【キーワード解説】目標復旧時点（RPO）：データを「どの時点まで」取り戻すか
「復旧したのに仕事が進まない」にならないために
前回のコラムでは、重要業務を「いつまでに」再開するかという目標復旧時間（RTO）を紹介しました。
仮に受注システムが目標時間内に復旧しても、障害直前に受け付けた注文が消えていたら、業務を問題なく再開できるでしょうか？
今回取り上げる目標復旧時点（RPO）は、復旧するデータの「時点」に着目した指標です。
目標復旧時点（RPO）とは？
RPOは「Recovery Point Objective」の略で、障害などでデータが失われた際、過去のどの時点まで復旧できるようにするかを示す目標で、「どれくらいの期間のデータ損失を許容するか」を見極めて設定するものです[1]。
例えば、12時になんらかのシステム障害が発生して受注システムが停止し、復旧に使える最新のバックアップが11時30分のものだったとします。その時点までの注文記録は戻せても、以降30分間の注文は、ほかの記録がなければ失われるおそれがあります。障害発生時点からさかのぼって、最大30分間のデータ損失を許容するのがRPO「30分」の目標といえます。
前回ご紹介したRTO「6時間」は業務を再開するまでの目標時間です。一方、RPO「30分」は失っても許容できるデータの時間的な範囲を示します。両者は同じ「時間」を使って表しても、測っているものが異なるということになります。
RPOはIT部門だけの指標？
RTOは業務復旧までの目標時間、次回ご紹介するRLO（目標復旧レベル）は業務をどの水準まで戻すかという目標です。一方、RPOが対象とするのは主としてデータの損失であり、バックアップやデータの複製など情報システムの対策との結び付きが強い指標です。
この違いは、公的なガイドラインの構成にも表れています。防災庁の「事業継続ガイドライン」では、RTO・RLOを事業影響度分析（BIA）の一環として説明する一方、RPOについては、情報や情報システムの維持に関する項目で、バックアップの取得頻度を検討する際の指標として紹介しています[1]。
ただし、RPOをIT部門だけの問題と捉えるのは適切ではありません。現代の企業においては、受発注や顧客対応、経理など、事業活動の多くが電子データに支えられているためです。どのデータを、どこまで失うと業務に支障が出るのかは、業務部門も含めて全社的に判断する必要があります。
バックアップの間隔だけで達成できる？
RPOを短く設定するほど、通常は取得頻度の高いバックアップやデータ複製などが必要となり、費用も増える場合があります。すべての情報を同じ条件で守るより、重要業務に不可欠なデータから優先順位を付けることが現実的です。
さらに、30分おきにバックアップしていても、取得に失敗していたり、復元できなかったりすればその時点での復旧ができないので、RPOを満たせないおそれがあります。IPAの「中小企業の情報セキュリティ対策ガイドライン」でも、事業上重要なシステムについてRTO・RPOに合わせてバックアップや復旧手順を整え、訓練で実効性を確かめることが求められています[2]。
サイバー攻撃に備えたRPOの考え方
また、近年はランサムウェアなどによってシステムが停止したり、情報が盗み出されたりする事案も問題になっています。
IPAが2026年に公表した「ランサムウェア被害から学ぶ教訓集」では、バックアップが汚染された可能性がある場合は復旧に使用できないことや、侵入時期を調べるためのログの保存が重要であることを指摘しています[3]。
仮にRPOを30分と設定していても、直近のバックアップに改ざんされたデータが含まれていれば、安全な時点まで戻す必要があり、目標を達成できない場合があります。
さらに同資料では、バックアップから古いデータに戻した結果、失われた記録を補うための手作業が発生し、現場に負担がかかった事例も紹介されています[3]。システムが動いても、データの欠落を補正できなければ、業務は完全には元どおりになりません。
なお、データが外部に流出した場合は、情報流出への対応と、RPOに基づくデータ復旧は別の問題として対応する必要があります。バックアップからデータを復元できても、すでに外部へ流出した情報を取り戻せるわけではないからです。
データの復旧目標をBCPの一部に
RPOは、単にバックアップの取得間隔を決めるための数字ではありません。データが失われたとき、どの業務が止まり、どう補えるのかまで考えるための目標です。
まずは重要業務で使うシステムとデータを洗い出し、「どの時点まで戻れれば対応できるか」「そのデータを安全に復元できるか」を確認してみましょう。RTOとRPOの両方を、実際の業務の再開につながる目標として考えることが、実効性のあるBCPにつながります。
次回は、業務を「どの水準まで」復旧させるかという目標復旧レベル（RLO）について解説します。
参考資料
[1] 内閣府（防災担当）［現・防災庁］(2023)『事業継続ガイドライン（令和5年3月）』, p.18.
[2] 情報処理推進機構（IPA）(2026)『中小企業の情報セキュリティ対策ガイドライン 第4.0版』, p.38.
[3] 情報処理推進機構（IPA）(2026)『ランサムウェア被害から学ぶ教訓集 ～経営者のためのランサムウェア対策ハンドブック～』（2026年9月8日公開、10月16日更新）, p.15-16.
