ITシステムの停止は、情報システム部門だけの問題ではありません。受発注・顧客対応・社内連絡・決済・在庫管理など、企業活動の多くはITに支えられています。そのため、災害・サイバー攻撃・システム障害が発生してITシステムが停止すると、事業そのものが止まるリスクがあります。
とはいえ、「何から整備すればよいのかわからない」と悩む担当者も多いでしょう。本記事では、IT-BCPの基本から策定手順やチェックリスト、訓練の進め方までわかりやすく解説します。
IT-BCPとは？ IT領域に特化した事業継続計画
IT-BCPは、BCP(事業継続計画)の中でも、情報システムやITサービスの継続・復旧に焦点を当てた計画です。
災害・サイバー攻撃・システム障害などによりITシステムが停止すると、受発注・顧客対応・在庫管理などの業務に影響が及ぶ可能性があります。IT-BCPでは、こうした事態に備えて、「どのシステムを、どの順番で、どの水準まで復旧するか」を事前に定めます。
IT-BCPは、単にサーバやデータを復旧するための計画ではありません。業務を継続・再開するために必要なシステム・ネットワーク・認証基盤・クラウドサービス・委託先との連携まで含めて、整理する点が特徴です。
参考：政府機関等における情報システム運用継続計画ガイドライン（第3版）｜内閣官房
IT-BCPの対象範囲と想定リスク
IT-BCPでは、業務アプリケーションだけでなく、以下のようなIT環境全体を対象に検討する必要があります。
- サーバ
- ストレージ
- OS
- ミドルウェア
- ネットワーク
- 電源
- データセンター
- クラウドサービス
- 認証基盤
- 運用・保守体制
これらを整理することで、システム停止時にも重要業務を継続・復旧しやすくなります。また、想定リスクとしては、以下のようなものが挙げられます。
- 地震や水害などの自然災害
- 停電
- ネットワーク障害
- ハードウェア障害
- ランサムウェア
- 不正侵入
- DDoS攻撃
自然災害や設備障害だけでなく、サイバー攻撃によるシステム停止も想定しておくことが重要です。
たとえば、販売管理システムを復旧する場合、データベース・認証・社内LAN・委託先の保守対応まで確認する必要があります。これらの確認が不十分だと、システムを復旧できても、実際に業務を再開できない可能性があります。
BCPとIT-BCPの違い
BCPは、企業全体の事業継続を目的とした計画です。自然災害・事故・サイバー攻撃などの緊急事態が発生した際に、「どの事業を優先して継続・復旧するか」を定めます。
一方、IT-BCPは、BCPのうちIT領域を具体化する計画です。BCPで「受注業務を早期に再開する」と決めても、販売管理システム・ネットワーク・端末の復旧手順が定められていなければ、実現は難しくなります。
つまり、BCPが「どの事業を守るか」を決める計画であるのに対し、IT-BCPは「その事業を支えるITをどう復旧するか」を考えます。両者は別々に考えるのではなく、復旧目標や優先順位を整合させることが重要です。
参考：防災情報のページ｜内閣府
DR・バックアップとの違い
DRは、Disaster Recoveryの略で、災害や重大障害が発生した際にシステムを復旧するための仕組みや計画を指します。バックアップは、データのコピーを取得・保管し、必要に応じて復元するための対策です。
一方、IT-BCPは、DRやバックアップを含めて「業務継続のために何を優先し、誰が、どの手順で、どの水準まで復旧するか」を定める計画です。
バックアップがあっても、復元時間や環境、連絡体制が未整備だと業務再開に時間がかかる可能性があります。そのため、バックアップはIT-BCPの一部であり、それだけで十分とはいえません。
IT-BCPが必要とされる背景
IT-BCPが必要とされる背景には、企業活動のデジタル依存度の高まりがあります。基幹システム・メール・クラウドストレージ・認証基盤などが停止すると、社内外の連絡や顧客対応・受発注などの業務が滞る可能性があります。
また、自然災害だけでなく、ランサムウェアや不正侵入などのサイバー攻撃によって事業活動が停止するリスクも無視できません。サプライチェーン上の委託先や外部サービスが影響を受けた場合、自社システムが稼働していても業務を継続できないケースがあります。
