システム保守を止めた場合のコスト

保守契約の解約は、IT予算の中で最も目に見えやすい節約です。1か月目も、2か月目も、6か月目もシステムは問題なく動きます。問題は、この判断のコストが毎月分割では来ないことです。蓄積し、あるとき一度に到来します。

4つの隠れたコスト

広く使われているソフトウェアには、毎月数百件の新しい脆弱性が公表されます。パッチを当てていないシステムはその場に留まりません。脆弱性が公開され、攻撃用のツールもすでに存在するため、時間とともに侵入しやすくなっていきます。

懸念すべきは、攻撃者が自社を狙ってくることではありません。今日の攻撃の大半は自動化されています。スキャナがアドレス帯を丸ごと走査し、パッチ未適用のシステムを探します。相手が誰かは問いません。中小企業が侵害されるのは、価値あるものを持っているからではなく、鍵が開いていたからです。

更新を1回飛ばすだけなら、次のアップグレードは簡単です。12回飛ばすと、ライブラリの動作が変わっているため、システムの一部を書き直す必要が出ることがあります。アップグレード費用は放置期間に比例して増えるのではなく、それより速く増えます。

2年間誰も触っていないシステムは、誰も覚えていないシステムです。開発した担当者は転職し、資料は更新されていません。障害が起きたとき、最初の仕事はコードを読んで再び理解することです。その間も時計は進み、システムは止まったままです。

監視されていないシステムは、ピーク負荷時に落ちる傾向があります。弱いところが表面化するのがそのときだからです。つまり繁忙期、月次締め、キャンペーン期間に落ちるということであり、1時間の停止が最も高くつく瞬間と正確に一致します。

この議論を定性的に行わないでください。計算して比較してください。

必要な数字	見積もり方
1時間の停止コスト	日次売上を稼働時間で割り、働けなくなる社員の人件費を加える
保守なしの場合の年間停止時間	監視のないシステムでよくある範囲は年間8〜40時間
重大障害からの復旧費用	緊急対応、データ復元、それに伴う停止時間
重大障害の発生確率	最後にパッチを当ててからの経過時間とともに上昇

これらを掛け合わせると年間の期待損失が出ます。年間保守費用と比較してください。システムが売上に直接関わる企業では、多くの場合、比較になりません。

保守が見合わない場合

そういうケースは実在します。利用者が少なく、機微なデータを扱わず、インターネットに接続しておらず、1週間止まっても手作業で会社が回る社内システム。そのシステムなら、壊れてから直すのは経済的に妥当です。重要なのは、自社がどちらのケースかを把握していることです。

予算が限られている場合、優先順位はこの順です。払える範囲で上から実施してください。

自動バックアップと定期的な復元テスト。 一度も復元したことのないバックアップは、バックアップではありません。最も重要な項目であり、最も中途半端に済まされる項目でもあります。
セキュリティパッチ。 すべてを最新にする必要はありません。重大な穴を塞ぐだけで構いません。
監視とアラート。 顧客から電話が来る前に、問題が起きていることを知る。
最新の運用手順書。 開発した本人以外がシステムを再起動できる状態にする。
依存ライブラリの定期更新。 四半期に一度。山にしないためです。

三つ以上に心当たりがあるなら、節約している保守費用は、まだ返済期限が来ていない借入です。

TRIUNITECH エンジニアリングチーム

インフラ構築とソフトウェア開発の実務経験に基づいて執筆しています。スポンサーや製品の宣伝は含みません。