BCP/ICT-BCPの策定と重要性について

　「BCP」は緊急事態が発生した際、事業の復旧・継続を左右する可能性もある重要な計画です。「事業継続計画」とも呼ばれています。では、「BCP」には具体的にどのような内容を盛り込めばよいのでしょうか。時間をかけて策定しても、内容が不十分で機能しなければ意味がありません。そこでここでは、「BCP」の策定・運用にあたり、注目すべき観点や欠かせない視点、実施すべきことについてICTに絡めながら解説します。

BCPについて

　近年、日本では企業のBCPへの関心が高まっています。まずはBCPについて基本的な事項を解説します。

BCPの定義

　BCPとは「Business Continuity Plan」の略で、「事業継続計画」と訳すことができます。BCPはその名の通り、事業を継続させるための計画のことです。

　企業を取り巻くリスクは多岐にわたります。たとえば地震や台風といった自然災害の他、テロや火災などの人的被害、さらに取引先の倒産やシステム障害、不祥事、風評被害などが原因で、事業悪化や倒産する可能性は否めません。BCPとは、たとえ企業に危機的状況が訪れても、事業を速やかに立て直して継続していくための計画を指します。

BCPの概念図

出典：関東地方整備局ホームページ(https://www.ktr.mlit.go.jp/bousai/bousai00000162.html)

　BCPを策定しておくことで、企業はあらかじめ自然災害などによる事業停止のリスクへの備えができます。そのため、災害などの有事が発生しても、BCPに沿って的確な初期対応が可能となります。

　一般的に事業復旧曲線が許容限界を下回ると事業停止に追い込まれますが、BCPによって復旧曲線を許容限界以上に保つことができ、事業を停止させることなく、かつ速やかに元のレベルまで事業を回復させることが可能になります。

BCPの策定について

　BCPはあらかじめ策定しておくことで機能します。BCPは、以下のポイントを押さえて策定することで、実効性の高いものにすることができます。

BCPを策定する上で重要となる4つの観点

　 BCP策定は4つの観点から行うことが大切です。1つ目は「重要サービス・製品の供給継続・早期復旧」です。自社にとって最も売上に寄与するサービスや商品の製造を維持するということであり、事業継続の根幹ともいえるポイントです。たとえば被災によって従業員が出社できなくなった場合、どのような代替手段で事業を継続するのか、といった観点からBCP対策を行います。

　2つ目は「情報システムの維持」です。現在は多くの企業が、ICT機器やシステムに業務を依存しています。有事の際にはネットワーク回線に障害が発生しやすく、回線の断絶により業務の停止に追い込まれたり、外部との通信手段が断絶する可能性が高いです。

　こういったリスクを避けるためにも、情報システムを維持するための対策が必要です。具体的にはデータのバックアップを取る方法や、回線やサーバーの二重化を行う方法があります。

　3つ目は「企業の中枢機能の確保」です。有事には情報収集や意思決定、情報発信が重要です。事業の停止を防ぐためにも、有事でも中枢機能を維持するための対策が必要です。合わせて、有事には誰が指揮をとり、どのような指揮系統のもとに復旧を進めるのかというポイントについても検討しましょう。

　4つ目は「資金確保」です。被災すると利益の減少は避けられません。一方、事業を継続させるためには給与や調達先への支払いが発生します。つまり、資金繰りが悪化するリスクが高いといえます。資金確保の対策としては、保険や災害時ローンなどの利用や、災害時融資予約、政府系金融機関によるBCP格付融資・BCP支援ローンなどの利用があります。

BCPの種類

　BCPを策定するときには、災害発生～平時に戻るまでの段階別に大きく3種類に分類して、それぞれの対策を検討することが一般的です。1段階目は「IMP（初動計画）および重要手順」です。企業が災害や事業停止といった危機的状況に直面したときの初期対応について検討します。

