災害が起きたときやサイバー攻撃を受けたときは、システムの動作を止めることなく、早めに復旧させる必要があります。その方法や対策を平時から備えておくことを「IT-BCP」または「サイバーBCP」などと呼びます。IT-BCPでは何を計画しておくべきなのかを見ていきましょう。

IT-BCPとは？

自然災害、火災などの緊急事態が起きたときに、事業資産の損害を最小限にとどめ、事業を継続しつつ早期復旧に努めるために、日ごろから事業継続のための方法などを定めておくことをBCP（事業継続計画）といいます。

IT-BCPはその一部として、災害時等にITシステムをできるだけ止めないこと、損傷があればできるだけ早く復旧することを指すのと同時に、システム特有の被害、サイバー攻撃を受けたときにも事業を止めない計画のことも指します。

近年大きな自然災害に見舞われることが少なくないうえに、コロナ禍でBCPの重要さが見直されています。また、サイバー攻撃も年々巧妙化し、その被害も増えつつあります。
災害もサイバー攻撃も必ず起こるものとして、そのときに慌てないように事前にIT-BCPを定めておきましょう。

IT-BCPの策定・運用フロー

内閣官房内閣サイバーセキュリティセンター『政府機関等における情報システム運用継続計画ガイドライン～（第3版）～』を参考に、IT-BCPの策定・運用フローの例を見てみます。政府機関等の情報システム運用のためのものですが、そのまま一般企業や自治体レベルでも応用できるものです。

1 基本方針の策定

2 策定・運用体制の構築

3 危機的事象の特定

4 被害想定

5 情報システムの復旧優先度の設定

6 情報システム運用継続に必要な構成要素の整理

7 事前対策の計画とその実施

8 危機的事象発生時の対応計画の検討

9 教育訓練・維持改善の計画とその実施

IT-BCPの対応範囲を策定します。基幹システムやネットワーク機器、業務ソフト、認証基盤はもちろんのこと、メールやチャットなど、連絡に用いるツールも非常時には大切になります。

運用体制には、責任者及びシステム運用継続に必要な担当者を定めます。システム担当部門が担うことが多いですが、他部署の人員も加えて、業務上大切なシステムが止まらないように対応します。

システムの可用性に影響が出る可能性がある事象を特定します。自然災害やサイバー攻撃によるインシデントなど、ハードウェア、ソフトウェアに影響が生じるものを想定します。

新型コロナウイルスのような感染症が発生し、システム担当者が不足する事態なども考えておきましょう。

被害の想定については、重大なインシデントが起こることを前提に考えておきます。リスクを軽微に想定してしまうと、想定以上のことが起きたときに対処しきれません。

インシデント発生時に、3時間以内に復旧が必要なシステム、1日以内、3日以内、1週間以内、2週間以内に復旧が必要なシステム、2 週間を超える停止が許容できるシステムに分けて優先順位をつけておきます。

全てのシステムに障害が起こることはレアケースですが、最悪の事態を想定して、どこから復旧作業を行うかをあらかじめ定めておくためです。

システム運用を構成する要素には、ヒューマンリソースも含まれます。システム担当者が確保できない状態になれば復旧は難しいからです。また、システムそのものだけでなく、電源などシステムを動かすために必要なものや、サーバー冷却などのための空調も対象になります。

システムの構成要素ごとに、現状の対策とリスク評価を行います。リスク評価に基づき「事前対策計画」を作成しておきます。

リスク評価の例として、以下のような項目が挙げられます。

サイバー攻撃を受けたとき、災害が起きたときの担当者の役割を明確にしておきます。万が一、担当者が動けないときのことも考え、代行者も決めておきましょう。

また、対応フローについても明文化しておくといいでしょう。

責任者、システム担当者には、平時のシステム運用継続計画の維持改善活動や危機的事象発生時対応計画についての理解の向上を目指した訓練を行います。

Computer Security Incident Response Team（CSIRT）は、システムに問題が発生したときに対応する組織のことです。

IT-BCPのためには、このCSIRTの設置も考えるといいでしょう。

CSIRTは、社内システムやネットワークにサイバー攻撃を受けたときなどに、組織内の対応窓口となり、被害の拡大防止に対応するほか、関連情報を収集して組織内に告知したり、再発防止策策定などを行ったりします。

常設機関として、専任を定める場合もありますが、一部またはすべてを外部委託することも可能です。

・災害やサイバー攻撃を受けたときに事業を止めないために対策を事前に定める

・IT-BCPを考えるときには、人員確保についても考える

・業務上重要度が高いものからレベル分けしておく