ひとり情シスのためのBCP（事業継続計画）策定ガイド
BCPの基礎からビジネスインパクト分析、リスクアセスメント、IT-BCPの策定手順、代替手段の確保、訓練計画まで、ひとり情シスが主導するBCP策定を実践的に解説します。
1. BCPとは何か
BCP（Business Continuity Plan：事業継続計画）は、自然災害、サイバー攻撃、設備障害などの緊急事態が発生した際に、事業の継続または早期復旧を可能にするための計画です。中小企業にとっても、BCPは経営の根幹に関わる重要な取り組みです。
BCPとDR（災害復旧）の違い
| 項目 | BCP（事業継続計画） | DR（Disaster Recovery：災害復旧） |
|---|---|---|
| 対象範囲 | 事業全体（IT、人員、施設、サプライチェーン） | ITシステムの復旧に限定 |
| 目的 | 事業の継続と早期復旧 | ITシステムの復旧 |
| 主導者 | 経営層（情シスは支援） | 情シス部門 |
| 計画の範囲 | 代替拠点、代替人員、通信手段、顧客対応 | バックアップ、リストア、代替サーバー |
| 関係 | BCPの中にDRが含まれる | BCPの一部（ITインフラに関する部分） |
ポイント：ひとり情シスが直接策定するのは「IT-BCP」（ITに関するBCPの部分）です。しかし、IT-BCPは経営全体のBCPと整合している必要があります。経営層にBCP策定の重要性を伝え、全社的な取り組みとして推進してもらうよう働きかけましょう。ひとり情シスの役割は、IT-BCPの策定と実行を主導しながら、全社BCPへの技術的なアドバイスを提供することです。
中小企業にBCPが必要な理由
- 事業存続のリスク：中小企業は大企業に比べて経営基盤が脆弱で、長期間の事業停止が倒産に直結する可能性が高い
- 取引先からの要求：大手取引先がサプライチェーンリスク管理の一環として、取引先にBCP策定を求めるケースが増加
- 法規制：一部の業界（金融、医療、重要インフラ）ではBCP策定が法的に要求される
- サイバー攻撃の増加：ランサムウェア攻撃は企業規模を問わず発生し、中小企業は特に標的にされやすい
- 自然災害の頻発：地震、台風、豪雨などの自然災害は日本では避けられないリスク
📋 具体例
BCPの有無が明暗を分けた事例：2024年のランサムウェア攻撃で、社員30名の製造業F社はBCPが未策定でした。バックアップはNASに保存していましたが、NASもランサムウェアに暗号化され、全データを失いました。事業復旧に3ヶ月を要し、その間の売上損失は約3,000万円。一方、同業種のG社はBCPに基づきオフサイトバックアップ（クラウド）を保有しており、3日で業務を復旧できました。BCPの有無が企業の存続を左右する典型的な事例です。
2. ビジネスインパクト分析（BIA）の実施方法
BIA（Business Impact Analysis）は、事業が中断した場合の影響を定量的・定性的に分析するプロセスです。BCPの土台となる重要なステップです。
BIAの実施手順
- 業務プロセスの洗い出し：全社の主要業務プロセスを一覧化
- 各業務の重要度評価：停止した場合のビジネスインパクトを評価
- 許容停止時間（MTPD）の設定：各業務がどのくらいの期間停止を許容できるか
- ITシステムとの紐付け：各業務が依存するITシステムを特定
- RTO/RPOの設定：ITシステムごとの復旧目標を設定
BIA分析シートの例
| 業務プロセス | 担当部門 | 依存ITシステム | 停止時の影響 | MTPD | RTO | RPO |
|---|---|---|---|---|---|---|
| 受注処理 | 営業 | 基幹システム、メール | 売上停止、顧客信用低下 | 4時間 | 2時間 | 1時間 |
| 出荷・配送 | 物流 | 基幹システム、WMS | 納品遅延、違約金発生 | 8時間 | 4時間 | 4時間 |
| 経理・決済 | 管理 | 会計システム、ネットバンキング | 支払遅延、取引先への影響 | 24時間 | 8時間 | 24時間 |
| 給与計算 | 人事 | 給与システム | 給与支払遅延（月末のみ緊急） | 3日 | 24時間 | 月次 |
| 顧客問い合わせ | サポート | メール、電話、CRM | 顧客満足度低下 | 4時間 | 2時間 | 24時間 |
| 社内コミュニケーション | 全社 | Teams、メール | 情報共有の停滞 | 24時間 | 8時間 | - |
