事業継続性と災害復旧の監査

組織が業務を遂行するために情報技術(IT)への依存度が高まっていることから、ビジネス継続計画(およびそのサブセットであるIT サービス継続計画) は組織全体をカバーし、災害復旧はIT に重点を置きます。

組織の事業継続および災害復旧 (BCDR) 計画に関する文書を監査すると、文書が完全であり、重大な虚偽表示が含まれていないことを関係者に第三者が検証できます。

よく一緒に使われるビジネス継続性（BC）と災害復旧（DR）という用語は、まったく異なります。BCは災害発生後に企業が重要な機能とビジネスプロセスを継続する能力を指しますが、DRはBCのサブセットではあるものの、企業のIT機能に特化しています。^{[1] [2]}

主な目的は、組織の業務やコンピュータ サービスの全部または一部が部分的または完全に使用できなくなった場合に組織を保護することです。

災害復旧時のダウンタイムとデータ損失を最小限に抑えることは、通常、次の 2 つの主要な概念に基づいて測定されます。

• 目標復旧時間（RTO）、システムが完全に稼働するまでの時間
• リカバリポイント目標(RPO) は、バックアップコピーを復元する時点を指定してファイルを回復する能力の尺度です。

監査人は検査し評価する

• BCPとDR計画に記載されている手順は実際の実践と一致している
• 組織内の特定の個人（災害復旧担当者、災害復旧連絡担当者、DRコーディネーター、またはその他の同様の役職で呼ばれる場合があります）は、割り当てられたタスクを完了するためのチームメンバーの能力を分析するための技術的スキル、トレーニング、経験、および能力を備えています。
• DR 演習中に、複数の個人が特定の機能を実行するための訓練を受け、その機能を実行できる必要があります。テストと人員の調査は、この目的の達成に役立ちます。

災害復旧計画( DRP )は、災害が発生した場合に組織の災害復旧プロセスを実行し、ビジネスITインフラストラクチャを復旧および保護するための文書化されたプロセスまたは一連の手順です。^[3] これは、「災害の前、最中、および後に実行される一貫したアクションの包括的なステートメント」です。^[4]災害は、自然災害、環境災害、または人為災害である可能性があります。人為災害は、意図的なもの (たとえば、テロ行為) または意図的でないもの (つまり、人工ダムの破壊や、コンピューター システムでの「ファット フィンガー」、つまり誤ったコマンド入力など、偶発的なもの) である可能性があります。

万能の計画というものはないが^[5] 、 3つの基本的な戦略がある: ^{[3] [5]}

1. 適切なバックアップ、サージプロテクターや発電機の設置などの予防策
2. 定期的な検査の副産物である検出により、新たな（潜在的な）脅威が発見される可能性がある
3. 訂正^[6]

後者には、適切な保険契約を確保することや、「学んだ教訓」についてのブレーンストーミングセッションを開催することが含まれる。^{[3] [7]}

DRP の効果を最大限に高めるには、頻繁に更新することが最も効果的であり、次の点に注意する必要があります。

• すべてのビジネス分析プロセスの不可欠な部分となる
• あらゆる主要な企業買収、あらゆる新製品の発売、あらゆる新システム開発のマイルストーンごとに再検討される必要があります。
• 単なる経験不足の官僚的文書ではなく、徹底的にテストされる

組織は適切な記録を保持する必要があります。監査人は記録、請求書、契約書を検査して、記録が保持されていることを確認します。そのような記録の 1 つに、組織のハードウェアおよびソフトウェアベンダーの最新リストがあります。このようなリストは、変化するビジネス プラクティスを反映するため、またIT 資産管理システムの一部として作成され、定期的に更新されます。そのコピーはオンサイトとオフサイトで保管され、必要な人が利用できるように、またはアクセスできるようにします。監査人は、この目的を達成するために使用された手順をテストし、その有効性を判断します。

災害復旧は事業継続計画の一部です。DRP は、大惨事後のデータ復旧を可能にするポリシー、ツール、手順を網羅していますが、BCP は、潜在的な混乱を引き起こすイベントに関係なく、ビジネスのすべての側面を機能させ続けることを伴います。したがって、事業継続計画は、DRP だけでなく、データ侵害やその他の災害が発生した場合の脅威の防止、検出、復旧、および業務の再開を含む包括的な組織戦略です。したがって、BCP は 5 つのコンポーネント プランで構成されています。^[8]

• 事業再開計画
• 居住者緊急時対応計画
• 業務継続計画
• インシデント管理計画
• 災害復旧計画

最初の 3 つのコンポーネント (ビジネス再開、居住者の緊急事態、および業務継続計画) は、IT インフラストラクチャを扱っていません。インシデント管理計画 (IMP) は IT インフラストラクチャを扱っていますが、組織の IT システムに対するサイバー攻撃に対処するための構造と手順を確立するため、通常は DRP をアクティブ化するエージェントにはなりません。したがって、DRP は IT にとって積極的な関心のある唯一の BCP コンポーネントです。^[8]

