こんにちは。リスク対策.comです。
第2弾では「これまでのBCPの限界と変化の背景」に着目し、社会とビジネス環境の変化や従来のBCPについて触れました。近年は業務のデジタル化が進み、企業活動とITは切り離せない関係になっています。そのためBCP（事業継続計画）も、建物や設備だけでなく情報システムや通信環境を含めて事業継続を考える「IT-BCP」が重要です。第3弾では、なぜIT-BCPが必要なのか。また、事業を止めないための取り組みを紹介します。
なぜIT-BCPが必要なのか
「受発注システムが停止して出荷できなくなる」「クラウドサービスの障害によって社員が業務できなくなる」といった事態を想像したことはあるでしょうか。これらの問題は、企業活動のデジタル化が進んだことで、以前より身近な経営リスクとなっています。IT-BCPとは、情報システムを守るための計画ではなく、ITを活用して事業を継続するための計画です。
業務はITシステムに依存
企業活動では、メールやグループウェアだけでなく、受発注や顧客管理、会計などの基幹業務も、クラウドサービスやネットワークを前提に運用されています。その結果、通信回線の停止や認証システムに障害が発生すれば、従業員はシステムへアクセスできません。
また、クラウドサービスが正常に動いても、インターネットに接続できなければ利用できません。ネットワーク機器の故障や通信回線の障害、認証基盤の停止なども、事業継続上の大きなリスクとなります。不正アクセスが疑われる際は、被害拡大を防ぐため、感染端末や影響を受けたネットワークの隔離、一部システムの停止などを実施する場合があります。
どの業務を継続するか
IT-BCPで重要なのは、「どのシステムを守るか」ではなく、「どの業務を継続するか」という視点です。そのため多くの企業では、まず事業影響度分析（BIA (Business Impact Analysis)）を実施します。BIAとは、どの業務が停止すると事業への影響が大きいのかを整理する手法です。多くの企業では、この分析をもとに優先的な復旧対象を定めています。
例えば、メールシステムが半日停止した場合と、受発注システムが半日停止した場合では、事業への影響は大きく異なります。システムだけでなく、ネットワークや電力、運用担当者、外部委託先も事業継続に欠かせません。サーバーが無事でも停電が長期化すれば運用できず、システム担当者や委託先への依存度が高い場合は連絡不能や人員不足によって復旧が遅れる可能性があります。
業務を止めないためのIT-BCPの取り組み
通信の冗長化
IT-BCPの代表的な取り組みの一つがネットワーク冗長化です。同じ機能を持つ予備の通信回線やネットワーク機器を準備し、一方が停止しても予備に切り替えて業務を継続します。本社とデータセンターを結ぶ通信経路の二重化や、固定回線に障害があったときに自動でモバイル回線へ切り替える仕組みを採用する企業も増えています。ただし重要なのは、単に回線を増やすことではありません。どの業務を優先的に維持するのか、障害時にどの通信を優先するのかといった運用ルールまで含めた設計です。
通信手段は「保有」ではなく「使える」が重要
災害時の通信確保に力を入れる企業では、固定回線やモバイル回線、無線機など複数の通信手段を用意し、定期的な訓練で有効性を検証しています。また、衛星携帯電話や衛星インターネットサービスは、空が見える環境が前提となる場合が多く、建物内部や地下では利用しにくいことがあります。導入時には、機器を保有するだけでなく、実際に利用できる場所や利用手順を確認しておくことが重要です。
実際に復元するためのクラウドバックアップ
近年、多くの企業がクラウドサービスを利用していますが、「クラウドだから安全」というわけではありません。クラウドサービス事業者はサービスを提供する責任を負いますが、データ管理やアクセス権限設定の責任は利用企業側にあります。
