業の場合でも、1分あたり137ドルから427ドル（約2万円～6万円）のコストが発生し得るため、データ喪失は決して看過できないリスクとして認識されています。
多くの企業、特に中小企業は、情報セキュリティ対策への投資に対して特有の課題を抱えています。過去3期におけるIT投資額および情報セキュリティ対策投資額において「投資していない」と回答する中小企業の割合は30%を超えています。投資をためらう主な理由としては「必要性を感じていない」が40.5%「費用対効果が見えない」が24.9%「コストがかかりすぎる」が22.0%と挙げられています。さらに、情報セキュリティ対策の組織体制が「組織的には行っていない（各自の対応）」が約半数を占め、従業員への情報セキュリティ教育も「特に実施していない」が過半数に上る現状が指摘されています。
このような状況は、企業がダウンタイムの真のコストを正確に把握していない、あるいはバックアップへの投資がその潜在的な損失を大幅に削減できるという経済的な価値を明確に理解できていないことに起因すると考えられます。バックアップは単なるITコストではなく、事業継続を保証し、将来的なリスクを回避するための不可欠な投資であるという認識が、多くの企業において不足している可能性があります。この認識のギャップを埋めることが、効果的なバックアップ戦略を推進する上で極めて重要です。
この記事は、限られた時間と予算の中で、主に中小企業がデータ損失リスクを最小限に抑え、事業継続性を確保するための、実践的かつ費用対効果の高いバックアップ戦略を提示することを目的としています。IT専門家が不足している中小企業の経営者、IT担当者、または事業責任者を主な対象とし、専門用語を避け、分かりやすい言葉で具体的な選択肢と導入のヒントをご提供したいと考えています。各バックアップ戦略がどのようにダウンタイムコストを削減し、事業継続を可能にするかという費用対効果の視点を常に提示し、特に初期投資が低い選択肢や、自動化による運用コスト削減のメリットを強調したいと考えています。
バックアップ戦略の基本原則：データ保護の「3-2-1ルール」と復旧目標（RPO/RTO）
毎回のように出てくるこの言葉。ですが、結局のところ要諦はこれなんですね。効果的なバックアップ戦略を構築するためには、普遍的な原則と事業継続計画（BCP）における重要な指標を理解することが不可欠です。限られたリソースの中で、どこに重点を置くべきかを判断するための指針を以下に示します。
「3-2-1ルール」の徹底解説とその実践方法
「3-2-1バックアップルール」は、データ喪失のリスクを確実に防ぐための普遍的な原則であり、大規模企業から中小企業まで全ての企業に適用が推奨されています。このルールは、データ保護の堅牢性を高めるためのシンプルな枠組みを提供します。
【3】データを3箇所に保存する：元データに加え、少なくとも2つ以上のバックアップデータを持つことを意味します。バックアップが1つだけでは、それが失われた場合にデータ復旧が不可能になるリスクがあるため、複数箇所に保存することでリスクを大幅に低減します。
【2】2種類以上の異なるメディアにデータ保存する：元データの保存先とは異なる種類のメディア（例：HDD、NAS、クラウドストレージ）に保存することで、特定のメディアの故障や災害による同時損失リスクを回避します。HDDやNASは経年劣化や故障のリスクがあるため、異なるメディアへの分散が重要です。
【1】バックアップの1つは遠隔地で保存する：火災や地震などの広域災害に備え、本来のデータとバックアップの1つを地理的に離れた場所に保存します。遠隔地に物理的なスペースがない場合は、クラウドストレージの活用が非常に有効な手段となります。
近年、凶悪な手口のランサムウェアが登場し、バックアップファイル自体を標的として消失させる被害が拡大しています。このような状況において「2種類以上の異なるメディア」と「1つは遠隔地」という3-2-1ルールの要素は、ランサムウェア対策の観点からさらに重要性を増しています。ネットワークから隔離されたオフラインバックアップや、イミュータブル（不変）機能を持つストレージ（データが一度書き込まれると変更・削除できない機能）の検討は、ランサムウェアによるバックアップデータの改ざんや削除を防ぎ、確実な復旧を可能にするための重要な手段となります。このルールを導入する際には、特にこれらの要素を重視し、サイバー攻撃に対するレジリエンスを高めることが求められます。
RPO（目標復旧時点）とRTO（目標復旧時間）の理解と設定
