2025年に発生したクラウドおよびインターネットインフラストラクチャに関する複数の重大なインシデントは、障害は避けられず、多くの場合、単一のプロバイダーや組織の管理範囲外に原因があることを、世界中のチームに改めて認識させました。主要なクラウドリージョンが停止したり、グローバルトラフィックプラットフォームが誤動作したりすると、SLAでいくつ「9」が保証されていても、依存するアプリケーションは同時かつ大規模に停止します。
これらの事象は、構造的な不整合を浮き彫りにしています。多くの企業が依然として、障害発生後の復旧を前提に対策を立てている一方、最新の分散システムでは、障害が急速かつ世界規模で、単一のチームでは管理できない境界を越えて広がります。もはや問うべきは「障害が発生した場合にどうするか」ではなく、「停止の発生中および発生後に、アーキテクチャがどのように対応し、適応し、改善するか」です。
ハイブリッドマルチクラウド環境におけるレジリエンスの意味
従来のレジリエンス戦略は、災害復旧計画、セカンダリサイト、目標復旧時間／目標復旧時点（RTO/RPO）など、正常な状態への復帰に重点を置いていました。この考え方は、障害が局所的で、依存関係が把握され、管理境界が明確であることを前提としていました。しかし、ハイブリッドマルチクラウド環境では、こうした前提が崩れます。アイデンティティ、ルーティング、ストレージ、データ分散をサードパーティが担うことも多く、そこで障害が発生すると、その影響は瞬時に世界中へ及びます。
“サイバーレジリエンスにアンチフラジャイルなアプローチを取り入れることで、復旧の範囲は「元に戻す」から「元に戻し、迅速に学び、さらに強くする」へと広がり、混乱を運用上の負担ではなく、アーキテクチャの進化を促す原動力に変えます。”
サイバーレジリエンスに対する「アンチフラジャイル」なアプローチでは、レジリエンスを、ストレス下で向上する能力として捉え直します。これは、障害の発生を想定し、その影響範囲を抑え、リアルタイムで適応するとともに、異常な状況から得られるテレメトリを活用してアーキテクチャを改善し、その後に発生する同様の事象による影響を軽減（または排除）する能力です。成果は、障害がシステムに及ぼす影響の小ささ、障害の発生中にシステムが適応する速さ、そしてその結果としてアーキテクチャがどのように進化するかによって評価されます。
このアプローチにより、明確に把握できる成果が得られます。具体的には、影響範囲の縮小と制御、依存先の機能低下時における可用性の向上、適応に備えてシステムを事前に構成しておくことによる復旧時間の短縮、異常な状況への自動対応、そしてレジリエンスを外部に委ねず自ら設計することによる外部サービスへの信頼性向上です。つまり、サイバーレジリエンスに対する「アンチフラジャイル」なアプローチは、復旧の範囲を「元に戻す」ことから「元に戻し、迅速に学び、さらに強くなる」ことへと広げます。これにより、障害は運用上の負担ではなく、アーキテクチャの進化を促す原動力となります。
事後対応型でサイロ化された戦略が失敗する理由
ハイブリッドマルチクラウド環境では、4つのパターンによって従来の戦略が脆弱になります。まず、外部依存関係の障害はグローバルに波及することを理解する必要があります。アイデンティティやルーティングの障害が発生すると、依存するすべてのサービスが同時に中断します。また、多くのアーキテクチャでは障害分離が環境の進化に追いついていません。そのため、クラウド間接続には障害を封じ込め、並行して稼働するサービスへの影響を防ぐための境界がありません。
さらに、多くの環境ではレジリエンス対策が分断されています。災害復旧、トラフィック管理、アイデンティティ、データガバナンスがそれぞれサイロ化している一方で、障害はそうした区分に関係なく影響を及ぼします。
最後に、復旧は事後対応であることを忘れてはなりません。チームはサービスを復旧させますが、構造的なレベルで再発を常に防止できるとは限りません（または、防止できない場合もあります）。
今日のハイブリッドマルチクラウド環境には、事後対応型でもサイロ化されたものでもなく、サードパーティプロバイダーの正常稼働にも依存しないレジリエンスが求められます。
サイバーレジリエンス戦略を反脆弱にする5つの実践
サイバーレジリエンスに対するアンチフラジャイルなアプローチは、システムがストレス下でも予測可能な動作をするよう、スタック全体に組み込める一連のエンジニアリングプラクティスで構成されます。
- 影響範囲の制御。明確な信頼境界と障害境界を定義し、あるリージョン、クラウド、または依存関係で発生した障害が際限なく波及するのを防ぎます。