　具体的には、従業員の安否や企業の被災状況の確認といった、企業の現状の把握がメインとなります。IMPによって被害状況の全貌が確認できたら、2段階目のBCP（事業継続計画）に移行します。この段階では、あらかじめ策定したBCPの内容に沿って、設備や人的リソースの代替手段を活用しながら、事業の維持や再開をめざして行動します。

　3段階目は「BRP（事業復旧計画）」です。事業を維持しつつ、被災した設備や人的欠員、ネットワークの復旧に取り組んでいきます。BCPにおける最終段階であり、被災前の事業レベルへの回復をめざす段階といえます。

　このように、BCPは「IMP」「BCP」「BRP」の3段階に分類することができます。それぞれの段階に分けて対策を講じることで、BCPをより細かく実効性の高いものにすることができます。

緊急時にBCPをしっかりと機能させるには

　BCPを策定していたにもかかわらず、緊急時にBCPが正常に機能しなかったというケースは意外と多くあります。理由として、BCPの内容が簡素すぎたり、逆に、実現困難なBCPを策定していることが挙げられます。

　有事にBCP通りに進行できない事態を避けるために、BCPは内容を吟味するだけでなく、定期的なテストや見直しを行うことが重要です。以下に正常に機能させるためのポイントを解説します。

BCP教育・訓練・テストの実施

　BCP策定を実効性の高いものにするためには、平時から従業員に教育や訓練、テストなどを行い、必要な知識や心構えを実践で積み重ねることが大切です。継続して経験を積むことで、いざというときにスピード感をもって行動できるだけでなく、災害に対する意識を定着させることができます。

　訓練は実施するだけでなく、訓練を通した見直しや反省を行うことも大切です。たとえばBCP策定の目的と訓練の結果に食い違いがあった場合には、その差の原因を特定し、改善策を立てなければ、実際の有事の際にBCPが役に立ちません。計画を正常に機能させるためには、つねに訓練・見直し・計画をセットで行う必要があります。

5つの視点からBCPの策定・見直しを行う

　実効性の高いBCPを策定するには、策定や見直しの際に「人的リソース」「施設・設備」「資金」「体制」「情報」という5つの観点からチェックし、定期的に更新することが大切です。それぞれの内容について解説します。

人的リソース

　人的リソースの視点とは、従業員に対するBCPです。たとえ本社や工場が再開できても、従業員が業務に復帰できなければ、事業を続けることはできません。

　従業員の安否や被災状況の確認方法のほか、出社できない従業員への対応や、従業員の数が減っても事業を回す方法について検討する必要があります。

施設・設備

　本社や生産拠点などの重要施設が使用不可となった場合には、速やかに代替場所や設備を確保することが、事業の早期復旧につながります。生産拠点が使用できなくなる可能性に備え、代わりの工場や建物を確保するための方法についてしっかり検討しましょう。

資金

　災害が発生し、事業中断や業務停止に追い込まれた場合には、事業資金を他所から調達しなければなりません。「どこから」「どのくらい」の資金を調達すべきなのか検討するためにも、まずは、事業停止によりどの程度の損害が発生するのかということを把握しておく必要があります。

　万が一の場合の事業資金は、預金や資本金として自社で準備しておくほか、公的資金や保険の損害補償を利用する方法もあります。

体制

　事業を危機的状況から脱却させ、速やかに体制を立て直すためには、やるべきことに優先順位をつけて的確な指示を出す指導者が必要です。BCPでは、有事の際には誰が指揮を執り、どのような指揮系統を立てるのかを明確にしておくことが必要です。あわせて、該当の指揮者が不在の場合、指揮を代行する人物についても検討します。

情報

　情報とは企業が有しているデータのことです。たとえ本社や生産拠点、従業員が無事であっても、業務に必要なデータが失われれば、業務の復旧は難しくなります。情報の損失はユーザーや取引先からの信頼の失墜にもつながるため、BCPでしっかり対策しておくことが重要です。

　データ保護にはバックアップを行うのが一般的です。USBや外付けストレージを利用するほか、クラウドセンターを利用してバックアップをとる方法もあります。このとき、広域での被災に備えて、バックアップデータは遠隔地で保存しておくことが必要です。

