企業データのバックアップと災害復旧（ディザスタリカバリ）

ひとつの質問で備えが分かる：今データが消えたら、どうなりますか？

会社のデータ（顧客、注文、請求書、記録）はデジタル上で最も価値のある資産です。それなのに、多くの企業はそれが決して失われないかのように扱っています。しかしデータの消失に大災害は必要ありません。ディスク障害、テーブルを削除してしまう人為的ミス、ファイルを暗号化するランサムウェア攻撃、あるいは不具合のあるアップデートでも起こります。問題は「起こるかどうか」ではなく、「いつ起こり、自分は備えができているか」です。

バックアップと災害復旧は同じものではありません。バックアップはデータのコピーであり、災害復旧はあらゆるインシデントの後に業務を迅速に復旧するための包括的な計画です。両方を併せて備える必要があります。

黄金の3-2-1ルール

最もシンプルで信頼できるバックアップの枠組み：

• データのコピーを少なくとも3つ（オリジナルと二つのコピー）。
• 二種類の異なる媒体に保存（サーバーとクラウドストレージなど）し、単一タイプの障害を避ける。
• 一つのコピーをオフサイトに（クラウドや別の拠点）保管し、火災、盗難、データセンター全体の障害から守る。

計画を決める二つの指標：RPOとRTO

• RPO（どれだけのデータ損失を許容できるか）：24時間ごとにバックアップしている場合、丸一日分の作業を失う可能性があります。許容できる間隔が短いほど、バックアップの頻度を高くする必要があります。
• RTO（どれだけのダウンタイムを許容できるか）：復旧中に事業が何時間停止しても耐えられますか？これによって、フェイルオーバー体制をどこまで整えておくべきかが決まります。

この二つの数値をチームで定めることで、「バックアップ」は曖昧な作業から明確な経営判断へと変わります。

一度も復元をテストしたことのないバックアップは、バックアップではなく、ただの願望です。

よくある致命的なミス

最も危険なのは、復元を一度もテストしないことです。多くの企業は、バックアップが破損していたり不完全だったりすることに、事前ではなく必要になったその瞬間に気づきます。その他のミスとしては、同じサーバー上の単一のコピーに頼ること、バックアップを暗号化しないこと、そしてバックアップを常時接続したままにしてランサムウェアにそれまで暗号化されてしまうことが挙げられます。

サウジアラビアにおける規制面

個人データ保護法（PDPL）は、個人のデータを保護し、その可用性と完全性を確保する責任を組織に課しています。そのため、文書化されたバックアップと復旧の計画は、単なる技術的な取り組みではなく、コンプライアンスの一部となります。

Origamiのサポート

Origamiでは、データの規模と重要度に応じて、当社のシステムのバックアップと復旧の計画を設計します。自動化・暗号化されたバックアップ、オフサイト保管、そして必要なときに確実に機能することを確かめるための定期的な復元テストです。私たちの目標は、どんなインシデントも事業の終わりではなく、短く回復可能な中断にとどめることです。

公式情報源：サウジアラビアデータ・人工知能庁（SDAIA）— 個人データ保護法（sdaia.gov.sa）。