「BCP対策を行いたいが、何をすれば良いかわからない」

「バックアップさえ取っていれば十分なのだろうか」

BCP対策の一つとして、バックアップを取ることは重要です。しかし、本当にBCP対策として有効な手段にするためには、いくつかのポイントを押さえておく必要があります。

この記事では、BCPにおけるバックアップの重要性と、バックアップ時のポイント、注意点について解説します。

BCP（事業継続計画）とは

BCPはBusiness Continuity Planの略で、日本語では事業継続計画と呼ばれています。災害や緊急事態に備え、業務を継続できるようにするための戦略的な計画や手順を指します。自然災害（地震、洪水、火災など）や人為的な事件（テロ攻撃、サイバー攻撃、パンデミックなど）などが発生した際に、業務の中断を最小限に抑え、迅速な回復を可能にすることを目的としています。

BCPは、組織の重要な業務機能を特定し、それらの機能が継続的に運営されるための対策を講じるための計画です。これには、データの保護、災害時の通信手段、代替の業務拠点の確保、スタッフの安全確保などが含まれます。組織はBCPを策定し、継続的に更新しておくことで、予期せぬ事態に対する準備を整え、迅速で効果的な対応が可能となります。

なぜBCP対策としてバックアップが重要なのか

今の時代、顧客情報などの重要なデータをパソコンに保存している企業は多いでしょう。しかし災害が起きれば、パソコンが壊れ、中に保存していたデータが消える恐れがあります。

顧客情報のように業務に欠かせないデータが消失すれば、自社に深刻な影響が出る可能性も考えられます。壊れたパソコンからデータを復旧させるサービスも存在しますが、復旧できないケースもあるため、過信はできません。

バックアップを取っておけば、パソコン自体が壊れても、新しいパソコンにバックアップデータを移すことで業務の継続が可能です。

BCP対策におけるバックアップのポイント

バックアップは、BCP対策として欠かせない業務の一つです。ただし非常時にバックアップを役立てるためには、ポイントを押さえた上で作業する必要があります。ここでは、覚えておきたいバックアップ時のポイントを紹介します。

適切な頻度でバックアップを取る

ワードやエクセルなど、普段の業務で使うファイルのバックアップは、1日に1回以上行ってください。OSの設定情報などを含めたシステムバックアップ（イメージバックアップ）は、数ヶ月に1回を目安に取ります。ただし、OSをアップデートした際や、新しいソフトウェアの導入時には、前回から何ヶ月経ったかに関係なくバックアップを取りましょう。

バックアップを取る頻度が低すぎると、BCP対策になりません。例えば、1年に1回、12月1日しかバックアップを取らない会社があったとします。この会社が11月25日に災害で被害を受けた場合、去年の12月2日からの1年分に近い業務データが失われるでしょう。バックアップデータから復旧はできても、去年の12月1日までのデータしかないため、業務に支障が出ることが考えられます。

こうした理由から、適切な頻度でのバックアップが重要となります。

3-2-1ルールを守ってバックアップデータを保管する

3-2-1ルールとは、重要なデータの消失を防ぐために、バックアップ業務で守るべきルールのことです。具体的には以下の3つが挙げられます。

• 同じデータをコピーして3つ以上持っておく
• 2種類以上の異なるメディアに保存する
• バックアップデータのうち1つは物理的に離れた場所で保管する

まず、データをバックアップしたら、2ヵ所以上で保管してください。バックアップ元のデータと合わせて、合計3ヵ所以上にまったく同じデータが存在する状態にします。

次に、バックアップに使うメディアは、2種類以上を組み合わせましょう。1つ目のバックアップデータを外付けHDDに保存した場合、もう1つのバックアップデータはUSBメモリやクラウドストレージなど異なる種類のメディアに保存してください。

クラウドストレージについては、別記事「クラウドストレージとは？メリットや選び方、おすすめサービス3選を解説」でご確認ください。

最後に、バックアップデータのうち1つは物理的に距離がある場所で保管します。これを遠隔地バックアップと呼びます。大きな災害が起きた際には、地域全体が被害を受ける可能性があるため、物理的に離れている場所に保管することが大切です。