- 依存先の多様化。 重要なサービスに対して、実用可能な代替手段を用意します。冗長性は単なる複製にとどまらず、単一のプロバイダーにシステムの動作を左右されないようにする、制御可能な選択肢となります。
- ポリシー主導の適応。 静的な構成を、現在の状態に応じて動作するポリシーに置き換えます。特に、ルーティング、認証、信頼において重要です。
- 段階的な適応。 システムを不安定化させることなくレジリエンスを高める、小規模で観測可能なアーキテクチャ変更を段階的に実施します。
- 観測データに基づくガバナンスとランタイム自動化。 テレメトリを活用して意思決定を導き、対応を自動化することで、インシデントが深刻化する前に適応を開始できるようにします。
サイバーレジリエンスを担うのは誰か（ヒント：全員）
ハイブリッドおよびマルチクラウド環境でのアプリケーションデリバリでは、セキュリティ、ネットワーク、クラウド運用、プロバイダーのいずれであっても、単独でレジリエンスを確保することはできません。真のレジリエンスを実現するには、社内の責任体制と外部への依存関係を整合させ、インシデント発生時の曖昧さを減らす、連携の取れた運用モデルが必要です。
これは、金融機関にデジタル・オペレーショナル・レジリエンスを義務付けるEUデジタル・オペレーショナル・レジリエンス法（DORA）などの規制枠組みへの準拠や、情報セキュリティマネジメントシステムに関する国際的に認知された規格であるISO/IEC 27001）への適合にも役立ちます。いずれも、学習、進化、運用の健全性の実証を重視しています。DORAは、障害発生後に可用性の確保にとどまらず、継続的な改善（「学習と進化」）に取り組むことを金融機関に明示的に求めており、レジリエンスを単なる復旧ではなく、ガバナンスや自動化と結び付けています。
反脆弱性を備えたエンタープライズアーキテクチャの5つの階層
これらのプラクティスを拡大するために、共通の概念マップとして5層アーキテクチャを推奨します。各層はテクノロジーレイヤーであると同時に、レジリエンスが生まれるか、損なわれるかを左右する責任領域でもあります。
第1のグローバル層では、影響範囲の制御とポリシーベースのルーティングにより、外部制御と信頼境界を管理します。次に、アーキテクチャのサイト層では、依存関係の分散とフェイルオーバードメインにより、リージョン単位の実行ゾーンと分離ゾーンを定義します。プラットフォーム層は、コンピューティングとデータ処理の実行基盤を提供し、ランタイムの自動化とワークロードの移動を可能にします。一方、アプリケーション層は、ビジネスロジックとユーザーエクスペリエンスを提供し、段階的な適応とグレースフルデグラデーションを実現します。
最後に、管理層ではオブザーバビリティ、ガバナンス、オーケストレーションを一元化し、テレメトリに基づくポリシーの進化を可能にします。
各階層とプラクティスの実践的な活用
各階層とプラクティスは理論上は優れているように思えますが、アンチフラジャイルなレジリエンス戦略を最大限に活用するには、それらがどのように連携してアンチフラジャイルなアーキテクチャを構築するのかを正確に理解する必要があります。
グローバルレベルでは、影響範囲の制御とポリシーベースのルーティングにより、システム全体の障害が拡大する前に封じ込め、接続されている各システムへの影響を最小限に抑えることができます。
サイト層では、依存関係を分散し、フェイルオーバードメインを設けることで、障害を分離し、代替実行ゾーンを通じて継続性を確保できます。
ランタイムの自動化とワークロードの可搬性により、プラットフォーム層で発生するあらゆる障害に迅速に適応できます。自動応答によってシステムは停止に即座に対応でき、ワークロードの可搬性によってアプリケーションを複数の環境にデプロイできるため、継続性を確保できます。
アプリケーション層では、段階的な適応とグレースフルデグラデーションによって障害の影響を吸収し、ユーザーエクスペリエンスの完全な崩壊を防ぎます。部分的な障害が発生しても運用を継続でき、エンドユーザーへの影響を最小限に抑えられます。
管理層で不可欠なのは、テレメトリに基づくポリシーです。これは、運用上のイベントをガバナンスとポリシーの改善につなげた結果として得られます。障害から学ぶことでフィードバックループが形成され、過去のデータに基づいてポリシーを改善できるため、アンチフラジャイルな態勢を継続的に強化できます。
これらの階層とプラクティスを組み合わせることで、混乱を繰り返し振り出しに戻す要因ではなく、アーキテクチャの進化を促す原動力へと変えます。
この考え方が目指す方向
