--- title: "ITのBCP。システムが止まっても業務を続けるために｜アメリア・テクノロジー株式会社" url: https://www.ameliatechnology.co.jp/blog/it-bcp-planning/ description: "ITのBCPは、止められない業務を決め、どのくらいの時間で、どの水準まで戻すかを決め、システムが使えない間の代わりの手段と復旧の手順を用意し、訓練で確かめる計画です。内閣府の事業継続ガイドラインをもとに進め方を説明します。" updated: 2026-11-12 publisher: "アメリア・テクノロジー株式会社" --- # ITのBCP。システムが止まっても業務を続けるために ITのBCPは、止められない業務を決め、どのくらいの時間で、どの水準まで戻すかを決め、システムが使えない間の代わりの手段と復旧の手順を用意し、訓練で確かめる計画です。内閣府の事業継続ガイドラインをもとに進め方を説明します。 2026.11.12 [経営とDX](https://www.ameliatechnology.co.jp/blog/category/management/) 執筆 [嵐保憲](https://www.ameliatechnology.co.jp/blog/author/arashi/)（代表取締役CEO） 経営とDX（MANAGEMENT）のコラム ## この記事の要点 - ITのBCPは、システムの復旧の手順だけでなく、システムが使えない間に業務をどう続けるかまでを決める計画です。 - 内閣府の事業継続ガイドラインは、重要な業務を絞り込み、目標復旧時間と目標復旧レベルを決め、復旧を早められない要因（ボトルネック）をつかむ流れを示しています。 - 計画は紙にして終わりではなく、定期的な訓練と、年に1回以上の見直しで、実際に動くかを確かめます。 ITのBCP（事業継続計画）とは、災害やサイバー攻撃、障害でシステムが止まったときに、止められない業務を続け、決めた時間のうちに元に戻すための計画です。進め方は、優先する業務を決める、どのくらいの時間で、どの水準まで戻すかを決める、システムが使えない間の代わりの手段と復旧の手順を用意する、訓練して見直す、の順です。復旧の手順書だけでは足りず、「止まっている間に業務をどう回すか」まで決めておくことが要になります。 ## ITのBCPは、なぜ要るのか ITのBCPが要るのは、受注、出荷、請求、給与の支払いといった業務の多くが、システムなしでは回らなくなっているためです。地震や水害でサーバーや回線が使えなくなる場合のほか、[ランサムウェア](https://www.ameliatechnology.co.jp/glossary/ransomware/)でデータが暗号化される場合、クラウドのサービスの大きな障害、担当者が急に不在になる場合も、同じように業務が止まります。 [BCP](https://www.ameliatechnology.co.jp/glossary/bcp/)とは、内閣府の説明によると、災害時に特定した重要業務が中断しないこと、また中断した場合でも目標復旧時間内に重要な機能を再開させ、取引先や市場での信頼、企業の評価を守るための経営の戦略です。内閣府は、ここでいう「計画」を計画書だけでなく、運用まで含めたマネジメント全体の意味で使うとしています。 出典：[事業継続（内閣府防災情報のページ）](https://www.bousai.go.jp/kyoiku/kigyou/keizoku/sk.html) 内閣府は2023年3月24日に「事業継続ガイドライン」の改定版を公表し、テレワークの活用、オンラインでの意思決定の仕組み、情報セキュリティの強化などへの言及を加えています。 出典：[「事業継続ガイドライン」の改定について（内閣府、2023年3月24日）](https://www.bousai.go.jp/pdf/230324_guideline.pdf) ## 何から決めればよいか 最初に決めるのは、止められない業務と、その優先順位です。内閣府の事業継続ガイドラインは、業務が止まったときの影響の大きさを評価し、その結果を踏まえて、優先的に続け、戻すべき重要な業務を絞り込むとしています。 ITの面から考えるときは、システムの一覧から始めるより、業務の一覧から始めるほうが判断しやすくなります。 1. 業務を書き出し、止まったときに何が起きるかを書く（売上が立たない、取引先に迷惑がかかる、法令の期限に遅れるなど） 2. 何日止まると、事業や信用に大きな影響が出るかを考える 3. その業務が使っているシステム、データ、回線、委託先を書き出す すべての業務を同じように守るのは難しいため、ここで順番をつけることが、限られた費用を振り分ける判断の土台になります。 ## 戻す時間と水準は、どう決めるか 戻す時間と水準は、業務ごとに「目標復旧時間」と「目標復旧レベル」として決めます。事業継続ガイドラインは、どのくらいの時間で復旧させるかを目標復旧時間（Recovery Time Objective、RTO）、どの水準まで復旧させるかを目標復旧レベル（Recovery Level Objective、RLO）として決めるとしています。目標はまず案として置き、対策が実現できるかを確かめたうえで、経営の判断で決めるとされています。 出典：[事業継続ガイドライン（内閣府、2023年3月）](https://www.bousai.go.jp/kyoiku/kigyou/pdf/guideline202303.pdf) ITでは、これに加えて、どの時点までのデータを取り戻せればよいかという目標（RPO。目標復旧時点）を決めることが多いです。