見落としがちな「情報の視点」

　上記の5つのポイントのうち、もっとも重視すべきなのは「情報」です。中でも「ICT」の知識は実効性の高いBCP策定に必要不可欠です。業務システムにおいてICTが占める割合は大きく、有事の際の被害規模や業務に及ぼす影響のほか、事前防止策や対応方法などの作成には、ICTが用いられるためです。

　ICTは高度で複雑であるため、経営層がその重要性を理解していても、実際の運用は担当部署に一任しているという企業も多くあります。しかし、前述のようにICTはBCP策定に必要不可欠な要素であることから、経営層もICT知識に精通しておくことが大切です。なお、ここからは、ICTにおけるBCPの重要性や考え方について詳しく解説します。

ICTにおけるBCPについて

　ICTにおけるBCPは「ICT-BCP」とも呼ばれます。ICT‐BCPの必要性や具体的な内容、策定の際の注意点を解説します。

「ICT-BCP」とは

　「ICT」は「情報通信技術」のことです。ITとよく似ている言葉ですが、ITが「情報技術」そのものを指すのに対し、ICTは「情報技術の使い方」を指すという違いがあります。

　ICTシステムのBCP対策はとくに「ICT‐BCP」と呼ばれます。ICT-BCPの目的は、災害発生やサイバー攻撃などの緊急時においても、業務に必要なICTシステムを維持することです。ICTの発達により、多くの企業は事業や業務システムをICTに依存しているのが現状です。

　そのため、ICTシステムが1つ停止しただけで、業務に支障をきたすことも少なくありません。ICTシステムの損傷が企業の機密情報の損失につながる可能性もあります。こういったリスクを避けるために、企業はICT-BCP対策を万全にすることが求められます。あるいは、近年増加しているサイバー攻撃のリスクへの備えとしても、ICT‐BCPの必要性は高くなっています。

具体的な「ICT-BCP」の内容

　具体的なICT-BCPには主に「データ保管・バックアップ」「代替機の用意」「リモートワークの導入」「BCP発動時の連絡体制」「CSIRTの設置」の5つがあります。それぞれの内容や具体例を解説します。

データ保管・バックアップを行う

　製品の設計図や顧客情報、その他の機密情報など、事業に関するデータは、クラウドや遠方にあるデータセンターでバックアップを取ることが大切です。とくにクラウドは、USBメモリのような物理的な保管を必要とせず、被災の影響を受けにくいことから、ICT-BCPとしてよく利用されています。このとき、広域の被災に備えて、会社から離れた遠隔地にサーバーを置くクラウドを選ぶことが大切です。

　企業にとって、データは命綱とも言えます。主力商品の設計図や機密情報の損失は、企業の売り上げを左右するだけでなく、顧客や取引先からの信頼の低下にもつながります。場合によっては、倒産に追い込まれることもあるでしょう。

　このようなリスクに備え、企業はデータをすぐに復元できるよう、バックアップを取っておきましょう。いつ起こるか分からない災害に備え、データのバックアップは日ごろから定期的に行うことが必要です。

リモートワークの導入

　被災により従業員が出社できないときには、リモートワークが有効です。自宅のパソコンから社内のネットワークにアクセスできる状態を整えておくことで、オフィスへの通勤が難しい状況であっても、通常通り業務を行えます。

　リモートワークは各従業員が社外に分散して業務にあたるため、デメリットも多くあります。たとえばオフィスで机を並べて仕事をするよりも情報の共有や連携が難しい点や、労働状況が目に見えにくいため勤怠管理が正確にできないといった点があります。

　いざという時にすぐにリモートワークに切り替えられるよう、日ごろからリモートワーク体制を整えるとともに、実際に利用して経験を積むことが求められます。

BCP発動時の連絡体制

　災害などの緊急事態下では、メールや電話といった通信手段が断たれる可能性が高いです。通信手段が断絶すると、従業員の安否確認ができなくなるほか、事業再開にあたって従業員同士の連携や、顧客・取引先とのやりとりが不可能になります。

