事業継続性および災害復旧に関する監査

災害復旧時のダウンタイムとデータ損失を最小限に抑えることは、通常、次の2つの重要な概念に基づいて評価されます。

• 復旧時間目標（RTO）：システムが完全に復旧して稼働するまでの時間
• リカバリポイント目標（RPO）とは、バックアップコピーが復元される時点を指定することで、ファイルを復元できる能力を示す指標です。

災害復旧計画（DRP ）とは、災害発生時に組織の災害復旧プロセスを実行し、ビジネスITインフラストラクチャを復旧および保護するための文書化されたプロセスまたは手順のセットです。^{[ 4 ]} これは、「災害の前、最中、後に取るべき一貫した行動の包括的な記述」です。^{[ 5 ]}災害は、自然災害、環境災害、または人為災害である可能性があります。人為災害は、意図的なもの（たとえば、テロリストの行為）または意図的でないもの（つまり、偶発的なもの、たとえば人工ダムの決壊、またはコンピュータシステムでの「ファットフィンガー」（誤ったコマンドの入力））である可能性があります。

災害復旧は事業継続のサブセットです。DRP は壊滅的なイベント後にデータを復旧するためのポリシー、ツール、手順を包含するのに対し、BCP は潜在的な混乱イベントに関係なく事業のあらゆる側面を機能させ続けることを伴います。そのため、事業継続計画は、DRP だけでなく、データ侵害やその他の災害イベントが発生した場合の脅威の防止、検出、復旧、および業務の再開を含む包括的な組織戦略です。したがって、BCP は 5 つのコンポーネント プランで構成されています。^{[ 9 ]}

• 事業再開計画
• 居住者向け緊急時対応計画
• 事業継続計画
• インシデント管理計画
• 災害復旧計画

最初の 3 つのコンポーネント (事業再開計画、居住者緊急時対応計画、および事業継続計画) は、IT インフラストラクチャを扱っていません。インシデント管理計画 (IMP) は IT インフラストラクチャを扱っていますが、組織の IT システムに対するサイバー攻撃に対処するための構造と手順を確立するため、一般的には DRP をアクティブ化するエージェントにはなりません。したがって、DRP は、IT にとってアクティブな関心のある唯一の BCP コンポーネントです。^{[ 9 ]}

ディザスター・リカバリー・ジャーナルのジェフリー・H・ウォルド氏によると、災害復旧計画の策定に関わる全プロセスは10のステップから構成されている。^{[ 5 ]}

• リスク評価の実施：計画委員会は、起こりうる様々な災害を網羅したリスク分析と事業影響分析（BIA）を作成します。組織の各機能領域を分析し、潜在的な影響を判断します。従来、火災は最大の脅威とされてきました。綿密な計画では、主要建物の破壊など、「最悪のシナリオ」にも対応できるようにしています。
• 処理と運用の優先順位の設定：各部門の重要なニーズを評価し、優先順位を付けます。選択された代替案について、期間、終了条件、システムテスト、コスト、特別なセキュリティ手順、システム変更の通知手順、稼働時間、処理に必要な特定のハードウェアおよびその他の機器、人員要件、緊急事態を構成する状況の定義、サービス延長の交渉プロセス、互換性の保証、可用性、メインフレーム以外のリソース要件、優先順位、その他の契約上の問題などの詳細を明記した書面による合意書を作成します。
• データ収集：これには、各種リスト（従業員バックアップポジション一覧、重要電話番号一覧、マスターコールリスト、マスターベンダーリスト、通知チェックリスト）、在庫（通信機器、文書、事務機器、フォーム、保険証券、ワークグループおよびデータセンターのコンピュータハードウェア、マイクロコンピュータのハードウェアおよびソフトウェア、事務用品、オフサイト保管場所の機器、電話など）、配布台帳、ソフトウェアおよびデータファイルのバックアップ/保持スケジュール、一時的な場所の仕様、その他同様のリスト、資料、在庫、文書などが含まれます。データ収集プロセスを容易にするために、事前にフォーマットされたフォームがよく使用されます。
• 計画書を作成し、文書化する
• テスト基準と手順の開発：テストの理由には以下が含まれます
  • バックアップ設備および手順の実現可能性と互換性を判断する。
  • 計画の中で修正が必要な箇所を特定する。
  • チームマネージャーとチームメンバーへの研修を実施する。
  • 組織の回復力を示す。
  • 災害復旧計画の維持・更新に対する動機付けを提供する。
• 計画の検証：まず、構造化されたウォークスルーテストを実施して、計画の初期段階の「予行演習」を行います。次に、実際のテストランを実施し、問題点を修正します。