前の日の夜までのデータに戻れればよい業務と、数分前までのデータが要る業務とでは、[バックアップ](https://www.ameliatechnology.co.jp/glossary/backup/)の取り方も費用も大きく変わります。事業継続ガイドラインも、許容できるデータの損失の期間をもとに、バックアップの頻度を決めることに触れています。2つの目標の考え方は、用語集の[RTO・RPO](https://www.ameliatechnology.co.jp/glossary/rto-rpo/)でも説明しています。 目標を決めたら、復旧を早めようとしても早められない要因を探します。事業継続ガイドラインは、これを「ボトルネック」として把握するとしています。ITでは、特定の担当者しか復旧の手順を知らない、機器の調達に時間がかかる、委託先の対応が営業時間内に限られる、といったことがボトルネックになりやすいです。 ## システムが止まっている間は、どうするか システムが止まっている間は、代わりの手段で業務を続けます。復旧の手順と、止まっている間の業務の回し方は、別のものとして両方を用意します。 代わりの手段の例です。 - 紙の伝票や表計算のファイルで受け付け、復旧した後にシステムに入力する - 別の拠点やクラウドの環境に用意しておいた予備のシステムに切り替える - 社員の自宅などからのテレワークで業務を続ける 事業継続ガイドラインは、重要な情報はバックアップを確保し、同じ事故で同時に被害を受けない場所に保存すること、代わりの設備や手段から平常の運用に戻すときに、データの欠落や不整合による障害を防ぐための復帰の計画も要ることを挙げています。テレワークで業務を続けるときは、情報の扱いとセキュリティの対策にも配慮が要るとしています。 出典：[事業継続ガイドライン（内閣府、2023年3月）](https://www.bousai.go.jp/kyoiku/kigyou/pdf/guideline202303.pdf) システムが止まってから、平常の運用に戻るまで **システムが止まる** **代わりの手段で業務を続ける**：紙の伝票や表計算のファイル、予備のシステム、テレワークなど **平常の運用に戻す**：データの欠落や不整合による障害を防ぐための**復帰の計画**も要る 復旧の手順と、止まっている間の業務の回し方は、別のものとして両方を用意します 紙で受け付けた分をいつ、誰がシステムに入力し直すのか、二重に計上しないためにどう照らし合わせるのかまで決めておくと、復帰の段階での混乱を抑えやすくなります。バックアップの世代や保管の場所の決め方は、[バックアップと復旧の設計。何を、どこに、どのくらい残すか](https://www.ameliatechnology.co.jp/blog/backup-recovery-design/)で扱っています。 ## サイバー攻撃のときは、何が違うか サイバー攻撃で止まったときは、災害のときと違い、すぐに元に戻せないことがあります。どこまで侵入されているかを調べる前にバックアップから戻すと、攻撃者が残した入口から再び被害を受けるおそれがあるためです。 そのため、ITのBCPには、事故の初動の手順とのつながりを書いておきます。被害の範囲を確かめる、外部の専門家や警察に相談する、戻してよいバックアップを見極める、といった手順が先に入ることを、復旧の時間の見込みにも反映しておくと現実に近い計画になります。初動の手順書は、[セキュリティ事故に備える、初動の手順書のつくり方](https://www.ameliatechnology.co.jp/blog/incident-response-plan/)で説明しています。 ## 計画が動くかは、どう確かめるか 計画が動くかは、訓練と見直しで確かめます。事業継続ガイドラインは、計画を紙や社内のページで周知するだけで、すべての関係者が実践できると考えるのは現実的でないとし、訓練を定期的（年に1回など）に行うほか、体制の変更や人事異動、計画を見直したときにも行うとしています。経営者による見直しは、事業戦略や次の年度の予算を検討する機会と合わせて、年に1回以上行う必要があるとしています。 出典：[事業継続ガイドライン（内閣府、2023年3月）](https://www.bousai.go.jp/kyoiku/kigyou/pdf/guideline202303.pdf) ITの訓練は、大がかりなものから始めなくても構いません。 - バックアップから実際にデータを戻してみて、かかった時間を測る - 連絡の一覧に載っている相手に、実際に連絡がつくかを確かめる - 「受注のシステムが2日止まった」という想定で、代わりの手段の手順を机上でたどる 戻してみたら手順書が古かった、戻すのに想定の何倍も時間がかかった、という発見が、訓練の大きな成果になることが多いです。クラウドのサービスや保守の委託先が関わる場合は、委託先の対応の範囲と時間帯を契約で確かめ、訓練にも加わってもらうと、実際の場面での抜けを見つけやすくなります。 ## 当社のご支援 アメリア・テクノロジーでは、[AI・DXコンサルティング](https://www.ameliatechnology.co.jp/service/consulting/)で業務・システム・データの現状を整理し、止められない業務と、そのためのシステムの守り方の優先順位づくりをご支援しています。[ソリューション提供](https://www.ameliatechnology.co.jp/service/solution/)や[Webシステム開発](https://www.ameliatechnology.co.jp/service/web-system/)でシステムの開発をお受けする際には、バックアップや復旧の進め方も、あわせてご相談いただけます。