IT環境を復旧するだけでは、必ずしも事業再開にはつながりません。業務部門・情報システム部門・経営層・委託先が復旧目標を共有し、実際に動ける計画として整備しておくことが重要です。
IT-BCPで決めるべき主な項目
IT-BCPでは、まず対象とする業務やシステムを明確にし、想定する危機的事象を整理します。そのうえで、被害想定・復旧優先度・復旧目標・対応体制・連絡手順・委託先との役割分担を決めていきます。
主に検討すべき項目は、次のような内容です。
- IT-BCPの基本方針
- 対象とする業務・システム
- 想定する災害・障害・サイバー攻撃
- 重要システムの復旧優先度
- RTO・RPO・RLOなどの復旧目標
- 障害発生時の連絡体制
- 復旧手順と担当者
- 委託先・クラウド事業者との連携
- 教育・訓練・定期的な見直し
計画は作成して終わりではありません。訓練を通じて実効性を確認し、システム構成や業務内容の変化に合わせて更新する必要があります。
参考：政府機関等における情報システム運用継続計画ガイドライン（第3版）｜内閣官房
重要業務・重要システムの優先順位
IT-BCPでは、すべてのシステムを同じ優先度で復旧するのではなく、事業への影響が大きい業務から順に整理します。まず、BCPで定めた重要業務を確認し、「その業務がどの情報システムに依存しているか」を洗い出しましょう。
このとき、業務アプリケーションだけを見ると優先順位を誤る可能性があります。認証基盤・DNS・ネットワーク・クラウドサービス・監視システムなどは、複数の業務システムの前提になっている場合があるためです。
たとえば、ECサイトを優先復旧対象にする場合、Webサーバだけでなく決済・在庫管理・認証・DNSなども確認する必要があります。復旧優先度は、業務部門と情報システム部門が協議し、実際の業務影響を踏まえて決めることが重要です。
RTO・RPO・RLOと復旧目標の設定
IT-BCPでは、復旧目標を具体的に設定する必要があります。その際に使われる代表的な指標が、以下のRTO・RPO・RLOです。
【RTO（目標復旧時間）】
● システムや業務を、どのくらいの時間内に復旧させるかを示す指標
例：受注システムを4時間以内に再開する
【RPO（目標復旧時点）】
● どの時点のデータまで戻せればよいかを示す指標
例：直近1時間前までのデータであれば許容する
【RLO（目標復旧レベル）】
● 復旧後に、どの業務範囲・処理能力・サービス水準まで戻すかを示す指標
例：初日は主要顧客の受注登録のみ再開し、翌日以降に通常処理へ戻す
「RTOを短く」「RPOを小さく」「RLOを高く」設定するほど、冗長化やDR環境、運用体制にかかるコスト・負荷は大きくなります。業務への影響や代替手段、技術的制約、委託先の対応範囲を踏まえて現実的な復旧目標を設定しましょう。
IT-BCPの策定手順
IT-BCPの策定では、まず「どの業務を止められないか」を整理し、関連するシステムや外部サービスを洗い出します。そのうえで、想定するリスク・復旧優先度・復旧目標・代替手段・連絡体制・訓練方法を決めていきます。情報システム部門だけで完結させず、業務部門・経営層・委託先・クラウド事業者との役割分担を明確にすることが重要です。
対象システムの洗い出しとリスク評価
IT-BCPを策定する際は、サーバや業務アプリケーションだけでなく、重要業務を支える要素全体を対象にしましょう。たとえば、販売管理システムを対象にする場合は、以下の項目まで確認する必要があります。
- 在庫管理
- EDI（Electronic Data Interchange）
- 認証基盤
- ネットワーク
- 端末
- メール
- クラウドサービス
- 保守委託先
洗い出し作業では、システム台帳やネットワーク構成図を最新化し、停止時の業務影響を確認します。すべてのシステムを同じ優先度で復旧するのではなく、業務への影響度や復旧に必要な時間を踏まえて優先順位を決めることがポイントです。
復旧手順・連絡体制・代替手段の整備
続いて、復旧手順・連絡体制・代替手段を整備します。まず、復旧手順には以下の対応を含めましょう。
- 障害の検知
- IT-BCPの発動判断
- 初動対応
- 被害状況の確認
- 関係者への連絡
- 復旧作業