ポイント：BIAは情シスだけで完結する作業ではありません。各部門の責任者にヒアリングを行い、「業務が止まった場合、何時間後に深刻な影響が出るか」「金額に換算するとどの程度の損失になるか」を確認してください。経営層にBCPの必要性を理解してもらうためにも、金額ベースでのインパクト評価は非常に効果的です。
3. リスクアセスメント
リスクアセスメントでは、事業継続を脅かすリスクを特定し、その発生可能性と影響度を評価します。
リスクカテゴリ
| カテゴリ | 具体的なリスク | 発生可能性 | 影響度 |
|---|---|---|---|
| 自然災害 | 地震（震度6以上） | 中（地域による） | 最大 |
| 自然災害 | 台風・豪雨による浸水 | 中～高 | 大 |
| 自然災害 | 大雪・雷 | 中 | 中 |
| サイバー攻撃 | ランサムウェア感染 | 高 | 最大 |
| サイバー攻撃 | 標的型メール攻撃 | 高 | 大 |
| サイバー攻撃 | DDoS攻撃（Webサービス公開時） | 中 | 中 |
| 設備障害 | サーバーのハードウェア障害 | 中 | 大 |
| 設備障害 | ネットワーク機器の故障 | 中 | 大 |
| 設備障害 | 停電（長時間） | 低～中 | 大 |
| 設備障害 | 空調故障によるサーバー室過熱 | 低 | 大 |
| 人的リスク | ひとり情シスの長期不在（病気、事故） | 低～中 | 最大 |
| 人的リスク | ひとり情シスの退職 | 中 | 最大 |
| 人的リスク | 内部不正（データ持ち出し） | 低 | 大 |
| 外部要因 | インターネット回線障害 | 中 | 大（クラウド利用時） |
| 外部要因 | クラウドサービスの長時間障害 | 低 | 大 |
⚠️ 注意
ひとり情シスにとって最大のリスクは「自分自身が不在になること」です。病気、事故、退職など、自分がいなくなった場合に誰がITを管理するのかを真剣に考えておく必要があります。IT管理の手順書を整備し、最低限の運用ができる「副担当者」を社内に育成しておくことが、最も重要なリスク対策の一つです。
リスク対策マトリクス
各リスクに対して「予防策」「検知策」「対応策」「復旧策」を整理します。
📋 具体例
ランサムウェア対策のマトリクス例：【予防策】UTMの導入、メールフィルタリング、セキュリティ意識教育、OS/ソフトウェアの最新化、不要なポートの閉鎖。【検知策】EDR（Endpoint Detection & Response）の導入、ファイルサーバーの異常検知（大量ファイル変更の監視）、不審なプロセスの監視。【対応策】感染端末のネットワーク隔離、全PCのネットワーク切断判断基準、セキュリティ専門家への連絡（事前に連絡先を確保）、警察への届出。【復旧策】オフサイトバックアップからのリストア、クリーンなOS再インストール、段階的な業務復旧。
4. IT-BCP策定手順
IT-BCPは、BIAとリスクアセスメントの結果に基づいて策定します。ひとり情シスが実践できる現実的なIT-BCPのテンプレートを提供します。
IT-BCPドキュメントの構成
| 章 | 内容 | 頁数目安 |
|---|---|---|
| 1. 基本方針 | IT-BCPの目的、対象範囲、前提条件 | 1～2ページ |
| 2. 体制 | 緊急時の連絡体制、役割分担 | 1～2ページ |
| 3. リスクと対策 | 主要リスクと予防策の一覧 | 2～3ページ |
| 4. 緊急時対応手順 | シナリオ別の対応手順 | 5～10ページ |
| 5. 復旧手順 | システム別の復旧手順書 | 5～10ページ |
| 6. 連絡先一覧 | 社内・社外の緊急連絡先 | 1～2ページ |
| 7. 訓練計画 | 訓練スケジュールと内容 | 1～2ページ |
| 付録 | 構成図、IP管理表、パスワード管理先 | 必要に応じて |
緊急連絡体制の整備
障害発生時の連絡体制を事前に明確にしておきます。
| 役割 | 担当者 | 連絡先 | 判断権限 |
|---|---|---|---|
| IT責任者（一次対応） | 情シス担当（自分） | 携帯：090-xxxx-xxxx | 技術的な初動判断 |
| IT副担当者 | 総務部 山田さん | 携帯：090-yyyy-yyyy | 情シス不在時の窓口 |
| 経営判断者 | 代表取締役 | 携帯：090-zzzz-zzzz | 業務停止/事業継続の判断 |