バックアップ戦略を策定する上で、RPO（Recovery Point Objective：目標復旧時点）とRTO（Recovery Time Objective：目標復旧時間）は、事業継続計画における二つの重要な指標です。
RPO（目標復旧時点）：許容できるデータ損失の最大量を指します。例えば、RPOが1時間であれば、最大1時間分のデータ損失が許容されることを意味します。RPOが短いほど、より頻繁なバックアップが必要となり、それに伴いコストが増加します。
RTO（目標復旧時間）：インシデント発生から通常業務をオンラインに戻すまでの、ダウンタイムの最大許容時間を指します。RTOが短いほど、より迅速な復旧システムが必要となり、それに伴いコストが増加します。
コストと復旧目標のバランスの取り方
RPOやRTOの値を小さくするためには、一定のコストが必要になるため、自社の要件や実現したいことを踏まえて慎重に検討することが大切です。限られたリソースしか持たない中小企業にとって、全てのデータに同じレベルの保護を適用することは非現実的であり、費用対効果が低いと言えます。
企業にとって最適な方法は、データを「クリティカル（重要）」と「ノンクリティカル（非重要）」に分類し、優先順位に従ってRTOとRPOを事前に決定することです。ビジネスの継続に不可欠な中核業務の優先順位付けを行い、限られた人員でも確実に継続すべき業務を明確にすることで、限られたリソースでも効率的な対策が可能となります。
このRPOとRTOの厳しさとコストの間には明確なトレードオフが存在します。バックアップ戦略は、単に技術的な選択だけでなく、ビジネス戦略の一部として、どのデータが最も重要で、どの程度のダウンタイムやデータ損失が許容できるかを経営レベルで決定する必要があります。これにより、リソースを最も効果的に配分し、無駄な投資を避けることが可能になります。具体的には、事業継続に不可欠な「中核的な業務」とそれに伴う「データ」を特定し、それらに対しては厳しめのRPO/RTOを設定し、優先的に投資を行うべきです。一方で、重要度の低いデータに対しては、より緩やかなRPO/RTOを設定し、コストを抑えたバックアップ方法を選択することで、メリハリのある予算配分を実現し、時間と予算の制約を乗り越える鍵となります。
少し短いですが今日はここまでとします
次から少し話題が変わり、それが結構長いのでここでいったん区切りたいと思います。具体的なバックアップの仕方、記録媒体、コストなどの話が入ってきます。
何と言いましょうか、本題に関して図表も何もないのがいささか気が引ける部分ではあるのですが、今後は増やしていきたいなと考えています。
というわけですがやっぱりやります
Geminiさんのお手並み拝見シリーズです。今回は、敢えてほとんどの方が知らないような題材を取り上げてみました。下の絵ですね。
この絵は、Geminiさんに「笠森お仙の絵を描いて？」とお願いした結果の出力です。誰やねん笠森お仙。解説はWikipediaにありますのでそちらに譲りますが、江戸時代に茶店の看板娘をやっていて「あの茶店の看板娘のお仙というのは可愛いぞ」みたいな評判が評判を呼んでアイドル的人気を博したということですね。元祖「会いに行けるアイドル」といったところでしょうか。
実はですね。江戸時代というのはこういう風に町娘が人気を呼んでアイドル的扱いになるということは結構あったんですよ。本屋が「町娘評判記」なんていうものを出して、それが結構売れたと言うのですから面白い。個人情報なんて考え方はまだこのころには全然なかったんですね。
私はそっちの世界には全く縁がないのでよくわかりませんが、少女向けファッション雑誌みたいなものが、街中でちょっとおしゃれな格好をしている女の子に声をかけて、その子の写真を載せて、その子が人気が出るってことが結構あるらしいですね。読者モデルって言うんでしょうか。
言ってみれば町娘評判記って、江戸時代バージョンのそれではないかと思います。日本人は昔から同じようなことをやっているんですね。そして人気が出た子のグッズを勝手に販売してボロ儲けしてたなんていう人間もいたそうです。
私はこういうしょうもない、でも強かな名もなき庶民の歴史が好きなんです。ヒーロー列伝の歴史は、正直言って何が面白いのかわかりません。こういうしょうもないことも記録に残って現代まで伝わってるのって面白いと思いませんか？
では、今日も1枚描いてもらいましょう。
ヒント行きましょうか。
実は大したことをしていない人です
いまの季節になると名前をよく聞きますね
