IT-BCPとは？ 突然の自然災害に備えた、ITシステムの事業継続計画

　COVID-19によるパンデミックで、不測の事態が事業継続に大きな影響を及ぼすことを実感した企業も多いのではないでしょうか。2016年の熊本地震や2019年の台風19号被害、2024年の能登半島地震など、大規模な自然災害の発生が続いています。さらにインフラやサプライチェーンを標的としたサイバー攻撃や大規模システム障害なども相次いでいます。

　そのため現在では、事業継続を自然災害やテロだけでなく、サイバー攻撃や大規模システム障害、感染症によるテレワーク対応など、企業が不測の緊急事態に遭遇したときに対応するための体制や対策と捉えるようになりました。

　突然の緊急事態に対応するためには、事業を継続するための計画策定はもちろん、日々教育・訓練を実施し、あらかじめ対策を練っておく必要があります。こうした取り組みは「事業継続マネジメント（BCM：Business Continuity Management）」と呼ばれます。

　対策の一環として「事業継続計画（BCP: Business Continuity Plan）」を策定することが重要です。担当者には計画内容を継続的に改善するための取り組みおよび、それを円滑に行うための仕組み（BCMS: Business Continuity Management System）の構築づくりが求められます。

　日本では、1995年の阪神淡路大震災や2001年の米国同時多発テロなどを受け、2003年に開かれた中央防災会議にて、BCPの重要性が議論され始めました。同会議の内容を基に、2005年には内閣府が「事業継続ガイドライン」を公表。さらに、2011年の東日本大震災以降は、事業を継続するためのITシステムの復旧の重要性が注目されるようになり、IT-BCP（Information Technology - Business Continuity Plan：ITシステムの事業継続計画）という観点を取り入れたBCM推進の機運が高まっています。

　　　IT-BCPの対象となる領域

　IT-BCPの観点を取り入れた事業継続のマネジメントを自社で推進していくにはどうしたらよいのでしょうか？参考となるのが、国内の事業継続に関するガイドラインやフレームワークです。主なものとして、以下が挙げられます。

• ●　事業継続ガイドライン(内閣府)
• ●　事業継続計画(BCP)策定ガイドライン(経済産業省)
• ●　ITサービス継続ガイドライン(経済産業省、IPA)
• ●　中小企業BCP策定運用指針(中小企業庁)
• ●　サイバーセキュリティ経営ガイドライン(経済産業省)

　国際標準としてはBCMSを規格化した「ISO 22301」があります。ISO22301は、事業継続に関するベストプラクティスに基づき、有効なBCMSの構築や運用をガイドするフレームワークです。

　事業継続ガイドラインでは、事業継続のための対策の立て方や見直し・改善のポイント、リスクが事業継続に与える影響度の分析、対応すべきリスクの優先度の評価、教育・訓練方法などを網羅的に解説しています。

　また、ITサービス継続ガイドラインでは、IT-BCPの具体策を解説しています。例えば、システム構成という観点から、システムや通信回線の冗長化、データセンター間でのデータのリモートコピー、ローカル環境でのバックアップの重要性などが含まれます。

　これらのガイドラインやフレームワークを参考にしながら、企業は戦略策定から見直し・改善までの一連のプロセスとして取り組みを行うことが重要です。BCPを策定するべき対象も、人やプロセス、技術、システムと多岐にわたりますが、今回は、ITシステムやITサービスにおける「技術的対策」と「運用的対策」に絞って、ポイントを整理します。

　技術的対策は、「ITサービス継続ガイドライン」のなかで「事故・災害への対策を実現するためのシステム構築技術」と定義されています。そこでのポイントは、代替システム（バックアップなど）を構築することです。代替システム（バックアップ）には、データを同期して保存する「データレプリケーション方式」、さまざまなシステムに対応するための「システムレイヤ方式」があります。

　このように代替システムは重要ですが、それだけではBCP対策として十分ではありません。代替システムへのアクセスを可能にするためのネットワーク回線の確保や、既存サイトとバックアップサイトの2サイト運用も重要です。

　復旧という観点においても、ネットワーク回線の確保は必須となります。たとえデータを保護しても、そのデータにアクセスするためのネットワークが切断されていては復旧できないためです。考慮すべきネットワークには「データ複製用」「利用者」「組織外接続用」「開発用」「監視用」「リモート保守用」の6つがあります。

　一方、運用的対策は、リソース（経営資源）系の対策と、マネジメント系の対策に大別されます。リソース（経営資源）系の対策では、従業員、ワークスペース、外部サービスについて事業継続のための対策を講じる必要があります。例えば、従業員については、以下を考慮して対策を練ることが求められます。

• ●　従業員とその家族の安否や所在の確認方法
• ●　連絡網の整備
• ●　連絡を必要とする外部組織
• ●　対策本部と各拠点組織の要員の氏名
• ●　システム運用の不測の事態に備えた代替要員
• ●　従業員の招集基準
• ●　情報システム運用部門の職務分掌
• ●　適切な教育・訓練

　マネジメント系の対策では、サービスレベル管理、テスト・点検、監査を行います。サービスレベル管理とは、情報システムの稼動状況に応じた各業務システムのサービスレベルについて、シナリオをあらかじめ策定しておくことです。そこでは、情報システムが全く稼動せず業務を手作業で行う場合や、バックアップシステムによって一部の業務が稼動している場合など、さまざまなケースを想定しておきます。

　運用的対策のサンプルとして、ある半導体製造企業の事例を紹介します。同社では、震度6強にも対応できるよう耐震性を強化したり、量産工場を複数設けたりした結果、熊本地震後1カ月で完全復旧までこぎつけることができました。早期の生産再開は、まさに運用的対策の効果といえるでしょう。

　スピーディーで柔軟な対応を実現する具体的な方法は多岐にわたります。一例としてネットワークの観点では、SD-WANといった新しい技術を活用することも有効です。SD-WANを使えば、複数の回線を1つの仮想的な回線として管理し、アプリケーションに応じて接続する回線を柔軟に制御できるようになります。

　モバイル回線とのデュアル構成にしておけば、固定回線で通信ができなくなった際のバックアップとして機能します。閉域網を経由することなく、拠点から直接インターネットに通信させる方法であるインターネットブレイクアウトを実施しておけば、本社の通信機能が麻痺した場合に拠点の通信も止まってしまうことを防ぐことができます。

　事業継続は全社的に行うべき取り組みであり、各社ごとに対策の立て方や方針、投じられる予算の額は変わってきます。また、BCP発動後も、被害の状況によってとるべき対応策は変化するものです。適切な対策を立てることで、社員の安全を確保するとともに、自社が被る経済的損失を最小限に抑える体制の構築を目指していきましょう。