BCP (事業継続計画) とは

BCP (Business Continuity Plan / 事業継続計画) とは、自然災害・サイバー攻撃・パンデミックなどの緊急事態が発生した際に、事業の中断を最小限に抑え、重要業務を継続・早期復旧するための計画です。

BCP の本質は「すべてを守る」ことではなく、限られたリソースで「何を優先的に守るか」を事前に決めておくことにあります。業務影響度分析 (BIA: Business Impact Analysis) で重要業務を特定し、それぞれに目標復旧時間 (RTO) と目標復旧時点 (RPO) を設定します。ランサムウェア攻撃によるシステム全停止のように、IT 障害が事業継続を脅かすケースが増加しており、IT-BCP の重要性が年々高まっています。

IT-BCP の復旧戦略と設計

IT-BCP では、システムごとに RTO と RPO を定義し、それに見合った復旧戦略を選択します。

ホットスタンバイ: 本番と同等のシステムを常時稼働させ、障害時に即座に切り替える。RTO は数分以内だがコストが最も高い
ウォームスタンバイ: 縮小構成のシステムを待機させ、障害時にスケールアップして切り替える。RTO は数十分から数時間
コールドスタンバイ: バックアップデータのみを保持し、障害時にゼロからシステムを構築する。RTO は数日だがコストは最小

クラウド環境では、マルチリージョン構成やマルチ AZ 構成で可用性を確保できます。3-2-1 バックアップルールに従い、バックアップデータを地理的に分散させることが基本です。バックアップからの復元手順を文書化し、定期的にリストアテストを実施して実効性を検証してください。

BCP の策定手順

実効性のある BCP を策定するには、以下のステップを順に進めます。

業務影響度分析 (BIA): 全業務を洗い出し、停止した場合の財務的・社会的影響を評価する。許容停止時間を業務ごとに定義する
リスクアセスメント: 地震、洪水、サイバー攻撃、パンデミックなど、想定される脅威の発生確率と影響度を評価する
復旧戦略の策定: 重要業務ごとに RTO ・ RPO を設定し、コストとのバランスで復旧方式を選択する
計画書の作成: 発動基準、指揮命令系統、連絡網、復旧手順、代替拠点の確保方法を文書化する
訓練と見直し: 机上訓練 (テーブルトップエクササイズ) や実地訓練を定期的に実施し、計画の実効性を検証する

CSIRT やインシデントレスポンスチームとの連携手順を BCP に組み込み、サイバー攻撃シナリオにも対応できる体制を整えましょう。

BCP を形骸化させないための運用

BCP は策定して終わりではなく、継続的な改善が不可欠です。多くの組織で BCP が形骸化する原因は、訓練不足と更新の停滞です。

年 1 回以上の訓練: 机上訓練は半年に 1 回、実地訓練は年 1 回を目安に実施する。訓練で発見された課題は 30 日以内に計画に反映する
組織変更時の更新: 人事異動、システム更改、拠点変更があった場合は速やかに BCP を更新する。連絡網の陳腐化は最も多い形骸化パターン
実インシデントからの学習: 実際に発生した障害やインシデントの対応結果を BCP にフィードバックする

クラウドストレージに BCP 文書を保管し、オフライン環境でもアクセスできるよう印刷版も用意しておくことが実務上のポイントです。

BCP の策定手順と訓練

実効性のある BCP を策定するには、体系的な手順に沿って進めることが重要です。場当たり的に作成した計画は、実際の緊急事態で機能しません。

業務影響度分析 (BIA) の実施: BCP 策定の出発点は BIA です。全業務プロセスを洗い出し、各業務が停止した場合の影響を「財務的損失」「顧客への影響」「法的リスク」「レピュテーションへの影響」の 4 軸で定量的に評価します。この分析により、限られたリソースで優先的に保護すべき業務が明確になります。BIA を省略して「全業務を守る」計画を立てると、結局どの業務も十分に保護できない中途半端な計画になります。

RTO と RPO の設定: BIA の結果に基づき、業務ごとに RTO (目標復旧時間) と RPO (目標復旧時点) を設定します。例えば、EC サイトの受注システムは RTO 1 時間・ RPO 5 分、社内の経費精算システムは RTO 72 時間・ RPO 24 時間のように、業務の重要度に応じて差をつけます。RTO と RPO はコストとトレードオフの関係にあるため、経営層の承認を得て決定してください。

机上訓練 (テーブルトップエクササイズ): 関係者が会議室に集まり、特定のシナリオ (例: ランサムウェアで基幹システムが全停止) に対して BCP の手順を口頭でシミュレーションします。実際のシステムを停止させる必要がないため、低コストで頻繁に実施できます。訓練で発見される典型的な問題は、連絡先の陳腐化、手順の曖昧さ、担当者の不在時の代行者未定義などです。

年次レビューサイクル: BCP は最低年 1 回の定期レビューを実施します。レビューでは、組織変更・システム更改・新たな脅威の出現を反映し、BIA の再評価と RTO/RPO の妥当性検証を行います。CSIRT と連携し、直近 1 年間のインシデント対応の教訓を BCP に反映することで、計画の実効性が継続的に向上します。

よくある誤解

BCP は大企業だけが必要なもの: 中小企業こそ BCP が重要です。大企業と比べて経営体力が限られるため、数日間の業務停止が廃業に直結するリスクがあります。規模に応じた簡易版 BCP でも、策定しておくことで復旧速度が大きく変わります。
データのバックアップがあれば BCP は不要: バックアップは BCP の一要素にすぎません。バックアップがあっても、復元手順が未整備、復元先の環境がない、担当者が不在では復旧できません。BCP は人・プロセス・技術を包括的にカバーする計画です。

BCP (事業継続計画)