バックアップの目的は、保存ではなく復旧

これまでは、「バックアップを取得すること」が重視されてきました。

しかし、本来バックアップの目的は、データを保存することではありません。

事業を復旧することです。

そのためには、バックアップが存在するだけでは十分ではありません。

「いつでも復旧できること」を継続的に確認できること。

それこそが、これからのバックアップに求められる価値ではないでしょうか。

その考え方を実践レベルで示しているのが、National Institute of Standards and Technologyが公開する NIST Special Publication（NIST SP） シリーズです。

NIST SPでは、

• バックアップをどのように保護するか
• 復旧計画をどのように整備するか
• 復旧テストをどのように実施するか
• テスト結果をどのように改善へつなげるか

までを具体的に解説しています。

そこから見えてくるメッセージは、とてもシンプルです。

バックアップの価値は、保存することではなく、復旧できることにある。

備蓄は、使えてこそ

この考え方は、防災に例えると分かりやすくなります。

企業は災害に備えて、水や食料を備蓄します。

しかし、その備蓄を一度も取り出したことがなく、使い方も分からないままでは、本当に役立つでしょうか。

だからこそ、防災では避難訓練を行います。

備蓄を取り出し、実際に使い、その結果を改善へつなげることで、「使える備蓄」になります。

バックアップも同じです。

データを保存しただけでは、その価値は証明されません。

実際に復旧し、業務を再開できて初めて、その価値が発揮されます。

そして、その復旧能力は、一度確認すれば終わりではありません。

定期的に復旧テストを実施し、結果を評価し、改善を続けることで、初めて維持されます。

使えるバックアップとは、定期的な復旧テストによって、その価値を証明し続けるバックアップである。

復旧テストに数日を要したり、本番環境への影響を心配して実施できなかったりする環境では、いざという時まで「本当に復旧できるか」は分かりません。

一方で、定期的に復旧を試し、その結果を運用改善へつなげられる環境であれば、企業のレジリエンスは着実に高まります。

バックアップは、「取得していること」がゴールではありません。

定期的に復旧を試せること。

そして、その結果を継続的な改善へつなげられること。

それこそが、これからの時代に求められる「使えるバックアップ」ではないでしょうか。

参考情報

NIST Special Publication（NIST SP）とは

National Institute of Standards and Technologyが公開しているサイバーセキュリティ分野の実務ガイドです。

米国政府機関だけでなく、多くの企業や各国のセキュリティガイドラインにも影響を与えており、バックアップや復旧に関しては、復旧計画を策定するだけでなく、テストや演習を通じて有効性を確認し、継続的に改善することを推奨しています。

代表的な文書は以下のとおりです。

• NIST SP 800-34 Rev.1 – Contingency Planning Guide for Federal Information Systems
  （事業継続、災害復旧、復旧テスト）
• NIST SP 800-53 Rev.5 – Security and Privacy Controls（CP-4：Contingency Plan Testing）
  （復旧計画のテスト）
• NIST SP 800-184 – Guide for Cybersecurity Event Recovery
  （サイバー攻撃後の復旧、演習、継続的改善）

＋＋＋

以上、Koichiがお伝えしました。