「ISMSにおける事業継続計画とは何のためにあるの？」

「情報資産とICTシステムの保護って何すればいいの？」

このような疑問やお悩みをお持ちの方はいらっしゃいませんか？

例えば、現場や作業場所、事業所などで緊急事態が発生した際に、復旧作業が必要になる場面も多くあると思います。

その際に必要となるのがISMSにおける事業継続計画です。

なぜなら、ISMSの要求事項に記載されている事業継続計画とは、緊急事態が発生した時に事業が止まらないように、それらの対応策を考えて計画をしておくものとされているからです。

ここでは、ISMSにおける事業継続計画が何のためにあるのか、また、ISMSにおける事業継続計画の作成方法についてを主軸に解説していきます。

本コラムを読むことで、ISMSの要求事項に沿った、より精密な事業継続計画の作成を行うためのヒントを得ることができるでしょう。

1.ISMSにおける事業継続計画は緊急事態発生時に必要不可欠

結論として、事業継続計画を整備していない組織は、信頼性を損なうリスクがあります。

なぜなら、事業継続計画が策定されていなければ、適切な対応を取ることができず、事業をやむを得ず休止しなければならなくなり、最悪の場合、顧客や従業員の安全を確保できず、信頼を失くしてしまう可能性があるからです。

事業継続計画に関する考え方は、内閣府の事業継続ガイドラインで下記の内容が決められています。

大地震等の自然災害、感染症のまん延、テロ等の事件、大事故、サプライチェーン（供給網）の途絶、突発的な経営環境の変化など不測の事態が発生しても、重要な事業を中断させない、または中断しても可能な限り短い期間で復旧させるための方針、体制、手順等を示した計画のこと事業継続計画（Business Continuity Plan、BCP）と呼ぶ。

引用：事業継続ガイドライン　内閣府防災情報　9ページ
https://www.bousai.go.jp/kyoiku/kigyou/pdf/guideline202303.pdf

 

このように緊急事態に対する計画を事前に組むことで、緊急事態が発生しても組織は適切な行動をとることができるのです。

中でも、ISMSにおいてのBCPは全社的な防災・災害復旧計画そのものではなく、「危機的状況下においても、情報セキュリティ（機密性・完全性・可用性）とITシステムを維持・復旧させるための備え」を指します。

かつてBCPといえば「地震でオフィスが壊れたらどうするか」という物理的な話が中心でした。しかし現在、多くの企業の業務はクラウドやITシステムに完全に依存しています。

