災害復旧計画を作成する

学習の目的

この単元を完了すると、次のことができるようになります。

• 災害復旧/継続計画を準備しておくことの重要性を説明する。
  
• 災害復旧計画の作成に関するベストプラクティスを挙げる。
  

災害復旧計画に従って組織を守る

社会がテクノロジーへの依存を高め、サイバー攻撃が急増する中、強力な組織は最悪の事態に備えています。ミッションクリティカルなアセットに深刻な侵害が生じれば、組織の評判、事業運営、財務に壊滅的な影響が出るおそれがあります。

火災、台風、停電など物理的な事象はすべて予測不能ながら、概してその性質が十分に理解されています。他方、セキュリティ脅威は予測不能であると同時に、サイバー犯罪が本質的に急速に進化するものであることから、総じて十分に理解されていません。組織にとってのベストプラクティスは、災害復旧対策よりも頻繁にセキュリティ復旧対策を見直し、サイバーセキュリティのリーダーに災害復旧チームに参加してもらうことです。

リーダーは災害復旧/継続計画に従って、災害の準備と復旧に取り組むことができます。この計画には、セキュリティインシデントのシナリオ、潜在的なサイバー攻撃から組織を守る方法、データ侵害が生じた場合の対処法が詳述されています。計画に従うことで、侵害を特定し、ビジネスに欠かせないサービスを復旧するために要する時間が短縮されます。

災害復旧計画の作成に関するベストプラクティス

災害復旧計画を作成するときは、次のベストプラクティスに従います。

• 主なアセットを定義する。組織への攻撃を未然に防ぐには、まず何を保護するのかを知る必要があります。経営陣を集め、潜在的な損失による影響とこうした脅威を軽減する方法について討議します。
  
• 復旧策を特定する。組織の最も重要なアセットを特定したら、次はデータ侵害やサイバー攻撃が生じた場合の復旧手段を判断します。たとえば、データをバックアップディスクやサーバー、クラウドストレージに保存したり、データをオフサイトの安全な場所に完全に複製したりする計画を立てます。
  
• ガバナンス計画を定めて伝達する。緊急事態の発生時には、誰が災害を正式に宣言し、誰の責任において連絡系統を実行に移すのかを組織の全員が把握している必要があります。
  
• 計画を定期的に見直し、予行演習を行う。計画を効率的に実践に移すために重要な点は、計画を従業員と一緒に定期的に点検し、データ侵害や深刻なサイバー攻撃に直面したときに何をすべきかを全員が認識しているようにすることです。計画を検証する目的で、リーダーシップとスタッフが参加する予行演習やシミュレーションを実施します。新しいポリシーや人事異動に合わせて計画を更新します。
  

災害復旧/継続計画のほか、サイバー保険も検討します。サイバー攻撃が巧妙化し、データ侵害の検出に要する全般的なコストが上昇する中で、サイバー賠償責任保険によってこうしたコストが低減されます。

まとめ

この単元では、組織が災害復旧計画を整備する理由とその方法について詳しく説明しました。具体的には、データ、テクノロジー、人材などの重要なアセットを定義し、復旧策を特定して、コミュニケーション計画を立てる方法を習得しました。災害の復旧計画の作成方法を理解したところで、次は組織を守る最後の要素である、サイバーセキュリティの文化を築く方法について見ていきます。 

リソース

• 外部サイト: IBM: Example Disaster Recovery Plan (災害復旧計画の例)
  
• PDF: NIST: Contingency Planning Guide for Federal Information Systems (連邦情報システムの緊急時対応計画ガイド)