初期テストは、業務への支障を最小限に抑えるため、段階的に、かつ通常の営業時間外に実施する。その後のテストは、通常の営業時間内に実施する。

高コストのため、さまざまな計画には批判がないわけではありません。デルは、BCP/DR計画に関連して組織がよく犯す5つの「一般的な間違い」を特定しました。 ^{[ 14 ]}

• 賛同の欠如：経営陣が災害復旧計画を「単なる模擬地震訓練」と見なしたり、CEOが災害復旧計画と準備を優先事項としない場合
• 不完全なRTOとRPO：重要な業務プロセスやデータブロックをすべて含めていない。波及効果によって災害の影響が拡大する可能性がある。給与計算は当初は重要ではないかもしれないが、数日間放置すると、当初のどの問題よりも重要になる可能性がある。
• システム近視眼：3つ目の障害点は、より広範な事業継続ニーズを考慮せずに災害復旧（DR）のみに焦点を当ててしまうことです。災害でオフィススペースが失われると、瞬時にテレワーカーの集団が発生し、その結果、企業のVPNが一夜にして過負荷状態になり、ITサポートスタッフがあっという間に過労状態に陥り、ダイヤルインPBXシステムに深刻なボトルネックや独占状態が生じる可能性があります。
• セキュリティ対策の不備：災害が発生すると、組織のデータと業務プロセスが脆弱になります。そのため、災害復旧計画におけるRTO（目標復旧時間）の達成速度よりも、セキュリティ対策の方が重要になる場合があります。したがって、最も重要な検討事項は、新しいVPNからオフサイトバックアップサービスへの接続まで、新しいデータパイプラインのセキュリティを確保することです。
  • 災害時における死後法医学の計画
  • 紛失した携帯端末をロックダウンまたはリモートでデータ消去する

監査人は、会社の保険契約書やその他の調査結果を検討することにより、会社の保険（特に財産・損害保険）の補償範囲の適切性を判断します。監査人が確認する必要のある項目には、保険契約の範囲（明示されている除外事項を含む）、補償額が組織のニーズをカバーするのに十分であること、および保険契約が有効であることなどが含まれます。また、監査人は、独立格付け機関が付与した格付けを検討することにより、保険を提供している保険会社が、災害発生時に損失を補償できるだけの財務的健全性を有していることを確認します。

効果的な災害復旧（DR）計画では、企業が他の組織に対して負う責任の範囲と、大規模災害発生時でもそれらの責任を果たす能力を考慮に入れます。優れたDR監査では、既存の覚書（MOA）や契約書を精査し、災害やその他の異常事態発生時に組織が負う法的責任を最小限に抑えます。また、組織への支援体制の構築や復旧支援に関する合意事項も明記します。この分野の評価手法としては、計画の妥当性の検証、計画がすべての要素を考慮に入れているかどうかの判断、文書や外部調査による契約や合意事項の妥当性の検証などが挙げられます。

監査人は、計画において、経営陣と復旧チームの両方が効果的な通信機器、社内コミュニケーションおよびビジネスパートナーや主要顧客などの社外問題に関する連絡先情報を確実に備えていることを確認しなければならない。

監査手法には以下が含まれる

• 手順のテスト、従業員へのインタビュー、他社の計画や業界標準との比較、
• 会社のマニュアルやその他の文書化された手順を精査する。
• 災害発生時に緊急連絡先の電話番号が一覧表示され、容易にアクセスできる状態になっていることを直接確認する。

24時間体制の災害復旧活動中にスタッフを維持するための手順は、優れた災害復旧計画に必ず含まれています。食料や水の備蓄、心肺蘇生法（CPR）や応急処置の実施能力、家族の緊急事態への対応手順は明確に文書化され、テストされています。これは一般的に、企業が適切な研修プログラムと明確な職務定義を行うことで実現できます。計画の準備状況を確認する際には、担当者への聞き取り調査、直接的な現場観察、研修記録や資格証明書の確認といった作業が含まれることがよくあります。

監査人は、停電やIT関連以外の状況が発生する可能性を考慮した手順をレビューしなければならない。

• 懐中電灯やろうそくが必要になるかもしれません。
• ガス漏れ、火災、その他同様の現象が発生した場合の安全手順および個人用保護具（PPE）が必要となる場合があります。