【ITニュース解説】「システムが動けば復旧完了」ではない--「信頼できる状態」に戻すための条件

現代社会において、企業が直面するサイバーリスクは日に日に増大している。サイバー攻撃はもはや他人事ではなく、いつ自社が標的になってもおかしくない状況だ。このような状況下で、企業にとって最も重要な課題の一つは、攻撃を受けてシステムが停止したとしても、会社としての事業を継続し、存続していくことである。しかし、この「復旧」という言葉の解釈について、従来の考え方だけでは不十分であることが指摘されている。

多くの場合、システムがダウンした場合の「復旧完了」とは、停止していたシステムが再び稼働し始めることを指すことが多い。しかし、この認識に対し「システムが動けば復旧完了」ではないと警鐘を鳴らしている。なぜなら、システムが動いたとしても、その裏にあるデータが本当に信頼できる状態にあるのか、あるいは攻撃を受ける前のセキュリティレベルまで回復しているのか、といった点が不明確なままでは、本当の意味での事業継続には繋がらないからだ。

ここで重要になるのが、「信頼できる状態」に戻すという考え方である。単にシステムが起動するだけではなく、データの整合性が完全に保たれていること、不正なアクセスやマルウェアの痕跡が完全に排除されていること、そして元のセキュリティ対策が十分に機能している状態に戻すこと。これら全てが満たされて初めて、「信頼できる状態」への復旧が完了したと言える。この状態を実現するためには、単にシステムを再起動するだけでなく、攻撃によってどのような影響があったのかを詳細に調査し、その影響を完全に排除する作業が必要となる。これは、ITインフラだけでなく、業務プロセスや組織全体に関わる広範な取り組みを要求する。

このような厳しい状況に対応するために提唱されているのが、「Minimum Viable Company」（MVC）という概念である。これは、サイバー攻撃のような深刻なインシデントが発生した場合でも、「会社を存続させる」ことを目的とした考え方だ。MVCは、ソフトウェア開発でよく用いられる「Minimum Viable Product」（MVP、最小限の実行可能な製品）という考え方から派生している。MVPが、必要最小限の機能を持つ製品を素早く市場に出し、顧客のフィードバックを得ながら改良していくアプローチであるように、MVCは、サイバー攻撃のような危機に瀕した際に、会社として事業を継続するために必要不可欠な機能やプロセスを最小限に絞り込み、それを確実に維持・復旧させることに焦点を当てる。

従来の事業継続計画（BCP）は、自然災害や大規模なシステム障害など、広範なリスクに対応することを想定していることが多かった。しかし、MVCは特にサイバー攻撃による事業停止を前提としており、その特性に合わせた、より具体的な対策を求める。サイバー攻撃は巧妙化し、データ破壊、システム乗っ取り、情報漏洩など、多岐にわたる被害をもたらす可能性がある。このような攻撃から完全に守り切ることは非常に困難であるため、攻撃を受けることを前提とし、いかにして被害を最小限に抑え、事業を停止させないか、あるいは迅速に最小限の業務を再開させるかを考えるのがMVCの核心だ。

MVCの実現には、まず企業内で「会社を存続させるために何が最も重要か」を徹底的に洗い出す作業が必要になる。具体的には、事業活動の中核となる業務プロセスは何か、その業務を支える最も重要なシステムやデータはどれか、それらのシステムやデータが利用できなくなった場合、代替手段はあるか、最小限の業務を継続するために必要なリソース（人員、設備、サプライヤーなど）は何か、といった問いに答える必要がある。

これらの問いに対する答えをもとに、企業は以下の点を具体的に準備する。重要な資産の特定と保護では、事業継続に不可欠なシステムやデータを明確にし、それらに対する堅牢なバックアップ体制やセキュリティ対策を構築する。特に、改ざんや破壊から保護された、信頼性の高いバックアップの確保は極めて重要である。迅速な復旧計画の策定では、万が一、攻撃を受けてシステムが停止した場合に、どのようにして最小限の機能を迅速に復旧させるかの具体的な手順を定める。これには、復旧チームの編成、役割分担、復旧目標時間（RTO）と目標復旧時点（RPO）の設定などが含まれる。代替手段の準備として、主要なシステムが完全に停止した場合でも、手作業や別のシステムで業務を継続できるような代替プロセスを準備しておく。組織横断的な連携では、IT部門だけでなく、経営層、法務、広報、人事、営業、そしてサプライチェーンに関わる外部パートナーとも連携し、全社的な対応体制を構築する。特に、情報漏洩が発生した際の法的対応や顧客・取引先への説明は、会社の信頼性を左右するため重要となる。そして、継続的な訓練と見直しとして、策定した計画は実際に機能するかどうか、定期的に訓練を行い、問題点が見つかれば改善していく。サイバー脅威は常に変化するため、計画もそれに合わせて見直していく必要がある。

システムエンジニアを目指す者にとっても、このようなMVCの概念は非常に重要だ。単にシステムを構築し運用するだけでなく、万が一の事態に備え、そのシステムが企業の「信頼できる状態」を維持し、事業継続に貢献できるかを常に意識することが求められる。システムの設計段階から、堅牢性、復旧性、セキュリティを考慮し、いかにして企業の中核機能を守り、最小限のダウンタイムで復旧させるかを考える視点は、これからのITプロフェッショナルにとって不可欠な能力となるだろう。サイバーリスクが常態化する現代において、MVCは企業が生き残るための羅針盤であり、IT部門はその実現において中心的な役割を担うことになる。