Ｗｅｂ教材一覧＞ 法規・基準

事業継続計画（ＢＣＰ／ＢＣＭ）

学習のポイント

地震のような大規模災害は事業の継続ができなくなる危険がありますので，通常のセキュリティ対策とは質的に異なる対策が求められます。事業継続のための計画をＢＣＰ，それをマネジメントすることをＢＣＭといいます。
　本章では，ＢＣＰ／ＢＣＭについて，
　　　その重要性と概念
　　　国の策定したガイドライン
について学習します。

キーワード

ＢＣＰ（事業継続計画），ＢＣＭ，ＢＣＭＳ（事業継続マネジメントシステム）、ISO 22301, JIS Q 22301、ディザスタリカバリ，ビジネスインパクト分析，ＣＳＲ（企業の社会的責任），事業継続計画策定ガイドライン，事業継続ガイドライン，中小企業ＢＣＰ策定運用指針

事業継続計画の必要性

事業継続の必要性

地震，火災，テロなどもよる大規模なシステム障害が発生すると，基幹事業が停止している間の利益損失が発生しますし，取引先や顧客を失う大きな原因にもなり，事業からの撤退につながることがあります。
　また，自社の事業停止が取引先や顧客の事業停止へと影響が連鎖することもあります。さらに，業種や情報システムによっては，社会全般に大きな影響を与えることになります。

ですから，企業には危機に直面したときでも
　　　　許容限界以上のレベルで事業を継続させること
　　　　許容される期間内に操業度を復旧させること
ことにより，事業を継続する社会的責任があるのです。

ディザスタリカバリ（Disaster Recovery）

システム障害で発生するトラブルを想定して，発生時の社会的影響などを最低限に抑える対策のことです。
　経済産業省「事業継続計画策定ガイドライン」では，ディザスタリカバリの重点対処項目として、「大規模なシステム障害」，「セキュリティインシデント」，「情報漏えい，データ改ざん」を示しています。

復旧の目標・尺度

ディザスタリカバリや事業継続計画においては、災害発生から再開するまでの内容や時間を明確にしておく必要があります。

目標復旧時点（Recovery Point Objective：ＲＰＯ）
深刻な事態を避けるには、災害前の「どの時点に戻せればよいか」の目標です。
重要業務のバックアップを取る頻度などの目安になります。
目標復旧時間（Recovery Time Objective：ＲＴＯ）
深刻な事態を避けるには「何時間で復旧できればよいか」の目標です。
目標復旧レベル（Recovery Level Objective：ＲＬＯ）
業務より復旧の優先度が異なります。重要な業務は短時間で復旧する必要がありますが、そうでない業務は後回しにして時間をかけて復旧すればよいでしょう。
ＲＰＯは「（段階ごとに）どの業務をどこまで復旧できればよいか」の目標です。それを実現する目標時間を目標復旧時間といいます。これと合わせて「何を、どこまで、いつまでに」となります。
最大許容停止時間（Maximum Tolerable Period of Disruption：ＭＴＰＤ）
目標復旧時間が「目標」であるのに対して、これは「ここまでに復旧しないと深刻な事態になる」という「期限」です。

ＢＣＰ／ＢＣＭ／ＢＣＭＳ

事業継続のための計画立案や実施をＢＣＰ（Business Continuity Plan）、そのマネジメントシステムをＢＣＭＳ（Business Continuity Management System）といいます。

（拡大図）
ＢＩＡ（ビジネスインパクト分析）
事業継続に重要な箇所・事象（ボトルネック）を特定して，対策を検討・実施することです。どのシステムがダウンしたり，どのデータが消滅したら，事業にどう影響するか，復旧するのにどの程度の時間がかかるかなどの分析です。これがＢＣＰ策定のベースになります。
ＢＣＰ（Business Continuity Plan）
企業が自然災害、大火災、テロ攻撃などの緊急事態に遭遇した場合において、事業資産の損害を最小限にとどめつつ、中核となる事業の継続あるいは早期復旧を可能とするために、平常時に行うべき活動や緊急時における事業継続のための方法、手段などを取り決めておく計画のことです。
例えば、重要機器の二重化、工場の分散、調達先の複数化、同業他社との緊急時協力などがあります。
ＢＣＭ（Business Continuity Management）
ＢＣＰを策定し継続的運用するマネジメントシステムのことです。①事業の理解、②BCPサイクル運用方針の作成、③BCPの構築、④BCP文化の定着、⑤BCPの訓練、BCPサイクルの維持・更新、監査といった活動をＰＤＣＡサイクルとして継続的に行い向上させること。
ＢＣＭＳ（ISO 22301, JIS Q 22301）
「社会セキュリティ− 事業継続マネジメントシステム−要求事項」で、組織が効果的なＢＣＭＳ（事業継続マネジメントシステム）を策定し，運用するための要求事項について規定するものです。
事業継続をマネジメントシステムとして捉え、経営者のリーダーシップのもと、ＰＤＣＡサイクルにより継続的に維持改善すべきものであるとして、実現すべき事項を示しています。
　この要求事項に適合していることを第三者が認定するＢＣＭＳ適合性評価制度があります。
（拡大図）