　こういったリスクに備え、企業は代替の連絡ツールを準備・確保しておくことが重要です。このとき、指揮系統を明確にしておくことも大切です。有事の際には誰が指揮を執り、どのような指揮系統なのかを事前にハッキリさせておくことで、いざというときにも、混乱をきたさずに業務復旧に取り掛かることができます。

CSIRTの設置

　CSIRTは「Computer Security Incident Response Team」の略で、「セキュリティ事故対応チーム」と訳すことができます。具体的には、コンピュータにおけるインシデントの原因を究明したり、二次被害を防止したりするための組織です。

　コンピュータインシデントとはネットワーク上で発生する障害のことで、具体的には「不正アクセス」や「情報流失」「マルウェアへの感染」などがあります。CSIRTはインシデント発生時の原因究明や解決はもちろん、インシデントを起こさないための予防にも取り組むためのチームです。

　CSIRTを社内に設置しておくことで、いつ起きるか分からないコンピュータインシデントに即時対応できます。つまり、CSIRTによってICTシステムの障害をすぐに取り除くことで、業務システムの復旧や維持が可能となり、ひいてはスムーズな事業の再開につながります。

「ICT-BCP」を策定する際のポイント

　より効果の高いICT-BCPを策定するためには、「ICT部門と経営層との連携」「ガイドラインの活用」「ICT-BCPの可視化」の3つのポイントを押さえる必要があります。それぞれの内容について解説します。

ICT部門と経営陣との危機感・情報の共有

　BCPの策定・実行にはICTが深く関わります 。そのため、ICTの知識は、BCP策定に責任を持つ経営層も精通しておく必要があります。さらにICT-BCP担当部署と経営層が情報や危機感を同一にすることで、より妥当で実効性の高いICT-BCPを練ることができます。

　情報や危機感の共有にあたっては、「事業インパクト分析」や「リスクアセスメント」が有効です。「事業インパクト分析」とは、業務中断における事業への影響や復旧・継続業務の優先順位の決定、目標達成期間、必要リソースなどを分析することです。

　一方、「リスクアセスメント」とは、企業に潜在するさまざまなリスクを特定し、可能な限り低減化するための取り組みです。事業インパクト分析やリスクアセスメントを行うことで、BCP策定で考えるべきさまざまなリスクの洗い出しが可能になります。

　この結果を踏まえることで、ICT-BCP部門と経営層は現実的な危機感や情報を共有することができます。このプロセスは、現実に即したICT-BCPの策定に必要です。

各種ガイドラインを参照する

　実効性の高いICT-BCPを策定するには、各種ガイドラインを参考にするのも有効な手段です。ガイドラインを参照すると、ICT-BCPへの理解を深めることができるだけでなく、より具体的な対応策をイメージしやすくなります。

　ICT-BCPのガイドラインは経済産業省や内閣府、内閣官房情報セキュリティセンターなど、さまざまな行政機関から発行されています。各機関のウェブサイトでも閲覧できます。

「ICT-BCP」の可視化

　ICT-BCPの可視化は、事業とICTの関係を正しく把握するために必要です。具体的には、以下の項目を明確にしておくことで、ICT-BCPの可視化が可能になります。

・ICTがどの業務に関係しているのか
・それぞれのICTの管理責任者は誰か
・現状のICTの課題や対応策
・災害時のICT復旧の見込みや対策

　これらのポイントを明確にしておくことで、社内全体でICT-BCPについて理解し、有事の際にも団結してICT復旧に取り組むことができます。

　ICT-BCPの可視化にあたっては、「事業インパクト分析」や「リスクアセスメント」を利用して企業リスクの洗い出しを行うのが有効です。次にマッピングを行い、リスクや事業に優先順位をつけることで、ICTと事業の現状について正しく把握しやすくなります。

「ICT-BCP」策定・運用の流れ

　ICT-BCPの策定の流れについて解説します。ICT-BCPは、一度策定したら終わりではありません。定期的に評価や見直しを行い、その結果を踏まえて更新するというサイクルを回し続けることが大切です。

