要点
- 6つのステップ：対象範囲、基準値（RPO、RTO）、検証済みのバックアップ、復旧場所、簡潔な手順書、日付入りのテスト。
- DRPの対象は、当日中、場合によっては72時間以内に再開すべきサービスのみです。それ以外はバックアップで対応します。
- フランス国家情報システムセキュリティ庁（ANSSI）は、依存関係（ディレクトリ、DNS、時刻）を考慮した復元の順序をあらかじめ定めるよう求めています。
- 暗号鍵と緊急用アカウントは、復元対象のシステムの外で、少なくとも2名がアクセスできるようにしておく必要があります。
- 2〜5ページに収まらない手順書は、夜10時には実行されません。
基準の手法を中小企業向けに
米国の標準化機関であるNIST（米国国立標準技術研究所）は、ITの緊急時計画を7つのステップで説明しています。方針、事業影響度分析、予防策、復旧戦略、計画の作成、テストと訓練、そして更新です。フランス国防・国家安全保障事務総局（SGDSN）は、重要な業務の特定から計画の定着と維持までの5つのステップを提案しています。中小企業の場合、これらの手法は6つの具体的なステップにまとめられます。
ステップ1：対象範囲を決める
経営陣とIT管理者で1時間の打ち合わせを行います。それがなければ明日の業務が止まってしまうツールを洗い出します。業務ソフトウェア、ファイル、メール、電話、POSレジなどです。それらを次のように分類します。
- 当日中に再開
- 24〜72時間以内に再開
- 時間ができたときに再構築
DRPの対象は1つ目、場合によっては2つ目の分類のみです。それ以外はバックアップで対応します。これは、NISTとSGDSNがすべての取り組みの最初に置いている事業影響度分析の簡易版です。
ステップ2：サービスごとにRPOとRTOを1文で定める
例：「見積もりソフトウェアは4時間分の入力データを失ってもよく、翌日の9時までに復旧していなければならない。」この2つの数字が、バックアップの頻度と予備環境の規模を決めます。ANSSIはこれらを最大許容データ損失（PDMA）、最大許容停止時間（DMIA）と呼び、バックアップ戦略に反映するよう求めています。決め方はRPOはどう決める？とRTOはどう決める？で解説しています。
ステップ3：バックアップが計画を支えているか確認する
DRPはコピーを復元します。そのコピーは拠点外に存在し、RPOを満たす程度に新しく、すでに読み出しが確認されている必要があります。フランスのデータ保護機関であるCNILは、少なくとも1つのバックアップを地理的に離れた拠点に保管し、少なくとも1つをオフラインで隔離するよう推奨しています。復元に成功した実績がなければ、次のステップはインスタンスの購入ではなく、バックアップのテストです。バックアップが機能するかどうかをテストするには？をご覧ください。
ステップ4：復旧場所を準備する
- 予備マシン：クラウドのインスタンス、第2拠点、または別の場所に保管したハードウェア。
- 起動順序。ANSSIは、インフラサービス（ディレクトリ、DNS、時刻同期）への依存関係を考慮して、復元の戦略と順序を定めるよう求めています。
- アドレス：端末や外部の顧客が接続先を把握できるようにします（IPの維持、DNS、または利用者への指示）。
- 緊急用の管理者アカウント。ドメインが侵害された場合に備え、ドメイン外に用意します。
- バックアップの暗号鍵。2名がアクセスできるようにします。ANSSIは、復元手順に暗号鍵のインポートを含めるよう指摘しています。
- このような移設を認めるライセンス。
ステップ5：手順書を2ページにまとめる
NISTは計画を「発動と通報」「復旧」「通常状態への復帰」の3つのフェーズで構成しています。2ページにまとめると次のようになります。
| フェーズ | 最低限の内容 |
|---|---|
| 発動 | 「切り替える」と判断する権限を持つ人、連絡先の電話番号、関係者の一覧（CNILが明示的に求めています） |
| 復旧 | 起動順に番号を振った手順と、鍵とアカウントの保管場所 |
| 確認 | 実際の業務操作：「事務担当者がテスト用の請求書を発行する」 |
| 切り戻し | 予備環境で入力されたデータを失わずに元の環境に戻る方法 |
| コミュニケーション | 社内チーム、顧客、保険会社に誰が連絡するか |
2〜5ページに収まらない手順書は、夜10時には実行されません。
ステップ6：テストする
少なくとも年1回、そしてサーバーを変更するたびに実施します。NISTは復旧能力とチームの年次テストを想定しており、CNILは計画の運用を定期的にテストするよう求めています。テストの報告書がDRPに日付を与えます。日付のない計画は有効期限切れです。DRPのテスト方法とは？をご覧ください。
中小企業によくある失敗
- 委託先が作成したDRPを、社内で一度も確認していない。
- 切り戻しを忘れている：予備環境への切り替えはできても、戻ることができない。
- ファイルサーバーにはもう誰も書き込んでいないのに、Microsoft 365で運用しているメールが計画の対象外になっている。
- パスワードが1つしかなく、それを保管するパスワードマネージャー自体が復元対象のサーバー上にある。
WeDoBackの場合
外部委託型DRPは復旧場所を提供します。選んだバックアップのバージョンから、サーバーを予備インスタンス上で再起動し、公開するサービスがある場合はパブリックIPアドレス（月額0.54 €、税抜）も利用できます。計画の策定（ステップ1、2、5）はお客様の役割です。技術的な導入はサポートでお手伝いできます。導入作業は1時間45 €（税抜）、INTEGRALプランには毎月2時間のサポートが含まれます。含まれる毎月のテストではインスタンスの起動を確認しますが、業務担当者と行うステップ6の代わりにはなりません。最大10時間の実環境テストはお見積もりにてご提案します。暗号鍵はお客様が保持するため、手順書に必ず記載してください。
よくあるご質問
中小企業のDRPの構築にはどのくらい時間がかかりますか？
サーバー2〜3台であれば、数週間にわたり数回の半日程度を見込んでください。経営陣との1時間の方針確認、手順書の作成、技術的な準備、そして最初のテストです。多くの場合、最も時間がかかるのは最初のテストで見つかった問題の修正です。
DRPの作成を委託先に任せられますか？
技術的な部分は委託先が作成できますが、優先順位と許容時間は経営陣が決め、社内のチームが文書を確認して自分たちのものにする必要があります。フランス国防・国家安全保障事務総局（SGDSN）は、文書を可能であれば第三者に確認してもらい、テストと訓練によって検証することを推奨しています。
Microsoft 365やGoogle WorkspaceもDRPに含めるべきですか？
はい。メールや共有ファイルがそこにあるのであれば含めるべきです。自社サーバーの障害時もベンダーのサービスは利用できますが、データの削除やアカウントの侵害に備えて、別途のバックアップと復元手順が必要です。
関連ガイド
出典
2026年10月に参照した資料です。