| 保守ベンダー | XX情報サービス | TEL：03-xxxx-xxxx | 技術支援 |
| ISP | XXプロバイダー | TEL：0120-xxx-xxx | 回線障害対応 |
| セキュリティ専門家 | XX社 or IPA | TEL：03-yyyy-yyyy | セキュリティインシデント支援 |
ポイント：連絡先一覧は必ず紙でも印刷して保管してください。大規模な障害時には、メールもチャットも使えない可能性があります。また、ひとり情シスが不在の場合に備え、「IT副担当者」が最低限の初動対応（ベンダーへの連絡、経営層への報告）ができるようにしておくことが重要です。
シナリオ別対応手順
主要なシナリオごとに対応手順を事前に策定します。
シナリオ1：ランサムウェア感染
- 感染を確認したら直ちに全PCのLANケーブルを抜く/Wi-Fiを切断するよう全社アナウンス
- 感染範囲の特定（どのサーバー、どのPCが暗号化されたか）
- 経営層に報告し、事業継続/停止の判断を仰ぐ
- セキュリティ専門家に連絡し、支援を依頼
- 警察サイバー犯罪窓口に届出
- バックアップからの復旧計画を立案（オフサイトバックアップを使用）
- クリーンな環境でシステムを復旧
- 段階的に業務を再開
シナリオ2：サーバー室の浸水/火災
- 安全確保を最優先（人命第一）
- 可能であればサーバーのシャットダウン（電気系統のショート防止）
- 被害状況の確認
- 経営層に報告
- クラウドバックアップからの復旧計画を立案
- 代替機器の手配（レンタル/購入）
- 代替環境でシステムを復旧
シナリオ3：ひとり情シスの長期不在
- IT副担当者が窓口を担当
- 日常運用は手順書に従って実施
- 技術的な問題は保守ベンダーにエスカレーション
- 重要なパスワードはパスワードマネージャー（または金庫保管の紙）から取得
- 長期化する場合は外部の支援要員（派遣、SES）を検討
⚠️ 注意
ランサムウェア感染時に「身代金を支払う」ことは推奨されません。支払ってもデータが復号される保証はなく、支払い実績がある企業は再度標的にされやすくなります。また、反社会的組織への資金提供と見なされる法的リスクもあります。唯一の確実な対策は、適切なバックアップからの復旧です。
5. 代替手段の確保
BCPの核心は「代替手段」の確保です。主要な手段が使えなくなった場合に、どのような代替手段で事業を継続するかを事前に計画します。
リモートワーク環境の整備
オフィスが使用できない場合の最も有効な代替手段は、リモートワーク環境です。
| 必要な要素 | 平常時の準備 | 緊急時の運用 |
|---|---|---|
| VPN接続 | 全社員のVPN設定を事前に完了 | 自宅からVPN接続で社内リソースにアクセス |
| クラウドサービス | M365/Google Workspaceの利用定着 | クラウドサービスで業務継続 |
| コミュニケーション | Teams/Zoomの利用習慣 | オンラインで会議・連絡 |
| ノートPC | 全社員にノートPCを配備（またはBYOD対応） | 自宅で業務用PCを使用 |
| 電話 | Teams電話/クラウドPBXの導入 | 会社番号での発着信が自宅でも可能 |
📋 具体例
リモートワーク対応の実例：社員35名のH社では、コロナ禍を契機にリモートワーク環境を整備しました。M365 Business Premium（全社員にライセンス配布）、FortiGate VPN（全社員の接続設定済み）、Teams電話（会社の代表番号をTeamsで受発信）。2024年の台風接近時には、前日夕方に「翌日は全社リモートワーク」と判断し、業務の停止なく事業を継続できました。この環境整備に要した追加コストは月額約5万円（Teams電話の通話料含む）です。
クラウド活用による可用性向上
- メール：Exchange Online（SLA 99.9%）。オンプレメールサーバーの障害リスクを排除
- ファイル共有：SharePoint Online/OneDrive。オフィス外からもアクセス可能
- 業務アプリケーション：SaaS化できるものはSaaSに移行（会計、勤怠、CRMなど）
- バックアップ：クラウドバックアップでオフサイトコピーを自動確保
通信手段の多重化
緊急時に通信手段が1つしかないと、それが使えなくなった時点で連絡不能になります。
| 通信手段 | 用途 | 障害時の代替 |