ＢＣＭＳと他基準等との関連

事業継続は社会的責任の重要な側面ですし，システムの維持は情報セキュリティ対策での重要目標です。それでＢＣＰ／ＢＣＭは，多くの基準等に関係しています。

ＣＳＲ（Corporate Social Responsibility：企業の社会的責任）
企業が事業継続性を確保することは，顧客や取引先への製品・サービスの継続的供給，地域社会のライフラインや生活の保証につながります。ＢＣＭとＣＳＲは互いに密接に関連するものであり，双方を推進していく必要があります。
ISO 27001（ＩＳＭＳ），JIS Q 2001（リスクマネジメント）
情報セキュリティマネジメントシステム（ＩＳＭＳ）の国際規格であるISO 27001は，情報セキュリティ全般を網羅したものですが，そこでも，「事業継続管理手続」「事業継続計画作成のための枠組み」など，ＢＣＭが重要な要素の一つになっています。
また，JIS Q 2001（リスクマネジメントシステム構築のための指針）は，阪神淡路大震災の教訓を生かすために制定されたものですが，総論的なリスクマネジメントを対象にしています。
これらに対して，ＢＣＭでは，そのうちの「事業継続」に限定した具体的に立案・実施・推進する場合の具体的な方法論です。
ＣＰ（コンティンジェンシープラン：緊急時対応計画）
ＢＣＰもＣＰもインシデント発生時の対応計画ですが，ＣＰは緊急事態発生直後の行動を中心とした計画であるのに対し，ＢＣＰは事業の継続性の観点からビジネスインパクト分析に基づいて計画するのが特徴です。
ＳＬＡ（サービスレベルアグリーメント）
情報システムの構築・運用・保守，データ保存などを外部に委託していることが多くあります。そのときは，ＳＬＡの重要項目として，目標復旧時間を定めること，その具体的な方法を取り決めておくことが望まれます。

国のガイドライン

経済産業省「事業継続計画策定ガイドライン」（2005年3月）

http://www.meti.go.jp/policy/netsecurity/downloadfiles/6_bcpguide.pdf

主にＩＴ事故を対象として，ＢＣＰの実務者がＢＣＰ作成するときに参考とするべき，基本的な考えかた，具体的な計画の構築手順，検討項目などを網羅的に記載しています。

　本文
　　第Ⅰ章　基本的考え方
　　　ＢＣＰの必要性，求められる背景，ＢＣＰの特性，世界と日本の動向
　　第Ⅱ章　総論（フレームワーク）
　　　ＢＣＰ策定での考慮事項，組織体制，ＢＣＰ策定の手順，教育・訓練，維持・管理
　　第Ⅲ章　ＢＣＰ策定にあたっての検討項目
　　　発動，業務再開，業務回復，全面復旧のフェーズでの対応ポイント
　　　リスクコミュニケーションの重要性
　　第Ⅳ章　個別計画（ケーススタディ）
　　　大規模システム障害，セキュリティインシデント，情報漏洩，データ改ざんへの対応
　参考資料集
　　参考１ 各フェーズにおける実施項目
　　参考２ 対策本部室に備えるべき設備・備品類チェックリスト
　　参考３ フェーズ毎の対策本部の役割
　　参考４ フェーズ毎の各チームの役割
　　参考５ システム関連BCP一覧表の項目
　　参考６ 代替手段の検討項目事例
　　参考７ 総括の項目（システム関連）
　　参考８ ベストプラクティス：BCP構築事例
ＢＣＰプロジェクトの組織体制の例 検討項目の全体像とポイント 緊急連絡ルール（システム障害関連）
（拡大図） （拡大図） （拡大図）
経済産業省「事業継続計画策定ガイドライン」2005年3月
企業における情報セキュリティガバナンスのあり方に関する研究会報告書参考資料
http://www.meti.go.jp/policy/netsecurity/downloadfiles/6_bcpguide.pdf

内閣府「事業継続ガイドライン」

http://www.bousai.go.jp/kyoiku/kigyou/keizoku/sk_04.html

「事業継続計画策定ガイドライン」と比較して，次の特徴があります。
　　１　対策をＩＴだけでなく，業務全般を対象にしている。
　　２　逆に，脅威を自然災害，特に地震を対象にしている。
　　３　そのために，地域との連携を重視している。
　　４　全体の考えかたを主にして，具体的なＢＣＰ作成には触れていない。
　　５　経営者のためのチェックリストを添付している。
【詳細】

中小企業庁「中小企業ＢＣＰ策定運用指針」（2006年2月）

http://www.chusho.meti.go.jp/bcp/contents/level_a/bcpgl_00.html

中小企業は，財政的能力が弱いために，災害等の被害が事業継続に深刻な打撃を与えることが多いのに，事業継続への成熟度が未熟な面があります。
　この指針は，経済産業省中小企業庁が，中小企業経営者が自らＢＣＰを策定し運用することができるよう，わかりやすく解説したものです。 【詳細】

経済産業省「ＩＴサービス継続ガイドライン」（2008年9月）

https://www.meti.go.jp/policy/netsecurity/downloadfiles/itsc_gl.pdf

本ガイドラインは、先に策定された「事業継続計画策定ガイドライン」のＩＴにかかる部分について、実施策等を具体化するものとして策定したものです。

（拡大図）

用語の定義

ＩＴサービス継続マネジメントのフレームワーク

ＩＴサービス継続マネジメントは、次の構成になっており、ＰＤＣＡサイクルにより継続的改善を行うこととしています。

（拡大図）

上図での（4.2.1）などは、本ガイドラインの目次の番号と対応しています。 【目次表示】