ITのBCP。システムが止まっても業務を続けるために

ITのBCP（事業継続計画）とは、災害やサイバー攻撃、障害でシステムが止まったときに、止められない業務を続け、決めた時間のうちに元に戻すための計画です。進め方は、優先する業務を決める、どのくらいの時間で、どの水準まで戻すかを決める、システムが使えない間の代わりの手段と復旧の手順を用意する、訓練して見直す、の順です。復旧の手順書だけでは足りず、「止まっている間に業務をどう回すか」まで決めておくことが要になります。

ITのBCPは、なぜ要るのか

ITのBCPが要るのは、受注、出荷、請求、給与の支払いといった業務の多くが、システムなしでは回らなくなっているためです。地震や水害でサーバーや回線が使えなくなる場合のほか、ランサムウェアでデータが暗号化される場合、クラウドのサービスの大きな障害、担当者が急に不在になる場合も、同じように業務が止まります。

BCPとは、内閣府の説明によると、災害時に特定した重要業務が中断しないこと、また中断した場合でも目標復旧時間内に重要な機能を再開させ、取引先や市場での信頼、企業の評価を守るための経営の戦略です。内閣府は、ここでいう「計画」を計画書だけでなく、運用まで含めたマネジメント全体の意味で使うとしています。

出典：事業継続（内閣府 防災情報のページ）

内閣府は2023年3月24日に「事業継続ガイドライン」の改定版を公表し、テレワークの活用、オンラインでの意思決定の仕組み、情報セキュリティの強化などへの言及を加えています。

出典：「事業継続ガイドライン」の改定について（内閣府、2023年3月24日）

何から決めればよいか

最初に決めるのは、止められない業務と、その優先順位です。内閣府の事業継続ガイドラインは、業務が止まったときの影響の大きさを評価し、その結果を踏まえて、優先的に続け、戻すべき重要な業務を絞り込むとしています。

ITの面から考えるときは、システムの一覧から始めるより、業務の一覧から始めるほうが判断しやすくなります。

1. 業務を書き出し、止まったときに何が起きるかを書く（売上が立たない、取引先に迷惑がかかる、法令の期限に遅れる など）
2. 何日止まると、事業や信用に大きな影響が出るかを考える
3. その業務が使っているシステム、データ、回線、委託先を書き出す

すべての業務を同じように守るのは難しいため、ここで順番をつけることが、限られた費用を振り分ける判断の土台になります。

戻す時間と水準は、どう決めるか

戻す時間と水準は、業務ごとに「目標復旧時間」と「目標復旧レベル」として決めます。事業継続ガイドラインは、どのくらいの時間で復旧させるかを目標復旧時間（Recovery Time Objective、RTO）、どの水準まで復旧させるかを目標復旧レベル（Recovery Level Objective、RLO）として決めるとしています。目標はまず案として置き、対策が実現できるかを確かめたうえで、経営の判断で決めるとされています。

出典：事業継続ガイドライン（内閣府、2023年3月）

ITでは、これに加えて、どの時点までのデータを取り戻せればよいかという目標（RPO。目標復旧時点）を決めることが多いです。前の日の夜までのデータに戻れればよい業務と、数分前までのデータが要る業務とでは、バックアップの取り方も費用も大きく変わります。事業継続ガイドラインも、許容できるデータの損失の期間をもとに、バックアップの頻度を決めることに触れています。2つの目標の考え方は、用語集のRTO・RPOでも説明しています。

目標を決めたら、復旧を早めようとしても早められない要因を探します。事業継続ガイドラインは、これを「ボトルネック」として把握するとしています。ITでは、特定の担当者しか復旧の手順を知らない、機器の調達に時間がかかる、委託先の対応が営業時間内に限られる、といったことがボトルネックになりやすいです。

システムが止まっている間は、どうするか

システムが止まっている間は、代わりの手段で業務を続けます。復旧の手順と、止まっている間の業務の回し方は、別のものとして両方を用意します。

代わりの手段の例です。

• 紙の伝票や表計算のファイルで受け付け、復旧した後にシステムに入力する
• 別の拠点やクラウドの環境に用意しておいた予備のシステムに切り替える
• 社員の自宅などからのテレワークで業務を続ける

事業継続ガイドラインは、重要な情報はバックアップを確保し、同じ事故で同時に被害を受けない場所に保存すること、代わりの設備や手段から平常の運用に戻すときに、データの欠落や不整合による障害を防ぐための復帰の計画も要ることを挙げています。テレワークで業務を続けるときは、情報の扱いとセキュリティの対策にも配慮が要るとしています。

出典：事業継続ガイドライン（内閣府、2023年3月）

紙で受け付けた分をいつ、誰がシステムに入力し直すのか、二重に計上しないためにどう照らし合わせるのかまで決めておくと、復帰の段階での混乱を抑えやすくなります。バックアップの世代や保管の場所の決め方は、バックアップと復旧の設計。何を、どこに、どのくらい残すかで扱っています。

サイバー攻撃のときは、何が違うか

サイバー攻撃で止まったときは、災害のときと違い、すぐに元に戻せないことがあります。どこまで侵入されているかを調べる前にバックアップから戻すと、攻撃者が残した入口から再び被害を受けるおそれがあるためです。

そのため、ITのBCPには、事故の初動の手順とのつながりを書いておきます。被害の範囲を確かめる、外部の専門家や警察に相談する、戻してよいバックアップを見極める、といった手順が先に入ることを、復旧の時間の見込みにも反映しておくと現実に近い計画になります。初動の手順書は、セキュリティ事故に備える、初動の手順書のつくり方で説明しています。

計画が動くかは、どう確かめるか

計画が動くかは、訓練と見直しで確かめます。事業継続ガイドラインは、計画を紙や社内のページで周知するだけで、すべての関係者が実践できると考えるのは現実的でないとし、訓練を定期的（年に1回など）に行うほか、体制の変更や人事異動、計画を見直したときにも行うとしています。経営者による見直しは、事業戦略や次の年度の予算を検討する機会と合わせて、年に1回以上行う必要があるとしています。

出典：事業継続ガイドライン（内閣府、2023年3月）

ITの訓練は、大がかりなものから始めなくても構いません。

• バックアップから実際にデータを戻してみて、かかった時間を測る
• 連絡の一覧に載っている相手に、実際に連絡がつくかを確かめる
• 「受注のシステムが2日止まった」という想定で、代わりの手段の手順を机上でたどる

戻してみたら手順書が古かった、戻すのに想定の何倍も時間がかかった、という発見が、訓練の大きな成果になることが多いです。クラウドのサービスや保守の委託先が関わる場合は、委託先の対応の範囲と時間帯を契約で確かめ、訓練にも加わってもらうと、実際の場面での抜けを見つけやすくなります。

当社のご支援

アメリア・テクノロジーでは、AI・DXコンサルティングで業務・システム・データの現状を整理し、止められない業務と、そのためのシステムの守り方の優先順位づくりをご支援しています。ソリューション提供やWebシステム開発でシステムの開発をお受けする際には、バックアップや復旧の進め方も、あわせてご相談いただけます。システムの引き継ぎや属人化の状態を確かめたい場合は、無料のシステムの属人化・引き継ぎ診断もお使いください。