|---|---|---|
| 固定電話 | 代表番号、顧客対応 | 携帯電話への転送設定 |
| 携帯電話 | 緊急連絡 | 別キャリアのスマホ（デュアルSIM） |
| メール | 日常連絡 | Webメール、別メールサービス |
| Teams/Slack | 社内コミュニケーション | LINEグループ（緊急用） |
| インターネット回線 | 全クラウドサービス | モバイルルーター（LTE/5G） |
ポイント：緊急時の連絡手段として「個人LINEグループ」を作っておくことは非常に有効です。会社のメールもTeamsも使えない状況で、最も多くの人が持っている連絡手段がLINEです。もちろん機密情報のやり取りには使いませんが、「全員無事か」「業務再開の目処」などの緊急連絡には十分です。個人情報の取扱いに配慮しつつ、緊急用の連絡グループを事前に作成しておきましょう。
6. 訓練計画と実施
BCPは策定しただけでは意味がありません。定期的な訓練によって実効性を検証し、問題点を改善していくことで、本当の緊急事態に対応できる力が身につきます。
訓練の種類
| 訓練種別 | 内容 | 参加者 | 所要時間 | 頻度 |
|---|---|---|---|---|
| 机上演習（テーブルトップ） | シナリオを読み上げ、対応を議論 | 経営層＋部門長＋情シス | 2～3時間 | 年2回 |
| バックアップリストアテスト | 実際にバックアップからデータを復元 | 情シス | 半日 | 四半期 |
| リモートワーク訓練 | 全社員が在宅勤務で1日業務 | 全社員 | 1日 | 年1回 |
| インシデント対応訓練 | 模擬的なセキュリティインシデントへの対応 | 情シス＋関係部門 | 半日 | 年1回 |
| 全社避難訓練（IT連携） | 災害時のIT機器の安全停止、再起動訓練 | 全社 | 1～2時間 | 年1回 |
机上演習の進め方
机上演習（テーブルトップエクササイズ）は、最も手軽にBCPの実効性を検証できる方法です。
- シナリオの準備：具体的な障害シナリオを作成（例：金曜午後にランサムウェア感染が発覚）
- 状況の読み上げ：ファシリテーター（情シス）がシナリオを段階的に読み上げる
- 参加者の議論：「この状況で何をするか」「誰に連絡するか」「業務はどう継続するか」を議論
- 追加情報の投入：「バックアップも暗号化されていることが判明」などの追加情報で展開を変える
- 振り返り：対応の適切さ、BCPの改善点を議論
- 改善アクションの策定：発見された問題点に対する改善策をリスト化
📋 具体例
机上演習シナリオ例：「月曜朝9時、出社した社員から『PCが起動しない』『ファイルが開けない』という報告が相次ぐ。確認したところ、ファイルの拡張子が.lockedに変わっており、デスクトップに英語の脅迫文が表示されている。この時点で5台のPCとファイルサーバーの感染を確認。」このシナリオに対して、1) 最初の30分で何をするか？ 2) 経営層にどう報告するか？ 3) 社員にどう指示するか？ 4) 業務をどう継続するか？ 5) バックアップからの復旧はどのくらいかかるか？を議論します。
年次見直しの実施
BCPは「生きたドキュメント」であり、環境の変化に合わせて定期的に更新する必要があります。
- 見直しのトリガー：
- 年次の定期見直し（最低年1回）
- 組織変更（人事異動、退職、新入社員）
- ITシステムの変更（サーバー追加、クラウド移行）
- 実際のインシデント発生後
- 訓練で発見された問題点がある場合
- 見直し項目：
- 連絡先一覧の最新化
- ITシステム構成の反映
- バックアップ体制の確認
- RTO/RPOの妥当性検証
- 新しいリスクの追加
⚠️ 注意
BCPの最も多い失敗は「策定したまま放置すること」です。担当者が変わっても更新されず、連絡先は退職者のまま、対象システムは既にリプレース済み、というBCPは緊急時に全く役に立ちません。BCPの見直しを年間のIT運用カレンダーに組み込み、必ず実施する仕組みを作ってください。
ポイント：完璧なBCPを目指す必要はありません。「まず作る、そして訓練する、そして改善する」のサイクルを回すことが重要です。最初は数ページの簡単なIT-BCPでも構いません。緊急連絡先と、主要シナリオへの対応手順があるだけでも、何もないよりはるかに良い状態です。BCPは100点を目指すのではなく、0点を避けることから始めましょう。