IT-BCPとは？ガイドラインを踏まえた策定手順、対策を分かりやすく解説

そもそもBCP対策とは

BCPとは「Business Continuity Plan」の略で、緊急事態においても企業がビジネスを継続できるよう、計画を立てておくことです。日本語では「事業継続計画」と訳されます。

この中には、自然災害やサイバー攻撃などの予期せぬリスクに対する対応策が含まれ、復旧と事業の継続を同時に進行することを目的とします。

IT-BCPが重要な理由

急速な社会のIT化により、業務上のITシステムの活用も必須となり、IT-BCPの重要性はますます高まっています。

ここでは、企業にとってIT-BCPが重要といえる3つの理由を解説します。

ビジネスにおいてITの活用が不可欠な時代に

インターネットやモバイル端末が普及している現代、顧客サービスの多くは、ITシステムの活用が必須になってきています。そのため、ITシステムに障害が起こると、サービス提供やセキュリティに重大な影響が及ぶ恐れがあります。

例えば、オンラインショップに障害が発生すると、購入ページに遷移できなくなったり、決済が停止されたりすることが考えられます。そのほか、システム障害によるデータの漏洩や消失、セキュリティ事故による顧客情報の流出など深刻な被害も想定されます。

このような事態が実際に起こってしまうと、顧客や取引先からの信頼低下につながり、企業にとって大きな損害となるでしょう。

サイバー攻撃が増えている

サイバー攻撃の被害は、口座情報の盗難や顧客情報・機密情報の流出など、多岐にわたります。サイバー攻撃の手口は年々巧妙化しており、新しい手法が次々に登場しています。

また、情報漏洩のきっかけは外部からの攻撃だけではありません。IPA（独立行政法人情報処理推進機構）が公開している「情報セキュリティ10大脅威 2024（組織編）」のランキングでは、内部不正による情報流出が毎年ランクインしており、2022年は5位、2023年は4位、2024年は3位と年々その脅威が増大しています。

もし、こういった被害が発生した場合、システム回復や原因追及にかかる労力やコストが事業を圧迫する恐れがあります。被害を最小限に留め、できる限り平時通りの業務を継続するためには、IT-BCPの策定が有効です。

◎「サイバー攻撃の種類」の詳しい解説はこちら
◎「情報漏洩対策」の詳しい解説はこちら

災害が頻繁に発生している

ご存じのとおり、日本は地震や台風などの自然災害が発生しやすい地域です。大規模地震や台風によって、ネットワーク回線の障害で通信できなくなったり、建物・機器類への被害でITシステムが中断・停止したりするケースがあります。

あらかじめ適切なIT-BCPを策定していれば、このような状況でも臨機応変に対応でき、被害を最小限に食い止めることができるでしょう。

IT-BCP対策の具体例

ここからは、IT-BCPにおける事前対策の具体例について紹介します。

先述したように、事業内容によって使用するシステムや復旧の優先度は異なるのが一般的です。以下の具体例を自社に当てはめ、取り入れられるものがあるかご確認ください。

データのバックアップ・保管

災害やサイバー攻撃で最も危惧すべき被害の一つとして、データの損失があります。機密情報や顧客情報などのデータを定期的にバックアップ（データ保存）することで、災害時の損失リスクを回避できます。

バックアップ先は、クラウドのほか、遠隔地のデータセンターを活用するのが有効です。これにより、地震や水害といった地域が限定される災害リスクを分散できます。

手動で全てのデータを定期的にバックアップするのは手間や時間がかかるため、自動バックアップ設定をしておくと効率的です。

システムの冗長化

冗長化とは、システムに問題が発生し、運用が困難になったときに備え、代替となるシステムを準備することを指します。パソコンやサーバといった機器類、オフラインで使用している端末も対象です。

システムの冗長化の一つとして、普段稼働させるシステムと、待機させる予備システムとに分け、双方をリアルタイムで同期しておく方法があります。この方法をとることで、稼働させているシステムがサイバー攻撃や災害によって利用不可となっても、同期させていた予備のシステムで通常通りの業務を遂行できるでしょう。
また、予備設備には、普段使用しているOSやサーバとは異なるものを用意するのもおすすめです。これは、サイバー攻撃を受けた場合、同じOSの端末やサーバが同時に使用できなくなる恐れがあるからです。異なるOSや代替サーバを用意することで、リスクを分散できます。

ただし、システムを冗長化していても、ネットワークに不具合が起こってしまった際には、システム自体が正常に稼働できなくなる恐れがあります。そのため、システムの冗長化と併せて、ネットワーク回線の冗長化も進めておくのが有効です。

ネットワークを冗長化することで、1つの回線に不具合が発生しても、別の回線を活用して通信の途絶を防ぐことが可能となります。

◎「冗長化」の詳しい解説はこちら

連絡体制を整備する

本記事の「危機的事象が発生した際の対応計画を検討する」の章で解説したとおり、連絡網の準備は重要事項です。しかし、緊急時には通常の方法で連絡が取れない恐れもあります。

そのため、システム復旧の指揮系統や、複数の連絡手段の確保、連絡体制のルールなどを決めておくとよいでしょう。

なお、従業員の安否確認においては、緊急時一斉メールや安否確認システムも活用するのが有効です。安否確認システムには、通信事業者や警備会社が提供する安否確認サービスや、ビジネスチャットツールと連携したシームレスなシステムなどさまざまなものがあります。

大規模法人なら機能制限や人数制限のない有料の安否確認システムがおすすめですが、小規模であれば、無料のサービスから試してみるのもよいかもしれません。

クラウド・リモートワークを活用

災害などによりオフィスが使用できない場合、どこからでも利用できるクラウドサービスと、どこでも業務ができるリモートワークを組み合わせることで、業務や復旧への影響を最小限に抑えられます。そのために、社員が自宅などのパソコンから社内ネットワークにアクセスできる環境を整えておくことが重要です。

なお、リモートワークを導入する際は、情報漏えいやウイルス感染などに対するセキュリティ強化が不可欠となります。クラウドサービスを導入する際も、セキュリティ対策が整ったサービスを選択するようにしましょう。

また、緊急時に突然リモートワークに切り替えることは、従業員にとって不慣れな環境での作業となってしまうため、スムーズな対応ができない可能性があります。普段から慣れておくためにも、平時よりリモートワークを活用しておくことがおすすめです。

CSIRT（シーサート）を設置する

CSIRTとは「Computer Security Incident Response Team」の略で、コンピューターセキュリティに関する事故対応組織を指します。サイバー攻撃による不正アクセスやマルウェア感染などへの予防策や、インシデント（＝セキュリティ上の問題として捉えられる事象）の検知などを担います。また、自社にとって「何がインシデントとなるのか」を定義しておくことも重要です。

社内でCSIRTを構築する場合、IT-BCPを統括するリーダーや業務を実際に担当するスタッフを選出し、シミュレーションを実施します。社内にセキュリティ関連の人材が不足している場合は、外部委託も可能です。社内で構築したい場合に、CSIRTの運用支援・アドバイスを行ってくれる企業もあるため、自社の必要性に応じて検討してみてください。

まとめ

◎製品名、会社名等は、各社の商標または登録商標です。