そのため、ISMSにおける事業継続計画は、事業を運営する上で必要不可欠だといわれています。

2.事業継続マネジメントに必要な3つの項目

ISMSで事業継続計画を策定するにあたり、マネジメント活動を行う必要があります。

組織が行うべきマネジメント活動の内容は、下記の通りです。

⑴計画を実現するための予算などを確保

⑵事前に起こりうるリスクへの対策の実施

⑶取組を組織内に浸透させるための教育や訓練を実施

⑷点検

⑸継続的な改善

事業継続計画は、単に計画を立てるだけではなく、継続的または体系的に取り組むことが重要だといわれています。

さらに、以下の3つの項目が最重要項目となるため、この内容が不十分であれば、他の部分を満たしていても効果は限定的になる可能性が高くなります。

• 緊急事態において事業を継続する仕組
• 社内の事業継続計画に関する意識の浸透
• 事業継続の仕組及び能力を評価・改善する仕組

この3つの項目を意識したうえで、事業継続計画を作成していきましょう。

3.ISMSにおける事業継続計画の作成方法

ISMSにおける事業継続計画の作成は、以下の通りに行うと、より精密な計画を練ることができます。

⑴リスクの高さ（事業停止のリスクや起こりうる可能性の高さ）から想定する緊急事態を決める

⑵復旧させるべき事業・サーバなどの優先順位を決めて絞る

⑶責任者等を決める

⑷復旧目標時間、流れを設定する

⑸マニュアルや手順書などに落とし込む

また、リスクの該当内容は業種により異なる部分もあるため、リスクを洗い出す際は、組織内で起こりうるリスクを精査する必要があります。

(1)リスクの高さから想定する緊急事態を決める

想定されるリスクから、発生する可能性が高いものと、そのリスクにより事業が停止してしまった時の影響の大きさを軸に、特に優先順位の高い緊急事態を決めます。

例えば、以下のような内容が発生した場合に、事業継続計画が発動すると仮定します。

例）サイバー攻撃、ランサムウェア、データ破損、システム障害、停電が起きた際。

システム障害で、インフラが止まってしまい、顧客データベースが停止すると半日で業務が麻痺する恐れがあります。

このように、想定されるリスクにも組織にとっての影響力の強弱があるため、リスク洗い出しのあとに優先順位を決める必要があるのです。

⑵復旧させるべき事業・サーバなどの優先順位を決めて絞る

緊急事態が発生した際に、すべての業務を同時に復旧させることは極めて困難であるといえます。

そのため、復旧させる事業、復旧にかかるであろうおおよその時間の優先順位を決めなければなりません。

そして、そこで決まった優先順位が高いもの、かつ復旧までにかかる予定時間が短いものから解決していくことが、復旧開始までの近道となるのです。

⑶責任者等を決める

緊急事態が発生した際に、指揮を執る人の役割や権限を決めます。

誰が、どのような行動をとるべきかを事前に確認しておくと、実際の緊急事態発生時に指揮官の指示に沿って動くことで行動に移しやすくなります。

⑷復旧目標時間、流れを設定する

緊急事態発生から通常業務に復帰するまでの具体的な時間と、各対応で実施するべき行動を確認します。

実施するべき対応として、以下の3つが挙げられます。

初動対応

緊急事態発生直後にとるべき対応です。人命の安全確保や安否確認、事業継続計画の発動の決定や、初期被害の確認などを行います。

緊急対応

事業の中心となっている部分の中断を最小限に抑え、復旧するまでの目標時間を達成するためにとるべき対応です。システムの復旧や関係者との連絡などが挙げられます。

復旧対応

仮の環境から通常の作業環境に戻すために行う対応です。設備や拠点の修理、復旧などを行います。

そして、この各対応を実施から完了まで行う目標時間の設定をします。

⑸マニュアルや手順書などに落とし込む

最後に、設定した計画を緊急時に誰でも迅速に実行できる形に文書化する必要があります。

そして、訓練を通じて従業員全体に周知させます。

このように、ISMSにおける事業継続計画の作成は、一筋縄ではいきません。

事業継続計画の作成を上記のように考えるのは難しいという方は、以下のような考え方でも十分です。

①起こりうる緊急事態を洗い出す（ランサムウェア、システム障害、漏洩事故等）

②それらに対する対応策を考える（緊急事態の連絡手段等）

③マニュアル、手順書等に落とし込む

計画を立てるだけでなく、実際に運用可能かを定期的に検証します。

例）メインサーバー障害を想定した切り替え演習

慣れてきたころに作成したものを改善していくことをおすすめします。

4.業種別サンプル

業種ごとの事業継続計画の事例を挙げます。震度6強の地震発生を想定し、どのような備えが有効か確認しましょう。

⑴システム開発業での事例

システム開発業では、情報の保全が最優先です。遠隔地にバックアップを保存する「遠隔バックアップ」を導入し、災害による物理的なデータ消失リスクを低減します。また、緊急時にリモートワークへ迅速に移行できるよう、VPNやクラウド環境の整備、セキュリティポリシーの確認も併せて行いましょう。定期的に復旧テストを実施し、手順の有効性を検証することも肝要です。

⑵運送業での事例

運送業では、物理的なインフラが停止するリスクを考慮します。まずは従業員の安否確認手段を確立することが先決です。無線の確保や緊急連絡網の整備を行い、各車両や拠点との連携を保ちます。また、主要な配送ルートが寸断された場合に備え、代替ルートの策定や、重要度に応じた配送の優先順位付けも計画に盛り込みましょう。

参照：物流のセキュリティ｜情報を守る安全ガイドラインを知っておかなければならない理由｜ロジペディア｜株式会社三協

⑶広告業での事例

広告業では、納期遵守と情報の機密性維持が鍵となります。安否確認後、オフィスが使用不能な場合に備え、クラウドを通じた業務遂行体制を整備します。また、クライアントへの報告連絡手順も事前に定めておきましょう。不測の事態でも柔軟に業務を継続できるよう、リモート環境での実地訓練を行い、現場レベルの課題を洗い出すことが効果的です。

5.まとめ

今回は、ISMSにおける事業継続計画についてご紹介しました。

1章を読んで、ISMSにおける事業継続計画を策定していないと、組織は信頼を失う可能性があることが理解できたのではないでしょうか。

また2章では、事業継続計画を実現するための一連のマネジメントを事業継続マネジメントと言うこと、さらに、事業継続マネジメントには以下の3つが最重要項目であることを説明しました。

• 緊急事態において事業を継続する仕組
• 社内の事業継続計画及び事業継続マネジメントに関する意識の浸透
• 事業継続の仕組及び能力を評価・改善する仕組

さらに3章では、事業継続計画を作成する手順について解説しました。

⑴リスクの高さ（事業停止のリスクや起こりうる可能性の高さ）から想定する緊急事態を決める

⑵復旧させるべき事業・サーバなどの優先順位を決めて絞る

⑶責任者等を決める

⑷復旧目標時間、流れを設定する

⑸マニュアルや手順書などに落とし込む

第4章では実際の業種別の事例について解説しました。

ぜひ、上記のポイントを踏まえて、より精密なISMSにおける事業継続計画の作成に役立ててください。