RTO・RPOとは?バックアップで「どこまで・何時間で戻せるか」の指標

一言でいうと

RPOとRTOは、災害やトラブルの時に、システムやデータを「どこまで」「どれくらいで」戻すかの目標を表す、2つの指標です。

たとえ話:書きかけの原稿が消えたら

パソコンで原稿を書いていて、突然、データが消えたとします。

• RPO:最後に保存したのが「昨日の夜」なら、昨夜の時点までは戻せますが、今日書いた分は失われます。これがRPOの考え方です
• RTO:保存したデータを取り出して、元の作業ができる状態に戻すまでに、3時間かかったなら、RTOは3時間です

RPOを短くするには、保存の頻度を上げる必要があります。RTOを短くするには、復旧の手順や仕組みを整える必要があります。

バックアップの取り方との関係

頻度を上げるほど、RPOは小さくなりますが、費用も手間も増えます。どこで折り合いをつけるかが、RPOを決めるということです。

決め方の流れ

1. 業務を洗い出す:どんな業務で、どのデータやシステムを使っているか
2. 影響を考える:その業務が止まったら、データが失われたら、どんな影響が出るか
3. 許容できる範囲を決める:許容できるデータ損失(RPO)と、停止時間(RTO)
4. 手段を選ぶ:バックアップの頻度、保存先、復旧の手順を、目標に合わせて選ぶ
5. 実際に試す:目標どおりに、復旧できるかを確かめる

すべての業務を、最高水準にする必要はありません。たとえば、注文システムは厳しく、社内の資料置き場は緩めに、というように、重要度に応じて決めます。

業務ごとの考え方(例)

目標の決め方のイメージを、例で示します。あくまで考え方の例であり、実際の値は、業務への影響で決めてください。

「どのデータを失うと、一番困るか」から考えると、優先順位がつけやすくなります。

最も見落とされるのは「復元テスト」

バックアップで重要なのは、「バックアップを取っていること」と「必要な時に復元できること」は別だという点です。設定が有効で、毎日バックアップが取れていても、実際にデータを戻せるかどうかは、復元を試してみるまで分かりません。

たとえば、次のような問題があれば、いざという時に、想定どおりには復旧できません。

• 復元に必要なパスワードが、分からなくなっている
• 担当者しか、手順を知らない
• 手順書が古く、画面や操作方法が、変わってしまっている
• バックアップのデータが壊れていて、戻せない
• 戻せたが、想定より、何倍も時間がかかる

こうした問題は、試して初めて見つかります。年に1回でも構いません。実際に復元を試し、かかった時間を記録しておくことが、RTOを現実のものにする、一番確実な方法です。

データ分析や業務システムの支援でも、「普段は問題なく動いていること」と、「トラブルが起きた時に、業務を再開できること」は、分けて考える必要があると感じています。バックアップの有無を確認するだけでなく、次の3点まで確認することが大切です。

• いつの時点のデータに、戻せるのか(RPO)
• 復旧までに、どれくらい時間がかかるのか(RTO)
• 誰が、復元できるのか

バックアップの基本は、パソコンのバックアップの始め方や、同期とバックアップの違いで解説しています。

ITに詳しくない方への、伝え方

RPOやRTOは、専門用語から説明すると、難しく感じられます。私なら、まず次のように問いかけます。

明日の朝、仕事で使っているシステムが、突然使えなくなったら、どうしますか?

そこから、2つの言葉に分けて考えてもらいます。

• RPO:どこまでのデータを、失っても許容できるか(たとえば、毎日深夜にバックアップを取っているなら、障害が起きた時点によっては、その日の作業データを失う可能性があります)
• RTO:どれくらいの時間、業務が止まっても許容できるか(翌日までに復旧すればよい業務と、数時間止まるだけで大きな影響が出る業務では、必要な対策が違います)

決めるのは、技術担当者だけではない

RPOとRTOは、技術担当者だけで決めず、実際に業務を行う人と相談して決めることが大切です。技術的に復旧できることと、業務上それで間に合うことは、同じではありません。

「技術的には、半日で戻せる」と言われても、現場にとっては、「午前中に使えなければ、その日の仕事が回らない」かもしれません。業務側の「許容できる範囲」を聞いてから、技術側が手段を選ぶ。この順番が、目標を現実的なものにします。

「バックアップがある」は、安心の証拠ではない

特に、ランサムウェアのような被害を考える時は、「バックアップがある」と言われても、実際に復元できるかを確認していない組織を、多く見かけます(件数を集計したものではありません)。さらに、バックアップの保存先が、感染した環境と同じ場所にあり、一緒に被害を受けてしまうことも考えられます。

「取っている」ことと、「復元できる」ことは、別です。そこで大切になるのが、次の2点です。

• 保存先が、本番の環境と分かれているか(同じネットワークやアカウントから、一緒に消されない場所にあるか)
• 実際に、復元できたことがあるか

私自身も、大事なデータは、クラウドと外付けなど、2か所以上に分散して持つようにしています。1か所が使えなくなっても、もう1か所から戻せる状態にしておくことが、RPO・RTOを現実のものにする一番の近道だと感じています。ランサムウェアについては、ランサムウェアとはで解説しています。

関連する対策

• 電源トラブルへの備え:UPSとは
• ディスク故障への備え:RAIDとは(ただし、RAIDはバックアップの代わりにはなりません)
• サイバー攻撃への備え:ランサムウェアとは(攻撃を受けた時こそ、復旧の手順が問われます)
• サービスの品質目標:SLA・SLO・SLIとは

まとめ

• RPOは「どの時点まで戻せるか」、RTOは「何時間で戻せるか」
• バックアップの頻度が、RPOを決める
• 目標は、業務の重要度に応じて決める
• 実際に復元を試すまで、目標を満たせるかは分からない

関連記事:3-2-1バックアップとは(「同期はバックアップではない」を図で整理)