情報収集・整理

　まずは、ICT-BCPの基本方針や対象範囲を決める必要があります。対象範囲の中から優先すべきシステムに順位をつけた後、ICT-BCP担当部門や経営層などの関係者間で合意を得ましょう。対象範囲と優先システムが決まったら、それぞれの対策に必要な情報の収集や整理を開始します。

情報分析・課題の特定

　次に情報分析や課題の特定を行います。このプロセスの最終目標は、有事に復旧を優先すべきシステムの決定を行うことです。まずは非常時に優先すべき業務を特定し、その業務を支えている業務システムやリソースを洗い出します。

　あわせて、各システムの目標復旧時間を設定します。これらの結果を踏まえ、各業務の重要度と実行可能な範囲をすり合わせながら、具体的に事業復旧の優先順位を割り振ります。

　復旧が最優先されるべきなのは最も重要な業務ですが、もし実現に長い時間を要するのであれば、他の実現可能な業務から取り組むのも1つの方法です。どの業務を優先させるかは企業によって異なるため、関係者間で認識をすり合わせることが大切です。

具体的な内容の策定・計画

　優先順位の高い業務から具体的な対応策を計画・決定していきます。策定すべき計画は「事前対策計画」「非常時対応計画」「教育・訓練計画」「維持改善計画」の4つです。それぞれに明確な対応手順を作成し、非常時の閲覧・共有方法についても定めておきます。

　「事前対策計画」とは、ICT-BCPを目標対策レベルに近づけるための計画です。現状のICT環境や予算を鑑みながら、ネットワーク・データベース・ハードウェアなどのICT分野別に具体的な対策を講じます。

　「非常時対応計画」とは、実際に非常事態が起こった場合の運用体制の計画です。復旧すべき情報システムの優先順位付けのほか、復旧手順や責任者・指揮系統を決めておきます。「教育・訓練計画」は、ICT-BCPを社内全体の定着化させるための訓練や教育の手順に関する計画です。「維持改善計画」とあわせて活用し、実践的なシミュレーションや、訓練を通して得た改善点をICT-BCPに反映させます。

事前対策・訓練の実施

　策定した「事前対策計画」や「教育・訓練計画」をもとに、実際に対策や訓練を実施します。平時から実践的なシミュレーションを行うことで、従業員が非常時にも各自で判断して動きやすくなります。さらに実地訓練を行うことで、実際の有事にも起こるであろう想定外の事態をイメージしやすくなります。

計画の評価・見直し

　ICT-BCPは定期的な評価や見直しを行い、必要であれば更新します。このとき、実際の訓練を通して得た改善点や修正点を活かすことが大切です。企業を取り巻くリスクや環境は日々変化するものであり、実情に即したICT-BCPを策定するためにも、定期的な見直しや更新を行いましょう。

実際にBCPが活用された事例を紹介

　2016年に発生した熊本地震に際し、BCPを活用することで企業ダメージの低減化に成功した事例を紹介します。ここでは、熊本に工場を有する「東京エレクトロン」「サントリーホールディングス（以下サントリー）」「本田技研工業（以下ホンダ）」を取り上げます。

東京エレクトロン株式会社のBCP事例

　東京エレクトロンは、半導体製造などを行う企業です。子会社である東京エレクトロン九州は熊本に主力工場や合志事業所が集中しており、地震によって被災しました。

　同社はBCPを活用することで、生産拠点の復旧に集中しました。BCPによって迅速な対応が可能となり、地震発生から約10日後の4月25日には、段階的な生産の再開に成功しました。

取引先と連携するBCP

　東京エレクトロンのBCPでは、復興プログラムを取引先と連携させています。たとえば取引先の生産拠点などの情報をデータベース化することにより、各部門ごとの被災状況の把握がスムーズになります。正確な被災状況を把握することで、復旧作業に優先順位をつけることができ、速やかな事業再開につながりました。

