事業継続計画（BCP）／災害復旧（DR）とは？
事業継続計画（BCP：Business Continuity Plan）／災害復旧（DR：Disaster Recovery）とは、サイバー攻撃や災害で業務が停止した際に、速やかに復旧し事業を継続するための計画と仕組みです。ルールと備え（GRC）の重要な要素として、ランサムウェア攻撃、大規模なシステム障害、データセンターの被災などの緊急事態に備えます。BCPは事業全体の継続戦略を、DRはITシステムの復旧手順を定めており、両者が連携することで、最悪の事態でも組織が生き残れるようにする「命綱」となります。
事業継続計画（BCP）／災害復旧（DR）を簡単に言うと？
船の救命ボートと避難訓練に例えると、BCPは「船が沈みそうな時に、乗客と船員をどう避難させ、別の船で目的地まで送り届けるか」という全体計画です。DRは「救命ボートの準備、無線機の確保、予備の船の手配」という具体的な復旧手段です。普段は使わないけれど、いざという時に命を救う準備をしておくことです。サイバー攻撃も同じで、ランサムウェアで全データが使えなくなっても、バックアップ（救命ボート）から復旧し、別のシステム（予備の船）で業務を続けられるよう、事前に準備と訓練をしておくのです。実際に災害が起きてから考えても手遅れ、準備があるかないかで組織の生死が決まります。
事業継続計画（BCP）／災害復旧（DR）で発生する被害は？
BCP／DRが不適切な場合、サイバー攻撃や災害時に業務が長期間停止し、顧客離れ、巨額の損失、最悪の場合は倒産に至ります。ルールと備え（GRC）の不備により、ランサムウェア攻撃を受けた際に身代金を払うしか選択肢がなくなったり、復旧に数ヶ月かかったりする事例が多発しています。特に、バックアップが攻撃者に破壊された場合、事業の再開が不可能になる可能性があります。
事業継続計画（BCP）／災害復旧（DR）の不備で発生する直接的被害
- 長期間の業務停止
ランサムウェア攻撃でシステムが暗号化され、復旧計画がないため数週間から数ヶ月にわたって業務が完全停止し、日々数千万円の売上損失が発生する
- データの完全喪失
バックアップを取っていない、またはバックアップも攻撃されて、顧客データ、財務記録、知的財産などの重要データが永久に失われる
- 身代金支払いの強要
復旧手段がないため、数億円の身代金を支払わざるを得なくなり、それでもデータが復旧される保証はない
事業継続計画（BCP）／災害復旧（DR）の不備で発生する間接的被害
- 顧客の大量離反
サービスが長期間利用できないことで、顧客が競合他社に流れ、復旧後も信頼を回復できずに市場シェアを永久に失う
- サプライチェーンの崩壊
自社の業務停止により取引先の生産も止まり、損害賠償請求を受けて、サプライチェーン全体から排除される
- 企業価値の暴落と倒産
復旧の見込みが立たないことで株価が暴落し、資金調達が困難になって、最終的に事業継続が不可能になり倒産する
事業継続計画（BCP）／災害復旧（DR）の対策方法
BCP／DRの適切な実施には、リスク評価に基づく計画策定、定期的なバックアップと復旧訓練、代替システムの準備が基本となります。ルールと備え（GRC）を強化するために、重要業務の優先順位付け（RTO/RPOの設定）、オフサイトバックアップの実施、インシデント対応チームの編成が重要です。また、定期的な訓練と計画の見直し、クラウドを活用した冗長化により、あらゆる脅威に対する耐性を高めることができます。
事業継続計画（BCP）／災害復旧（DR）の対策を簡単に言うと？
火事に備える家庭の準備に例えると、まず大切なもの（重要データ）のコピーを別の場所に保管し（オフサイトバックアップ）、避難経路と集合場所を決めて（復旧手順）、家族全員で避難訓練をします（定期訓練）。保険にも入り（サイバー保険）、仮住まいの手配方法も決めておきます（代替システム）。重要書類は耐火金庫に入れ（暗号化バックアップ）、定期的に中身を確認します。また「もし火事が起きたら、誰が何をするか」を明確にして（役割分担）、慌てずに行動できるようにします。準備は面倒ですが、いざという時に「準備しておいてよかった」と必ず思うはずです。
事業継続計画（BCP）／災害復旧（DR）に関連した攻撃手法
ルールと備え（GRC）において、事業継続計画（BCP）／災害復旧（DR）と密接に関連する3つの要素を解説します。
- インシデント対応計画
BCP／DRとインシデント対応計画は表裏一体の関係です。インシデント対応計画が初動対応を定め、その後の復旧作業をBCP／DRが引き継ぎます。サイバー攻撃発生時は、インシデント対応で被害を最小限に抑えつつ、BCP／DRで事業継続を図る連携が不可欠です。
- セキュリティポリシー／リスク管理
BCP／DRの基礎となるのがリスク管理です。どのようなサイバー攻撃リスクがあり、どの程度の被害が想定されるかを評価し、それに基づいてBCP／DRを策定します。セキュリティポリシーで定めた基準が、復旧目標時間（RTO）や復旧目標地点（RPO）の設定根拠となります。
- サードパーティリスク
BCP／DRでは、自社だけでなくサプライチェーン全体を考慮する必要があります。クラウドサービスやデータセンター、外部委託先が被害を受けた場合の対策も含めて計画を立てる必要があり、サードパーティのBCP／DR体制の確認も重要な要素となります。
事業継続計画（BCP）／災害復旧（DR）のよくある質問
はい、むしろ中小企業ほど必要です。大企業と違い、一度の被害で倒産するリスクが高いため、最低限のバックアップと復旧計画は必須です。クラウドサービスを活用すれば、低コストで実現可能です。
業務の重要度により異なりますが、重要データは日次、できれば複数回のバックアップを推奨します。また、3-2-1ルール（3つのコピー、2種類の媒体、1つはオフサイト）を守ることが重要です。
バックアップを攻撃者から守ることです。オフライン保管、イミュータブル（変更不可）バックアップ、バックアップシステムの分離が重要です。また、定期的な復旧テストで、実際に復旧できることを確認してください。
まず机上訓練から始め、徐々に実機訓練へ移行します。年1回は全体訓練を実施し、問題点を洗い出して計画を改善します。訓練シナリオは、実際に起こりうるサイバー攻撃を想定することが重要です。
いいえ、クラウドサービスも障害や攻撃を受ける可能性があります。クラウド事業者の責任範囲を理解し、自社でバックアップを取る、複数のクラウドを使うなど、追加の対策が必要です。
更新履歴
- 初稿公開