テストの全体的な分類は、機能ベースとディスカッションベースです。テストの種類には、机上演習、^[9]チェックリスト、シミュレーション、並列処理（プライマリサイトが稼働中のリカバリサイトのテスト）、完全中断（フェイルオーバー）テストなどがあります。^{[10] [11]}これらは、BCとDRの両方に適用されます。

他の保険プランと同様に、適切な事業継続計画から得られるメリットには次のようなものがあります。^{[4]研究では、監査費用の支出が高いほど}事故発生率が低いこととの間に相関関係があることが示されています。^[12]

• 遅延のリスクを最小限に抑える
• スタンバイシステムの信頼性を保証する（特定のシナリオでは障害検出と回復を自動化する）
• 計画をテストするための基準を提供する
• 災害時の意思決定を最小限に抑える
• 潜在的な法的責任を軽減する
• 不必要なストレスの多い職場環境の軽減

災害復旧ジャーナルのジェフリー・H・ウォルド氏によると、災害復旧計画の策定プロセス全体は10のステップから構成されています。^[4]

• リスク評価の実行: 計画委員会は、さまざまな災害の可能性を含むリスク分析とビジネス影響分析(BIA) を準備します。組織の各機能領域を分析して、潜在的な影響を判断します。従来、火災は最大の脅威でした。徹底した計画により、メイン ビルの破壊などの「最悪の事態」に備えることができます。
• 処理と運用の優先順位の確立: 各部門の重要なニーズが評価され、優先順位が付けられます。選択された代替案に関する書面による合意が作成され、期間、終了条件、システム テスト、コスト、特別なセキュリティ手順、システム変更の通知手順、稼働時間、処理に必要な特定のハードウェアおよびその他の機器、人員要件、緊急事態を構成する状況の定義、サービス拡張の交渉プロセス、互換性の保証、可用性、メインフレーム以外のリソース要件、優先順位、およびその他の契約上の問題が詳細に指定されます。
• データ収集: これには、さまざまなリスト (従業員のバックアップ ポジション リスト、重要な電話番号リスト、マスター コール リスト、マスター ベンダー リスト、通知チェックリスト)、在庫 (通信機器、ドキュメント、オフィス機器、フォーム、保険証券、ワークグループおよびデータ センターのコンピューター ハードウェア、マイクロコンピューターのハードウェアとソフトウェア、オフィス用品、オフサイト ストレージ場所の機器、電話など)、配布記録、ソフトウェアおよびデータ ファイルのバックアップ/保持スケジュール、一時的な場所の仕様、その他のリスト、資料、在庫、およびドキュメントが含まれます。データ収集プロセスを容易にするために、事前にフォーマットされたフォームがよく使用されます。
• 計画書の整理と文書化
• テスト基準と手順の開発：テストの理由には以下が含まれる。
  • バックアップ設備と手順の実現可能性と互換性を判断します。
  • 計画内で修正が必要な領域を特定します。
  • チームマネージャーとチームメンバーにトレーニングを提供します。
  • 組織の回復能力を実証する。
  • 災害復旧計画の維持と更新の動機付けを提供します。
• 計画のテスト:構造化されたウォークスルー テストを実施して、計画の最初の「予行演習」を実行します。実際のテスト実行を実行する必要があります。問題が修正されます。

初期テストは、中断を最小限に抑えるために、セクションごとに通常の営業時間後に計画的に実行できます。その後のテストは通常​​の営業時間内に行われます。

コストが高いため、さまざまな計画に批判がないわけではありません。デルは、 BCP/DR計画に関連して組織が犯しがちな「よくある間違い」を5つ特定しました。^[13]

• 賛同の欠如: 経営幹部が DR 計画を「単なる模擬地震訓練」とみなしたり、CEO が DR 計画と準備を優先事項にしなかったりする場合
• 不完全な RTO と RPO : 重要なビジネス プロセスやデータ ブロックをすべて含めていない。波及効果により災害の影響が拡大する可能性があります。給与計算は当初はミッション クリティカルではないかもしれませんが、数日間放置しておくと、当初の問題よりも重要になる可能性があります。
• システムの近視眼: 3 つ目の障害点は、より広範な事業継続のニーズを考慮せずに DR のみに焦点を当てることです。災害により企業のオフィス スペースが失われると、テレワーカーが瞬く間に大量に発生し、その結果、企業のVPN が一晩で過負荷になり、IT サポート スタッフが瞬く間に過重労働になり、ダイヤルイン PBX システムに深刻なボトルネックと独占状態が生じる可能性があります。
• セキュリティの緩み: 災害が発生すると、組織のデータとビジネス プロセスが脆弱になります。そのため、災害復旧計画の RTO に含まれる速度よりもセキュリティの方が重要になる場合があります。その場合、最も重要な考慮事項は、新しい VPN からオフサイト バックアップ サービスからの接続まで、新しいデータ パイプラインのセキュリティ保護になります。
  • 災害時の死後法医学の計画
  • 紛失したハンドヘルドデバイスをロックダウンまたはリモートワイプする