　製造業は、部品の仕入れ先などの取引先が被災すれば自社も事業を中断せざるを得ません。そのため、BCPへの取り組みは関連企業と緊密に連携して行うことが重要です。

サントリーのBCP事例

　サントリーはBCPに基づき、九州熊本工場の従業員の安否確認や、他地域での工場での代替生産に切り替えました。この取り組みにより、サントリーでは速やかな事業再開に成功しました。なお、被災したメイン工場の損傷は激しく、稼働可能になるまで数カ月を要しました。BCPによる代替生産に成功していなければ、企業ダメージは非常に深刻化したと推測できます。

安否確認システムを取り入れたBCP

　サントリーではBCPとして、災害発生時の従業員の安否確認システムを取り入れています。さらに同社では、災害時には速やかに災害対策本部を設置し、初動対応を行う体制が整っていました。その内容や手順は社内イントラネットに掲載されているため、従業員がいつでも確認し、能動的に取り組めるようになっています。

　なお、安否確認システムとは、災害発生と同時に、従業員に安否確認の通知を一斉に配信するシステムです。リアルタイムの集計機能付きのサービスもあり、従業員の安否確認を迅速に把握することで、その後の復旧対応を立てやすくなるというメリットがあります。

　災害発生後は時間が経つにつれて通信が混雑するため、速やかな安否確認体制を確保しておくことは、従業員の保護の面からも、その後の事業復旧の面からも重要です。なお、サントリーは初動対応に関する体制が整っていたことも、事業再開に大きく貢献しています。

　災害では誰が被災するか分かりません。そのため、たとえ担当者が不在であっても、安否確認システムが機能する体制や、誰もがBCPの対応策を確認できる体制を整備しておくことは、非常に重要といえます。

ホンダのBCP事例

　ホンダは熊本に、国内唯一の二輪車製造拠点である「熊本製作所」を有しています。熊本製作所は被災したものの、日ごろからBCPとして防災備蓄や避難訓練に万全を期していたことから、地震発生時は従業員全体で比較的冷静に対処することができました。

震災を経験しブラッシュアップされたBCP

　ホンダは危機発生時におけるグループ全体の存続を目的とし、2013年に「BCPポリシー」を策定しています。さらに同社は、実際の震災の経験を生かし、BCPの定期的なブラッシュアップに取り組んでいます。

　同社は「BCPポリシー」に基づいて、首都直下型地震や南海トラフ地震などの大規模地震による被害を具体的に想定し、全事業所の耐震工事を完了させています。さらに、各地における非常用通信網や災害備蓄品の整備にも万全を期しています。

　同社では年に2回、全社防災訓練を実施しているほか、全社対策本部や各地の事業所との連携訓練を年に1回開催しています。実践的な訓練を行うことで、BCPの有効性や改善点を定期的に見直す体制が整っています。定期的な訓練の実施は、従業員にBCPへの意識づけを行ううえでも有効です。

　実際に熊本製作所が被災したときも、BCPは被害の減少に役立ちました。耐震工事が完了していたことで損傷を抑えることができたほか、訓練の成果を生かした避難により、従業員は比較的落ち着いて行動できました。水や食料が十分に確保されていたことも安心材料の1つです。

　BCPは策定するだけでなく、実践や見直しを定期的に行うことで、より実効性の高いものにできるということが分かります。各企業は、実際の経験や訓練を活かしたブラッシュアップに取り組むことが重要です。

BCP策定におけるICTの重要性

　いつ起きるか分からない災害に備え、企業はBCPを策定することが求められます。BCP策定の必要性は「設備」「人的リソース」「資金」といった物理的なものだけに留まりません。高度なICT技術が発達している現代においては、情報損失や不正アクセスに備え、ICT-BCPを万全にしておくことも必要です。

　BCPは策定するだけでなく、訓練や見直し・更新を定期的に行うことで、より現状に即したものにすることができます。「策定」「訓練」「評価・見直し」のBCPサイクルを回し、さまざまな経営リスクに備えましょう。