システムの引き継ぎや属人化の状態を確かめたい場合は、無料の[システムの属人化・引き継ぎ診断](https://www.ameliatechnology.co.jp/diagnosis/handover/)もお使いください。 - BCP - 事業継続 - バックアップ - リスク管理 ## この記事に出てくる用語 - [事業継続計画（BCP）](https://www.ameliatechnology.co.jp/glossary/bcp/) - [サーバー](https://www.ameliatechnology.co.jp/glossary/server/) - [ランサムウェア](https://www.ameliatechnology.co.jp/glossary/ransomware/) - [暗号化](https://www.ameliatechnology.co.jp/glossary/encryption/) - [クラウド](https://www.ameliatechnology.co.jp/glossary/cloud/) - [RTO・RPO](https://www.ameliatechnology.co.jp/glossary/rto-rpo/) - [情報セキュリティ](https://www.ameliatechnology.co.jp/glossary/information-security/) - [バックアップ](https://www.ameliatechnology.co.jp/glossary/backup/) ## 関連する法令・指針（参考情報） - 指針 内閣府（防災担当）「事業継続ガイドライン」（2023年3月改定（2023年3月24日公表）） 企業の災害時の事業継続計画（BCP）の策定と運用の改善を促すための指針です。重要な業務を絞り込み、目標復旧時間と目標復旧レベルを決め、復旧を早められない要因（ボトルネック）をつかむ流れや、教育・訓練と年1回以上の見直しを示しています。 [発行元の公式ページで開く](https://www.bousai.go.jp/kyoiku/kigyou/pdf/guideline202303.pdf) 法令は2026年10月21日時点の内容です。要旨は当社がまとめたもので、条文・判決・指針の全文ではありません。個別の事案への当てはめは、弁護士・社会保険労務士などの専門家にご確認ください。表記の決まりは[法令・指針の参考情報と凡例](https://www.ameliatechnology.co.jp/knowledge/legal/)をご覧ください。 この記事を書いた人 [嵐保憲](https://www.ameliatechnology.co.jp/blog/author/arashi/) 代表取締役CEO 複数の会社の経営に携わり、事業の立ち上げから譲渡・譲受までを経営者の立場で経験してきました。現在は、アメリア・テクノロジーとフロレンティナの代表取締役として、経営の目標から逆算したAIとシステムへの投資を進めています。 このコラムは一般的な情報の提供を目的としたもので、個別の状況への助言ではありません。製品・サービスの名前と内容は、記事の更新日の時点のものです。 ## あわせて読みたい - [移行期間のサービス契約（TSA）とは。決めておくこと](https://www.ameliatechnology.co.jp/blog/tsa-transition-service-agreement/) - [システムの総費用（TCO）はどう見積もるか](https://www.ameliatechnology.co.jp/blog/system-tco-estimate/) - [サプライチェーンのセキュリティ。取引先を経由する攻撃への備え](https://www.ameliatechnology.co.jp/blog/supply-chain-security/) [経営とDXのコラムを見る](https://www.ameliatechnology.co.jp/blog/category/management/) [コラムの一覧に戻る](https://www.ameliatechnology.co.jp/blog/) ## 次の一歩 ### 取り組む順番を決める AI活用の診断では、現場のお話をうかがい、2〜4週間で優先順位と計画をまとめます。 [AI活用の診断を見る](https://www.ameliatechnology.co.jp/pricing/#diagnosis) ### M&Aの前後のシステムを整える フロレンティナと一体で、譲渡の前の磨き上げと、譲受の後のシステム統合を進めます。 [M&Aの前後の支援を見る](https://www.ameliatechnology.co.jp/group/#packages) ## ご関心に合わせて、お選びください。 [情報を集めている方へ会社案内、AI開発の例、セキュリティ診断の報告書の見本をお送りします。資料をダウンロード](https://www.ameliatechnology.co.jp/download/)[課題が見えている方へオンラインで30分、お話をうかがいます。費用はかかりません。無料で相談する](https://www.ameliatechnology.co.jp/contact/)[進め方を決めたい方へ2〜4週間で、優先順位と計画をまとめるAI活用の診断です。診断について見る](https://www.ameliatechnology.co.jp/pricing/#diagnosis) --- 出典：アメリア・テクノロジー株式会社「ITのBCP。システムが止まっても業務を続けるために｜アメリア・テクノロジー株式会社」 https://www.ameliatechnology.co.jp/blog/it-bcp-planning/