地震でデータセンターが止まっても、別の場所に用意したシステムに切り替えて業務を続ける。こうした備えを「ディザスタリカバリ（DR）」と呼びます。
DRは長いあいだ、自然災害への備えとして整えられてきました。ところが、ランサムウェアの被害が広がった今、「DRサイトを用意していたのに、そこまで暗号化されて戻せなかった」というケースが問題になっています。
この記事では、DRの基本（意味、BCPとの違い、方式、計画の作り方）を整理したうえで、従来のDRがサイバー攻撃に弱い理由と、見直すべきポイントを解説します。
目次
ディザスタリカバリ（DR）とは
ディザスタリカバリ（Disaster Recovery）は、日本語で「災害復旧」と訳されます。災害や障害でITシステムが止まったとき、システムとデータを元に戻し、業務を再開できるようにするための仕組みと計画のことです。略して「DR」とも呼ばれます。
ここでいう「災害（Disaster）」は、地震や水害だけではありません。DRで想定する事態には、主に次のようなものがあります。
- 地震、台風、洪水、火災などの自然災害
- 停電、通信障害、機器の故障などのシステム障害
- 操作ミスや設定ミスによるデータの消失
- ランサムウェアなどのサイバー攻撃
原因が何であれ、「システムやデータが使えなくなった状態から、どう戻すか」を考えるのがDRです。そのため、DRの中身は大きく「データを別の場所に残しておくこと」と「そのデータを使ってシステムを動かす場所と手順を用意しておくこと」の2つに分けられます。
DRとBCPの違い
DRとよく一緒に語られるのが、BCP（事業継続計画）です。2つの違いは、守る範囲にあります。
| 項目 | DR（ディザスタリカバリ） | BCP（事業継続計画） |
|---|---|---|
| 目的 | ITシステムとデータを復旧させる | 事業そのものを続け、早く元に戻す |
| 対象 | サーバー、ネットワーク、データなど | 人、拠点、設備、取引先、システムなど事業全体 |
| 主な中身 | バックアップ、代替システム、切り替え手順 | 優先業務の決定、代替拠点、連絡体制、手作業での継続 |
| 関係 | BCPを支えるIT面の手段 | DRを含む全社の計画 |
BCPは「どの業務を、いつまでに再開するか」を決める全社の計画です。DRは、そのうちITシステムとデータを実際に戻すための手段にあたります。BCPで「受注システムは24時間以内に再開する」と決めたら、それを実現する方法を用意するのがDRの役割です。
BCPの意味や策定の手順、地震を想定したBCPがサイバー攻撃で機能しにくい理由は、「BCP（事業継続計画）とは？意味と策定手順、サイバー攻撃への備え方」で詳しく解説しています。
DRの目標を決める2つの指標：RTOとRPO
DRを設計するときは、まず2つの目標値を決めます。
- RTO（目標復旧時間）： システムが止まってから、どれだけの時間で再開させるか
- RPO（目標復旧時点）： どの時点までのデータを取り戻すか。言い換えると、どれだけの時間分のデータ消失なら許容できるか
たとえばRPOが「1時間」なら、少なくとも1時間ごとにデータを別の場所へ残しておく必要があります。RTOもRPOも、短くするほど費用がかかります。すべてのシステムを最高水準にするのではなく、業務の重要度に応じて目標を分けるのが一般的です。
DRの主な方式
DRの方式は、「どれだけ早く戻せるか」と「どれだけ費用をかけられるか」のバランスで選びます。代表的なものは次のとおりです。
バックアップと復元
データのバックアップを別の場所に保管しておき、災害のあとで新しい機器や環境を用意して復元する方式です。最も費用を抑えられますが、機器の準備や復元作業に時間がかかるため、再開までは長くなります。
コールド・ウォーム・ホットスタンバイ
あらかじめ代替の拠点（DRサイト）を用意しておく方式です。どこまで準備しておくかで、3つに分かれます。
| 方式 | 準備の状態 | 再開までの目安 | 費用 |
|---|---|---|---|
| コールドスタンバイ | 場所や設備だけ確保。機器の設定やデータの復元は災害後に行う | 数日〜数週間 | 低い |
| ウォームスタンバイ | 機器は用意済み。データは定期的に同期し、災害時に起動して最新化する | 数時間〜1日程度 | 中程度 |
| ホットスタンバイ | 本番と同じ環境を常に動かし、データもほぼリアルタイムで複製する | 数分〜数時間 | 高い |
※再開までの時間は一般的な目安です。システムの規模や手順の整備状況によって大きく変わります。
クラウドを使ったDR
AWSやMicrosoft Azureなどのクラウドを、DRサイトとして使う方法です。クラウドには、別の地域（リージョン）へのデータ複製や、障害時の切り替えを支援する仕組みが用意されています。
