RTO（目標復旧時間） とは？

技術チームだけでなく、ビジネス側と一緒に決めるんだ。例えばECサイトなら「1時間止まると売上が○○万円失われる」というビジネスインパクトからRTOを逆算する。技術的にRTO 0秒も目指せるけど、コストとのバランスで「4時間以内なら許容できる」のように決めるんだよ。

RTOが24時間ならバックアップから手動で復旧すればいい。RTOが1時間ならマルチAZ構成で自動フェイルオーバーが必要。RTOが数秒ならマルチリージョン構成のアクティブ-アクティブが必要になる。RTOが短くなるほどコストが何倍にも跳ね上がるんだ。

RTOは「復旧までの時間」、RPOは「どの時点までのデータを救えるか」。例えばRTOが4時間・RPOが1時間なら、「4時間以内に復旧し、障害の1時間前までのデータは保証する」ということ。この2つはセットで考えないといけないよ。

まさにそこが核心でね。RTOを設定しただけで安心してしまうチームが多いんだけど、実際に障害を起こして復旧訓練（DR訓練）をやらないと本番で動けない。手順書があっても、担当者がパニックで手順を飛ばしたり、バックアップが実は壊れていたり、復旧手順の中で必要なパスワードを誰も覚えていなかったりする。NetflixのChaos Monkeyのように定期的に意図的に障害を起こして訓練するのが理想だけど、「本番環境で障害を起こす訓練」を承認する経営層を説得すること自体が一番のハードルだったりするんだよ。