そのため、バックアップデータを保護し、障害やサイバー攻撃が発生した際にも確実に復旧できる体制を整えておくことが重要です。また、バックアップを取得していても必要なデータが含まれていない、もしくは復旧に想定以上の時間がかかる事例は少なくありません。先進的な企業では、定期的な復元訓練を実施し、想定時間内に復旧できるかを確認しています。
どれくらいの時間で復旧させるのか
また、障害発生後の復旧手順だけでなく、「いつまでに復旧しなければならないのか（目標復旧時間：RTO (Recovery Time Objective)）」を事前に定めておきます。例えば、受注システムは 4 時間以内、顧客管理システムは当日中、人事システムは数日以内など、業務影響に応じて目標を設定します。その上で必要な設備、人員、バックアップ、代替手段を整備します。
サイバー攻撃を前提にした BCP へ
近年では、ランサムウェアをはじめとするサイバー攻撃が事業継続を揺るがす大きなリスクとなっています。特にランサムウェアは、不正アクセスによって企業のデータを暗号化し、業務を停止させる恐れがあります。被害が拡大すると、顧客対応や出荷業務が長期間停止する可能性もあります。
そのため、被害拡大を防止する初動対応（感染機器の隔離手順など）や外部のサイバーセキュリティ専門会社との連携、再発防止策の実施など、業務復旧までの流れを事前に定めることも重要です。
【編集部ミニコラム】記者の取材メモ
取材先からよく聞くのが、「必要性は理解しているが予算化が難しい」という悩みです。バックアップの強化や予備回線の整備を提案しても、経営層からは「本当にそこまで必要なのか」と問われることがあります。その際に重要なのは、技術的な機能を説明することではありません。「システムが停止した場合、どの業務が止まるのか」「売り上げや顧客対応にどの程度の影響が出るのか」といった事業への影響を示すことです。
実際にBIAを実施した企業では、売上への影響や顧客対応への影響、企業信用への影響などの観点から事業の優先順位を整理しました。そのうえで最大許容停止時間を定め、情報システム部門と事業部門が連携しながら対策を進めています。
近年は、自社システムだけでなく、利用しているクラウドサービスやSaaSの障害によって事業が停止するリスクも高まっています。代替手段や手作業による暫定運用も含めて検討しておく必要があります。
自社BCPチェックポイント
次の項目はいくつ当てはまるでしょうか。
- 重要業務を支えるシステムを把握している
- 復旧優先順位と目標復旧時間を定めている
- 通信手段や電源の代替策を確保している
- バックアップの復元訓練を実施している
- ランサムウェア発生時の対応手順を整備している
一つでも不安がある場合は、その項目がIT-BCP強化のヒントになるかもしれません。
次回予告
次回は最終回です。自然災害だけでなくサイバー攻撃やサプライチェーン障害など複合化するリスク環境の中で、企業は何を守り、どのようにBCPを進化させるべきか。シリーズ全体のまとめとして整理します。
もっと危機管理とBCPについて深く学ぶなら「リスク対策.com」へ
BCP、災害対策、サイバーリスク、事業継続の最新情報を、専門メディアならではの視点でお届けしています。
- 本記事の内容は公開日時点の情報です。
- 記載されている商品またはサービスの名称等はアライドテレシスホールディングス株式会社、アライドテレシス株式会社およびグループ各社、ならびに第三者や各社の商標または登録商標です。
＼注目情報をメールマガジンでいち早くお届け／
あなたの業種に合わせた旬な情報が満載！
- 旬な話題に対応したイベント・セミナー開催のご案内
- アライドテレシスのサービスや製品に関する最新情報や、事例もご紹介！
あなたの業種に合わせた旬な情報をお届け！
旬な話題を取り上げたイベント・セミナー情報や、アライドテレシスの最新事例・サービス・製品情報をご案内します！
BCPから見るリスクの変遷とその動向
日本唯一の危機管理とBCPの専門メディア「リスク対策.com」の編集部が、BCPの基礎から最新トレンド、ビジネス環境の変化、サイバーリスクの拡大、そしてITインフラが果たす役割などを解説していきます。