自社で遠隔地にデータセンターを持つ必要がなく、普段は最小限の構成で待機させ、災害時だけ規模を広げることもできます。初期費用を抑えやすいため、中堅・中小企業でもDRに取り組みやすくなりました。
DR計画（DRP）に盛り込むこと
DRの仕組みを整えても、いざというときに誰が何をするかが決まっていなければ動けません。そのための手順書が「DR計画（DRP：Disaster Recovery Plan）」です。主に次の内容を盛り込みます。
- 対象システムと優先順位： どのシステムから戻すか。BCPで決めた優先業務に合わせます
- 目標値： システムごとのRTOとRPO
- 発動の判断基準と体制： 誰がDRへの切り替えを判断し、誰が作業するか
- 切り替えと切り戻しの手順： DRサイトへ移す手順と、本番環境へ戻す手順の両方
- 連絡体制： 社内、取引先、委託先への連絡の流れ
- テストと見直しの時期： 年に何回、どの範囲で訓練するか
特に大切なのは6つ目です。手順書があっても、実際に試したことがなければ、本番で想定どおりに動く保証はありません。
従来のDRが想定していなかった「サイバー攻撃」
ここからは、多くの企業のDRに共通する弱点を見ていきます。
自然災害は「1か所」、ランサムウェアは「つながっているすべて」
従来のDRは、「本番の拠点が丸ごと使えなくなる」事態を前提に作られてきました。地震でデータセンターが止まっても、数百キロ離れたDRサイトは無事です。だから「遠くに置く」ことが最大の備えでした。
サイバー攻撃では、この前提が崩れます。被害の範囲を決めるのは、物理的な距離ではなく、ネットワークでつながっているかどうかです。DRサイトがどれだけ遠くにあっても、本番環境とネットワークでつながり、同じ管理者アカウントで操作できるなら、攻撃者にとっては同じ場所にあるのと変わりません。
レプリケーションは「暗号化されたデータ」も複製する
ホットスタンバイやウォームスタンバイでは、本番のデータをDRサイトへ自動で複製（レプリケーション）します。地震への備えとしては優れた仕組みです。
ところが、本番のデータがランサムウェアで暗号化されると、その変更もそのまま複製されます。DRサイトのデータも、数秒から数分のうちに暗号化された状態に置き換わってしまいます。RPOを短くするために複製の間隔を詰めているほど、被害が伝わるのも早くなります。
さらに、攻撃者は侵入してからすぐに暗号化するとは限りません。しばらく潜んで管理者の権限を奪い、バックアップやDR環境を先に削除・破壊してから、本番を暗号化する手口が知られています。
バックアップを取っていても、多くの組織が戻せなかった
実際の被害データにも、この弱点が表れています。警察庁が2024年3月に公表した資料によると、令和5年にランサムウェアの被害に遭った企業・団体のうち、94%がバックアップを取得していました。ところが、そのバックアップから復元を試みた組織の83%は、被害直前の状態まで戻せませんでした。バックアップがネットワークにつながったまま、本番と一緒に暗号化されてしまうことが、戻せない原因の一つとして指摘されています。
「バックアップがある」「DRサイトがある」ことと、「サイバー攻撃を受けても戻せる」ことは、同じではありません。
ランサムウェアにも耐えるDRにするための見直しポイント
今あるDRを、サイバー攻撃を想定して見直すときのポイントは次のとおりです。
1. ネットワークから切り離したコピーを持つ 普段はネットワークにつながっていない場所に、データのコピーを置きます。テープや外部媒体を使うオフラインバックアップや、ネットワーク的に隔離するエアギャップがこれにあたります。つながっていなければ、攻撃者は手を出せません。
2. 書き換えられないコピーを持つ 一定期間は削除も上書きもできない設定で保管する「イミュータブルバックアップ」も有効です。管理者の権限を奪われても、保管期間中のデータは消されません。
3. バックアップとDR環境の管理権限を分ける 本番と同じアカウントで、バックアップやDRサイトを操作できる状態は危険です。認証を別にし、多要素認証をかけ、操作できる人を絞ります。
4. 世代を残し、「どこまで戻れば安全か」を確かめられるようにする 攻撃者が潜んでいた期間のデータから戻すと、再び被害に遭うおそれがあります。複数の時点のデータを残し、感染前の時点を選んで戻せるようにしておきます。
5. サイバー攻撃を想定して復元テストをする 地震を想定した切り替え訓練だけでなく、「本番もDRサイトも使えない」状態から、隔離したコピーで戻す訓練をします。ここで初めて、手順の抜けや実際の所要時間が分かります。
6. 一部が壊れても、残りから戻せる構成を考える データを1か所に丸ごと置くのではなく、複数の場所に分けて保管し、一部が失われても残りから復元できる構成もあります。「どこか1か所が無事であること」に頼らない考え方です。
よくある質問
ディザスタリカバリとBCPの違いは何ですか?