サイトの指定:バックアップ サイトの選択。ホット サイトは操作を再開する機能を完全に備えていますが、コールド サイトにはその機能がありません。ウォーム サイトには一部の操作を再開する機能がありますが、すべての操作を再開できるわけではありません。

費用便益分析が必要です。

• 定期的なテストと試行により、計画の実行可能性と有効性が検証されます。監査人は、計画で想定されているレベルで組織の運営が維持される可能性と、組織が実際に現場で運営を確立する能力を調査します。
• 監査人は、紙およびペーパーレスの文書と実際の物理的な観察を通じてこれを検証できます。保管場所のセキュリティも確認されます。

データバックアップ：バックアッププロセスの監査では、(a) プロセスが有効かどうか、(b) プロセスが関係者によって実際に実行されているかどうかを確認します。^{[14] [15]}災害復旧計画には、コピーされていないデータを復旧するための最善の方法に関する情報も含まれます。このプロセス中にデータが破損、変更、破壊されないように、制御と保護が実施されます。

訓練: 計画の有効性を判断し、どのような変更が必要かを判断するために定期的に実施される訓練。監査人の主な関心事は、これらの訓練が適切に実施され、訓練中に発見された問題が対処されていることを確認することです。

主要人員のバックアップ- 定期的なトレーニング、クロストレーニング、人員の冗長性など。

監査人は、会社の保険契約やその他の調査をレビューして、会社の保険補償範囲（特に損害保険）が適切かどうかを判断します。監査人が検証する必要がある項目には、保険契約の範囲（明示されている除外事項を含む）、補償額が組織のニーズを満たすのに十分であること、および保険契約が最新かつ有効であることなどがあります。また、監査人は、独立した格付け機関によって割り当てられた格付けをレビューして、補償を提供する保険会社が災害発生時に損失を補償する 財務的実行力を持っていることを確認します。

効果的な DR 計画では、企業が他の組織に対して負う責任の範囲と、大災害が発生してもその責任を果たす能力を考慮します。優れた DR 監査には、既存のMOAと契約の見直しが含まれ、災害やその他の異常事態が発生した場合に組織が負う履行不履行の法的責任が最小限に抑えられるようにします。組織のサポートの確立と復旧支援に関する契約も概説します。この領域を評価するために使用される手法には、計画の妥当性の調査、計画がすべての要素を考慮しているかどうかの判断、文書化と外部調査による契約と合意の妥当性の検証などがあります。

監査人は、計画によって、経営陣と復旧チームの両方が効果的な通信ハードウェア、内部通信とビジネス パートナーや主要顧客などの外部の問題に関する連絡先情報を確保していることを検証する必要があります。

監査手法には以下が含まれる

• 手順のテスト、従業員へのインタビュー、他社の計画や業界標準との比較、
• 会社のマニュアルやその他の文書化された手順書を調べる。
• 災害発生時に緊急電話番号が記載されており、簡単にアクセスできることを直接確認します。

24 時間体制の災害復旧作業中にスタッフを維持するための手順は、優れた災害復旧計画に含まれています。食料と水の備蓄、CPR /応急処置の実施能力、家族の緊急事態への対処の手順は明確に文書化され、テストされています。これは通常、優れたトレーニングプログラムと職務責任の明確な定義を通じて会社が達成できます。計画の準備能力のレビューには、多くの場合、人員への質問、直接の物理的観察、トレーニング記録と証明書の検査などのタスクが含まれます。

監査人は、停電や IT に関連しないその他の状況の可能性を考慮した手順を確認する必要があります。

• 懐中電灯やろうそくが必要になるかもしれません。
• ガス漏れ、火災、その他の同様の現象が発生した場合の安全手順と PPE が必要になる場合があります。

• バックアップローテーションスキーム
• バックアップソフトウェアの比較
• オンラインバックアップサービスの比較
• 情報技術監査
• 脆弱性（コンピューティング）

• Messier, WF Jr. (2011)。監査と保証サービス：体系的アプローチ（第8版）。ニューヨーク：McGraw-Hill/ Irwin。ISBN 9780077520151。
• Gallegos, F.; Senft, S.; Davis, AL (2012)。情報技術管理と監査（第 4 版）。フロリダ州ボカラトン：Auerbach Publications。ISBN 9781439893203。