戯作者という一面もある人です
まあ、江戸時代の変わり者と言ったところでしょうか。
今日もありがとうございました。
また次回もよろしくお願いいたします。
なお、弊社の業務をご紹介するちゃんとしたWebサイトは現在鋭意作成作業中です。今しばらくお待ちください。
目次
クラウドストレージと遠隔地バックアップの相互補完性
クラウドストレージのデータ消失に関する責任の所在
ディザスタリカバリ手順をあらかじめ決めておくべき理由
弊社でお取り扱いしておりますデータ・OSにつきまして
クラウドストレージのメリット・デメリット
Windowsからの乗り換え先になるか？ Linux MintとChrome OS Flex
バックアップの方法 オフライン・オンラインバックアップとは？
IPAの言うセキュリティ対策の基本を見ていきましょう！ その1
IPAの言うセキュリティ対策の基本を見ていきましょう！ その2
IPAの言うセキュリティ対策の基本を見ていきましょう！ その3
IPAの言うセキュリティ対策の基本を見ていきましょう！ その4
IPAの言うセキュリティ対策の基本を見ていきましょう！ その5
IPAの言うセキュリティ対策の基本を見ていきましょう！ その6
IPAの言うセキュリティ対策の基本を見ていきましょう！ その7
IPAの言うセキュリティ対策の基本を見ていきましょう！ その8
IPAの言うセキュリティ対策の基本を見ていきましょう！ その9
IPAの言うセキュリティ対策の基本を見ていきましょう！ ラスト
内閣サイバーセキュリティセンター（NISC）を見ていきましょう！
内閣サイバーセキュリティセンター（NISC）を見ていきましょう！その2
内閣サイバーセキュリティセンター（NISC）を見ていきましょう！その3
内閣サイバーセキュリティセンター（NISC）を見ていきましょう！その4
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その1
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その2
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その3
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その4
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その5
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その6
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その7
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その8
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その9
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その10
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その11
─事件を解決せよ─ CASE2：Webサイトのデータが消えた Part 1
─事件を解決せよ─ CASE2：Webサイトのデータが消えた Part 2
今日はバックアップに関する最近の話題をつらつら語りたいと思います
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その12
─事件を解決せよ─ CASE3：火事でオフィスが焼失 Part 1
─事件を解決せよ─ CASE3：火事でオフィスが焼失 Part 2
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その13（最終回）
今日はバックアップに関する最近の話題をつらつら語りたいと思います その2
オフサイトバックアップに関する最近の話題をつらつら語りたいと思います
バックアップがきちんとしていれば起きていなかった情報事故 その1
バックアップがきちんとしていれば起きていなかった情報事故 その2
中小企業のための簡単・安価なデータバックアップ戦略 その10
大企業における物理的媒体による遠隔地バックアップの重要性 その1
大企業における物理的媒体による遠隔地バックアップの重要性 その2