守る範囲が違います。BCP（事業継続計画）は、人・拠点・取引先なども含めて、事業そのものを続けるための全社の計画です。DR（ディザスタリカバリ）は、そのうちITシステムとデータを復旧させるための仕組みと手順を指します。DRはBCPを支えるIT面の手段と位置づけられます。
DR(ディザスタリカバリ)の要件は何ですか?
DRを設計するときに決める主な要件は、対象とするシステムと優先順位、システムごとのRTO（目標復旧時間）とRPO（目標復旧時点）、想定する災害の範囲、DRサイトの場所と方式、切り替えと切り戻しの手順、担当体制、テストの頻度、かけられる費用です。最近は、想定する災害にサイバー攻撃を含め、「本番とDRサイトが同時に使えなくなった場合」まで要件に入れることが求められています。
ディザスタリカバリプランとは何ですか?
災害や障害でシステムが止まったときに、誰が・何を・どの順番で行い、システムとデータを復旧させるかをまとめた計画書です。DRP（Disaster Recovery Plan）とも呼ばれます。対象システムの優先順位、目標値、発動の判断基準、切り替え手順、連絡体制、テストの計画などを盛り込みます。作ったあとも定期的に訓練し、システム構成の変化に合わせて更新することが大切です。
HDDリカバリーとは何ですか?
故障したり、誤って削除したりしたハードディスク（HDD）から、データを取り出して元に戻す作業のことです。「データ復旧」とも呼ばれます。機器1台を対象にした作業で、物理的な故障の場合は専門業者に依頼するのが一般的です。これに対してDRは、組織のシステム全体を、あらかじめ用意した別の場所から計画的に戻すための仕組みです。HDDリカバリーは「壊れたあとに救い出す」作業、DRは「壊れる前に戻せる状態を作っておく」備えといえます。
まとめ
ディザスタリカバリ（DR）は、災害や障害、サイバー攻撃で止まったITシステムとデータを復旧させるための仕組みと計画です。BCPが事業全体の計画であるのに対し、DRはそのIT面を実際に支える手段にあたります。
従来のDRは、「遠くに置けば守れる」という自然災害の前提で作られてきました。しかしランサムウェアは、ネットワークでつながったDRサイトやバックアップまで、まとめて使えなくします。
まずは今のDRについて、「本番とDRサイトが同時に暗号化されたら、どこから戻すか」を確認してみてください。その答えがすぐに出てこなければ、見直しのタイミングです。
参考資料
- 警察庁「令和5年におけるサイバー空間をめぐる脅威の情勢等について」2024年3月（PDF）
- Amazon Web Services「AWS Well-Architected フレームワーク 信頼性の柱 REL13-BP02 復旧目標を満たすため、定義された復旧戦略を使用する」
SecuShardについて
株式会社SecuShardは、データを「盗まれても読めない、壊されても戻せる」状態で保管するための統合サイバーセキュリティシリーズ「ONEデジSecurity」を提供しています。
その第一弾が、セキュアファイルサーバー「ONEデジGuard」です。いま使っているファイルサーバーと置き換えて使う製品で、社員はこれまでと同じ共有フォルダを操作します。その裏側で、次の3つを1台で担います。
- 攻撃を止める： ファイル操作のふるまいからランサムウェアなどの攻撃を検知し、問題のある接続だけを遮断します
- データを守る： ファイルを暗号化したうえで6つの断片に分けて保管し、一部が盗まれても中身を読み取れない形にします
- 壊れても戻す： 6つのうち4つの断片が残っていれば元に戻せる仕組みで、保管中のデータを定期的に点検し、破損した部分を再構築します
DRで「サイバー攻撃を受けても、データをどこから戻すか」を考える際の選択肢の一つとして、ご検討ください。