- 代替運用への切り替え
- 通常運用への復帰
単にサーバを復元する手順だけでは、実際の非常時に判断や連絡が滞る可能性があります。
連絡体制では、情報システム部門・業務部門・経営層・CSIRT・委託先・クラウド事業者の連絡先を整理します。休日・夜間の連絡方法や代替担当者も、確認が必要です。代替手段としては、手作業運用・別回線・代替拠点・バックアップ環境などを検討します。
IT-BCPチェックリスト｜策定前に確認すべき項目を解説
IT-BCPを策定する前に、現状の準備状況を確認しておくと、抜け漏れを防ぎやすくなります。主な確認項目は次のとおりです。
- IT-BCPの対象範囲と基本方針は決まっているか
- 重要業務と対象システムの関係を整理しているか
- システム台帳・機器台帳・構成図は最新か
- システム停止時の業務影響を把握しているか
- 復旧優先度・目標復旧時間・目標復旧レベルを設定しているか
- バックアップの取得頻度・保管場所・復旧手順を確認しているか
- 社内外の連絡先・エスカレーション先は最新か
- 委託先やクラウド事業者との責任分界点を確認しているか
- システム停止時の代替運用を業務部門と合意しているか
- 教育・訓練と定期的な見直しの仕組みがあるか
なお、チェックリストは確認して終わりではありません。業種・企業規模・システム構成に応じて項目を調整し、訓練や障害対応の結果を反映して更新することが大切です。
IT-BCP訓練の進め方とシナリオ例
IT-BCPは、文書を作成しただけでは実効性を判断できません。訓練では、目的・対象システム・参加者・想定シナリオ・確認項目・評価方法を決めたうえで実施します。
最初は、手順書を確認する机上訓練から始めると進めやすくなります。その後、連絡訓練・バックアップ復旧訓練・代替運用訓練へと段階的に広げましょう。具体的なシナリオの例としては、次のようなものが考えられます。
- ランサムウェア感染により基幹システムが利用できない
- データセンターの停電で業務システムが停止する
- 認証基盤やVPNが停止し、社内システムへ接続できない
- クラウドサービス障害でメールやファイル共有が使えない
- 拠点被災により代替拠点や代替回線へ切り替える
- 運用担当者の不足により通常の保守体制を維持できない
訓練後は、連絡先・判断基準・復旧手順・代替運用・委託先対応・バックアップ復旧結果を振り返り、計画に反映します。
IT-BCP訓練で確認すべきポイント
IT-BCP訓練では「手順どおりに作業できたか」だけでなく、「非常時に判断・連絡・復旧・代替運用が機能するか」を確認します。特に重要な確認ポイントは、次の3点です。
- 発動の判断基準が実際に使えるか
- 休日・夜間でも関係者へ連絡できるか
- 経営層や業務部門へ必要な情報が伝わるか
また、「バックアップから復旧できるか」「復旧にかかった時間が目標復旧時間に対して妥当か」「代替運用中にデータの重複や欠落が起きないか」も確認します。訓練結果は「できた・できなかった」で終わらせず、手順書や連絡体制の改善につなげることが重要です。
IT-BCPのガイドライン・テンプレートを確認できる場所
IT-BCPを策定する際は、公的機関が公開しているガイドラインやテンプレートを確認すると、必要な項目を整理しやすくなります。
まず確認したいのは、国家サイバー統括室の「政府機関等における情報システム運用継続計画ガイドライン」です。情報システム運用継続計画の考え方・策定手順・復旧優先度・対応計画・教育訓練などを確認できます。付録には、計画書作成時に参考となる構成例も掲載されています。
サイバー攻撃への備えを強化したい場合は、経済産業省の「サイバーセキュリティ経営ガイドライン」がおすすめです。通常のBCPとの関係を整理する場合は、内閣府の「事業継続ガイドライン」も確認しておくとよいでしょう。
まとめ｜IT-BCPは重要システムの棚卸しから始めよう
IT-BCPは、災害・サイバー攻撃・システム障害などでITシステムが停止した際に、重要業務を継続・復旧するための計画です。対象システムを洗い出し、リスク評価や復旧優先度、RTO・RPO・RLOなどを事前に整理することで非常時の混乱を抑えられます。
策定後は訓練やチェックリストを活用し、業務やシステム構成の変化に合わせて継続的に見直しましょう。