このブログ記事は、反脆弱性を備えたサイバーレジリエンス戦略の5つの階層にわたるパターン、障害モード、指標、実装上の注意点を紹介する記事、アーキテクチャ、デモンストレーション集の一部です。
上記のリストから1つのプラクティスを選び、スプリント目標または四半期目標として取り組むことを推奨します。アンチフラジャイルなサイバーレジリエンス戦略は一度に実現するものではなく、小さく測定可能な変化を積み重ねることで形成されます。今すぐ始め、迅速に学び、次の障害発生時にアーキテクチャがより強固になっていることを実証できるようにしましょう。
アンチフラジャイルの観点からサイバーレジリエンスについて詳しく知りたい方は、F5の「ソリューション概要」をぜひご覧ください。
サイバーレジリエンス戦略にアンチフラジャイルなアプローチを導入する方法について、さらに詳しく知りたい方は、こちらの「アーキテクチャホワイトペーパー」をご覧ください。
著者について
Griff ShelleyはF5のプロダクトマーケティングマネージャーで、ハードウェア、ソフトウェア、SaaSのアプリケーションデリバリーソリューションを専門としています。革新的なテクノロジーをお客さまの成功につなげることに情熱を注ぎ、グローバルおよびローカルのアプリケーションデリバリー、クラウドサービス、AIデータトラフィックインフラストラクチャの市場投入プロジェクトを推進しています。テクノロジー業界に入る前は高等教育機関でアカデミックアドバイザーを務め、Eastern Washington UniversityとAuburn Universityで学位を取得しました。
Griff Shelleyのその他のブログ記事Colin ClausetはF5のシニアプロダクトマーケティングマネージャーで、SaaSベースのアプリケーションデリバリーソリューションを専門としています。分散型アプリケーションデリバリーのプロジェクトやサービスにおける市場投入戦略を主導し、テクノロジーによって複雑なプロセスを簡素化し、ITプロフェッショナルのニーズにより的確に応える方法を追求しています。F5入社前にはコンサルティングに携わっており、個別の製品にとどまらない包括的なソリューションという視点から、お客さまの課題に取り組んでいます。
Colin Clausetのその他のブログ記事Mark MengerはF5のソリューションアーキテクトで、AIおよびセキュリティ技術のパートナーシップを専門としています。F5のAIリファレンスアーキテクチャの開発を主導し、安全で拡張性の高いAIソリューションの推進に取り組んでいます。グローバルソリューションアーキテクトおよびソリューションエンジニアとしての経験を持ち、F5のセキュアクラウドアーキテクチャに貢献したほか、分散型4階層アーキテクチャを共同開発しました。『Solving IT Complexity』の共著者でもあり、IT課題への対応に関する専門知識を有しています。以前はアプリケーション開発者やエンタープライズアーキテクトを務め、モダンアプリケーション、自動化、AI投資から得られる価値の早期実現に注力していました。
Mark Mengerのその他のブログ記事関連するブログ記事
経営幹部が抱くAIに関する4つの誤解
AIに関する誤解は数多くあります。ここでは、組織が自社環境にAIを導入する際に見直す必要があるかもしれない4つの誤解を紹介します。
IT/OTコンバージェンスの現状と、セキュリティを最優先すべき理由
ITシステムとOTシステムの融合が進むにつれ、攻撃対象領域は拡大します。組織が安全に統合する方法と、F5 ADSPが大規模な運用の保護にどのように役立つかをご紹介します。
AIのレイテンシ：セキュリティを犠牲にできない理由
AIのレイテンシは、単なる速度の問題ではありません。パフォーマンス、セキュリティ、信頼性のバランスを考慮したシステム設計が重要です。
AIアプリケーションを大規模に提供する：ADCの役割
AIアプリケーションを確実に提供するには、高速なモデルや柔軟に拡張できるインフラストラクチャだけでは不十分です。AIアプリケーションの利用方法を管理するための制御レイヤーが必要です。
MCP：AI対応のアプリケーションデリバリを実現する鍵
Model Context Protocol（MCP）は、最新のアプリケーションにおける安全で低遅延なAI統合を可能にします。将来を見据えたアプリケーションデリバリ戦略にMCPが不可欠な理由をご覧ください。
AIガードレールとは？基盤モデルプロバイダーの枠を超えて進化する安全対策
急速に変化する組織の脅威領域におけるリスクをより包括的に捉えるために、AIガードレールの進化が必要な理由をご覧ください。