事業継続ガイド

Cloudflare インフラ障害時の完全な利用不可

例: Cloudflare の管理システムに到達できない。Global Disconnection は使えないが、業務継続のためにユーザーはインターネットアクセスが必要。

External Emergency Disconnect

お客様がホストする HTTPS エンドポイントです。クライアントは切断シグナルをポーリングします。Cloudflare インフラとは独立して動作します。

使うタイミング: Cloudflare の管理システムに到達できないが、インターネットアクセスを戻すためにクライアントを切断する必要がある場合。

指針: 障害が起きる前に、この手段をあらかじめ設定します。インシデント中は、エンドポイントが {"emergency_disconnect": true} を返すように更新します。

想定される結果: クライアントは 1〜2 回のポーリング間隔（設定可能、デフォルト 60 秒）以内に切断されます。ユーザーはセキュリティ制御なしで、直接インターネットへアクセスできるようになります。

前提条件:

• お客様がホストする HTTPS エンドポイント（ドメインではなく IPv4 / IPv6 アドレス）
• TLS 証明書の SHA-256 フィンガープリント
• グループごとに異なる応答を返すための MDM 導入

制限:

• iOS、Android、ChromeOS では利用できません
• エンドポイントの保守と証明書の更新はお客様の責任です
• 切断イベントの Cloudflare ログはありません
• Split Tunnel 設定にエンドポイント IP を含めないでください

セキュリティへの影響: すべての Zero Trust 制御が失われます（Global Disconnection と同じです）。

クライアント接続の完全な利用不可

例: クライアントが安全なトンネルを確立できない。ユーザーは保護対象のアプリケーションやフィルタリング済みインターネットにアクセスできない。

Global Disconnection

ダッシュボードまたは API から、すべての Cloudflare One Client を安全なトンネルから即座に切断します。

使うタイミング: フリート全体をすぐ切断する必要があり、Cloudflare の管理システムに到達できる場合。

指針: 先に Cloudflare ステータスページ を確認します。Cloudflare インフラに問題がある場合、この手段は使えないことがあります。そのときは External Emergency Disconnect を使います。

想定される結果: すべてのクライアントが数秒以内に切断されます。ユーザーはフィルタリング、脅威保護、プライベートアプリケーション接続なしで、直接インターネットへアクセスします。

前提条件:

• ダッシュボードまたは API へのアクセス
• アカウント管理者の権限

制限:

• Cloudflare の管理システムへの接続が必要です
• アカウント全体のみ（グループ単位の指定はできません）
• Cloudflare の完全障害時は使えません

セキュリティへの影響:

• Web フィルタリングとマルウェア保護が失われます
• データ損失防止（DLP）の検査が失われます
• プライベートアプリケーションへのアクセスが失われます
• 暗号化されていない DNS 問い合わせ（プライバシー露出の可能性）

すぐ手元で上書きが必要な個別デバイスの問題

例: ポリシーの誤設定で 1 人のユーザーがロックアウトされた。クライアントスイッチは無効だが、緊急アクセスが必要。

Admin Override Codes

時間制限付きのワンタイムコードです。IT 管理者が、特定デバイス上のクライアント設定を一時的にロック解除できます。

使うタイミング: 個別デバイスにすぐ対応する必要がある場合。External Emergency Disconnect が使えないとき、iOS および Android ユーザー向けの唯一の選択肢です。

指針: ダッシュボードでコードを生成し、安全な経路でユーザーへ伝え、ユーザーが手元で入力してロックされたスイッチを一時的にバイパスします。

想定される結果: 1 時間、ユーザーがクライアントを切断できる一時的なローカル上書きです。

前提条件:

• Lock client device switch ポリシーが有効
• コードを生成するためのダッシュボードアクセス
• エンドユーザーとの直接連絡

制限:

• デバイスあたり 1 時間に 1 コード
• IT による手動対応が必要
• フリート全体のシナリオには向きません
• インシデント中に IT が対応できる必要があります

セキュリティへの影響: 1 台のデバイスで、1 時間 Zero Trust 制御が失われます。

ユーザーの生産性に影響する性能低下

例: クライアントトンネル経由のレイテンシが高い。接続が断続的に切れ、作業品質に影響している。

段階的な対応戦略

範囲と深刻度に応じて、複数の手段を組み合わせます。範囲と深刻度の判断には Digital Experience (DEX) を使います。

範囲別の指針:

• 1 台のデバイス: Admin Override Code → 手動切断
• グループまたは部門: MDM でエンドポイントを分けた External Emergency Disconnect
• 組織全体: Global Disconnection（Cloudflare に到達できる場合）または External Emergency Disconnect

判断の要素: ユーザーの生産性の必要性と、セキュリティ要件のバランスを取ります。規制対象の業種では、切断前にコンプライアンス担当へ相談してください。

想定される結果: ユーザーの生産性が戻り、セキュリティ上のトレードオフが文書化されます。

前提条件:

• フェイルオープンとフェイルクローズドの判断基準を文書化していること
• インシデント前に手段をあらかじめ設定していること
• 明確な権限マトリクス

制限:

• 手段ごとに依存するインフラが異なります
• モバイルプラットフォームでは選択肢が限られます

セキュリティへの影響: 範囲に依存します。上の各手段の項目を参照してください。

管理ダッシュボードは使えないが、トラフィック処理は通常どおり

例: ダッシュボードと API に到達できない。エッジサービスとクライアント接続は、キャッシュされたポリシーで機能し続ける。

対応は不要

エッジサービスは、キャッシュされた設定で動作し続けます。新しい設定変更は、管理システムが復旧するまでできません。

使うタイミング: Cloudflare の管理システムは使えないが、ユーザートラフィックは通常どおり処理されている場合。

指針: Cloudflare ステータスページ を監視します。通常、お客様側の対応は不要です。管理システムが復旧するまで、エッジサービスはキャッシュされたポリシーを適用します。

想定される結果: 既存の設定が適用され続けます。設定変更は、管理システムの復旧後に再開します。

前提条件:

• Cloudflare ステータスページの監視
• トラフィック処理と管理が別システムであることの理解

制限:

• 障害中はポリシーを変更できません
• ダッシュボードから Global Disconnection を発動できません
• リアルタイムログと分析が遅れることがあります

セキュリティへの影響: なし。セキュリティ制御は有効なままです。