BCP（事業継続計画）とは？

01BCPとは

BCP（事業継続計画）は、事故や災害のときでも大事な仕事を続ける、または早く戻すための計画です。中小企業庁は、企業が自然災害、大火災、テロ攻撃などの緊急事態にあったとき、事業資産の損害を最小限にとどめつつ、中核となる事業の継続か早期復旧を可能にするため、平常時に行う活動や緊急時の方法・手段を取り決めておく計画、と定義しています。

中小企業庁はBCPの特徴として、次の点を挙げています。

• 優先して続ける・戻すべき中核事業を決める
• 中核事業の目標復旧時間を決めておく
• 緊急時に提供できるサービスの水準を、顧客と前もって話し合っておく

02サイバー攻撃もBCPの対象

BCPというと地震や水害を思い浮かべがちですが、サイバー攻撃も事業を止めます。中小企業庁の「事業継続力強化計画」の手引きは、感染症やサイバー攻撃など自然災害以外のリスクにも対策を加えるよう求めています。サイバー攻撃で想定する影響には、システムの停止、データの漏えい、復旧費用、営業損失が挙げられています。

警察庁も、ランサムウェアへの備えとして「サイバー攻撃を想定したBCP」に触れています。被害を想定した訓練で、関係者との連絡、警察への通報・相談、広報の対応、バックアップからシステムを戻す手順を確かめておくよう勧めています。

03備えておくこと

手引きでは、事前の対策として異常監視サービスやウイルス対策ソフトの導入、事後の対策として関係者・顧客への報告、継続的な改善として年に1回以上の訓練が例に挙がっています。

04やってはいけないこと

• 作って終わりにすること。警察庁は、BCPを作っていても突然の被害に関係者が適切に動くのは簡単ではなく、バックアップからの復旧がうまくいかない例もあるとして、訓練を勧めています。
• 担当者1人の頭の中だけにしておくこと。その人が休んでいる日に事故は起きます。手順は紙にも残し、複数の人が動けるようにします。
• システムが全部戻る前提で書くこと。「何も使えない日」にどう仕事を回すかを先に決めます。

関連する製品やサービスは事故への備えにまとめています。備えの土台はバックアップとインシデント対応の段取りです。