遠隔地バックアップについては、別記事「バックアップがあれば会社のデータを守れる！災害対策の必要性やサービスを解説」をご覧ください。

リストアテストを行う

リストアテストとは、バックアップしたデータを使って復旧できるかを確認するテストのことです。バックアップを取っていたにもかかわらず、いざというときにデータを復旧できなかった事例は多く存在します。1ヶ月に1回程度を目安に、定期的なリストアテストを実施しましょう。

BCP対策で重要な3つの指標

BCP対策の一環としてバックアップを取る際に意識したい、3つの指標を紹介します。

目標復旧時点

災害発生前の、どの時点のデータを復旧させるかを表す指標です。RPO（Recovery Point Objective）とも呼ばれています。目標復旧時点が1日なら、災害が発生する1日前のデータを復旧させるという意味です。

この目標復旧時点は、バックアップ頻度の決め方と密接に関係しています。

普段の業務で使うファイルは1日に1回以上バックアップを取る必要があるとお伝えしましたが、これはあくまで目安です。1日に何度もバックアップを取っておけば、災害などが起きる数分前の状態に復旧することも不可能ではありません。しかし、1日の間に何度もバックアップを取ることは、手間も時間もかかるでしょう。

社内に保存されているデータの中でも、更新頻度が高いものと低いものがあるはずです。3日に1回しか更新しないデータなら、毎日1回バックアップを取っておけば、十分ではないでしょうか。逆に、1日に4回更新されるデータがある場合、そのデータだけは、バックアップ頻度を増やす必要があるかもしれません。

このように、データごとに何時間分（何日分）くらいなら失われても許容できるのか、バランスを考えてバックアップ頻度を決めることが大切です。

目標復旧時間

業務をどれくらいの時間で復旧させるのかという指標です。RTO（Recovery Time Objective）とも呼ばれています。1日なら、災害発生から1日以内に復旧させるという意味になります。

復旧までにかかる時間は、短いほうが望ましいでしょう。しかし目標復旧時間を短くしようとすれば、その分コストもかかります。

例えばネットショップを運営する会社の場合、災害でサーバーが壊れて注文できなくなれば、大きな損失となります。できるだけ早く復旧する対策としては、同じサーバーを2台用意しておき、1台が壊れたときに、もう1台を使ってネットショップを再開する方法があります。

ただし、普段から予備サーバーを置いて管理し続けなければならない点がデメリットです。予備サーバーを維持する費用も安くはありません。多くのコストをかけてまで、すぐに復旧させる必要はあるのかを検討しましょう。

目標復旧レベル

どんな状態（レベル）で業務を再開するかの指標です。RLO（Recovery Level Objective）とも呼ばれています。

目標復旧レベルは、災害で被害を受ける前の状態を100%として考えます。80%の場合、被災前よりサービスのレベルが2割低いものの、8割は提供できる状態で再開するという意味です。

大きな災害が起きた直後に、被災直前の状態まで完全復旧させることは難しいでしょう。そこで、どれくらいの品質の製品やサービスを提供できるようになったら業務を再開するのかを検討します。

災害前のレベル（100%）に近づけることにこだわりすぎて、業務再開までに時間がかかることは望ましくありません。しかし、再開が早いほど良いとも限りません。顧客情報の復旧ができていないのにコールセンター業務を再開しても、顧客に迷惑をかけることになるでしょう。目標復旧時間と併せての検討が重要です。

BCP対策やバックアップで悩んだらプロに相談を

災害などの非常時でも事業を継続するために、BCPの策定は欠かせません。また事業に必要なデータを失わないよう、適切な頻度でバックアップを取り、データを管理することが重要です。

自社に適したバックアップ頻度などを検討する際には、目標復旧時点、目標復旧時間、目標復旧レベルの3つを意識することも大切です。

株式会社トントンは、BCP対策やバックアップのサポートも行っています。災害に強いデータ保管場所を探している方には、株式会社トントンが提供するデータバックアップサービス「データ守護神アシュラ」もご提案しています。

災害からの素早い復旧が可能で、万一データが損失した際には最高1000万円まで補償が可能です。ぜひお気軽にお問い合わせください。