# 災害計画 Navigation: [[index]] | [[インシデント管理]] ## 定義 災害計画(Disaster Planning)とは、システムが将来直面しうる災害——自然災害・インフラ障害・サービス停止・閾値付近での性能劣化・外部攻撃者・機密データ漏洩・緊急のセキュリティ脆弱性など——に対し、インシデントが実際に発生する前の段階で継続的に備える活動全般を指す。単発のプロジェクトではなく、リスク分析→対応チームの組成→対応計画・プレイブックの作成→システムと人員の事前準備→テストという反復サイクルとして運用される。(Source: [[@2020__OReilly__Building Secure and Reliable Systems - Chapter 16 Disaster Planning]] §Defining "Disaster") 対応計画は即時対応(immediate response)・短期回復(short-term recovery)・長期回復(long-term recovery)・業務再開(resumption of operations)の4フェーズに区切って設計される。短期回復フェーズでは、対応を完了と宣言するための終了基準(exit criteria)——必ずしも元の設計への完全復旧を意味せず、同等のサービスレベルを提供する新しい設計でもよい——を定義しておく必要がある。(Source: 同章 §Dynamic Disaster Response Strategies) 災害リスク分析は、システムをミッションクリティカル・ミッション重要・非重要に分類し、対応に必要な技術的/人的リソースと、発生確率×影響度(低/中/高/致命的)で格付けした災害シナリオのリストを作成する作業である。組織の拠点が置かれた地理的条件によってリスクの内容は変わり(日本や台湾では台風、米国南東部ではハリケーン等)、組織が成熟し冗長なインターネット回線やバックアップ電源のようなフォールトトレラントな仕組みを備えるにつれてリスク評価も変化するため、グローバル/拠点単位の両方で定期的な見直しが必要になる。(Source: 同章 §Disaster Risk Analysis) ## 横断的知見 - **本章の「終了基準(exit criteria)」概念は、既存のインシデント成熟度モデルが Post-Incident フェーズとして分離してきた「対応の終わり」の判定基準を、対応計画そのものの設計要素として前倒しする**: [[インシデント対応成熟度モデル]] が集約する Takamura のモデル(SRE NEXT 2024)は Pre-Incident/Response/Post-Incident の3フェーズ×9プロセスで組織の成熟度を測るが、「対応の完了をどう判定するか」というプロセス自体は明示的にモデル化されていない。本章が短期回復フェーズの一部として提示する終了基準——完全な原状回復ではなく同等のサービスレベルを提供する新設計でもよいという柔軟な定義——は、成熟度モデルの Response フェーズと Post-Incident フェーズの継ぎ目に具体的な判定基準を与える。(Source: [[@2020__OReilly__Building Secure and Reliable Systems - Chapter 16 Disaster Planning]] §Dynamic Disaster Response Strategies, [[@2024__SRE NEXT 2024__組織的なインシデント対応を目指して]]) - **DiRT・GameDay に共通する「実際に本番を壊す」全系フェイルオーバーテストは、災害リスク分析が特定した「ミッションクリティカルなシステム」の分類そのものを検証する手段として機能する**: 本章はデータセンター単位で電源を落として検証する全系フェイルオーバーテストを、災害リスク分析(§Disaster Risk Analysis)とは独立した「テスト」の節で論じるが、[[GameDay]] 概念が集約する実践知見と付き合わせると、この種のテストはリスク分析で「ミッションクリティカル」と分類したシステムが実際にその分類どおりに振る舞うか(単一データセンター喪失でユーザー影響が出ないか)を事後的に検証する、リスク分類の妥当性チェックとして読める。分類(計画段階)と全系テスト(実行段階)は本章では別の節に分かれているが、両者は同じ「ミッションクリティカル判定」を計画時と実行時の両面から支える一対の仕組みである。(Source: [[@2020__OReilly__Building Secure and Reliable Systems - Chapter 16 Disaster Planning]] §Disaster Risk Analysis, §System-wide failures/failovers) ## 未解決の問い - 災害リスク分析における「ミッションクリティカル/ミッション重要/非重要」の3分類は、[[インシデント重大度評価]] が集約するGoogleの4次元severity フラグ(法的・ユーザー影響・財務・サービス種別)とどう対応づけられるか。同じ組織(Google)内で、事前のリスク分類(静的)と発生後の重大度評価(動的)がどこまで一貫した基準を共有しているかは本章単体では確認できない。 - 終了基準(exit criteria)は具体的にどのような形式(チェックリスト・SLO閾値・関係者承認等)で運用されるべきか。本章は概念のみを示し、運用方法には立ち入らない。 - 地理的リスク要因(台風・ハリケーン等)に基づくリスク評価の更新頻度は、組織の拠点拡大やクラウドプロバイダーのリージョン戦略が変わった場合にどの程度俊敏に追随できるべきか。 ## 関連 - [[@2020__OReilly__Building Secure and Reliable Systems - Chapter 16 Disaster Planning]] — 本概念の一次資料 - [[@2020__OReilly__Building Secure and Reliable Systems - Appendix A Disaster Risk Assessment Matrix]] — 本章§Disaster Risk Analysisが参照する発生確率×影響度マトリクスの実体 - [[インシデント管理]] — IRチームの立ち上げ・チャーター・役割の実践的文脈 - [[インシデント重大度評価]] — 重大度・優先度モデルとの接点 - [[インシデント対応成熟度モデル]] — 終了基準とPost-Incidentフェーズの接続 - [[机上演習とレッドチーム演習]] — 本概念が扱う計画・準備を検証するテスト手法群 - [[DiRT]] — Googleの全社規模の年次災害対応演習 - [[GameDay]] — 全系フェイルオーバーテストの実践形式 ## 出典 - [[@2020__OReilly__Building Secure and Reliable Systems - Chapter 16 Disaster Planning]] — Michael Robinson・Sean Noonan, "Disaster Planning", in Heather Adkins et al. (eds.), *Building Secure and Reliable Systems*, O'Reilly Media, 2020, Chapter 16.