BCP（事業継続計画）におけるIT

BCP（事業継続計画）とは

仮想化技術が企業システムを支える基盤として取り上げられてきた昨今、この技術の周辺でも新たな技術が現れ、それらに対して取り組みを考える必要性が顕在化しています。IT部門には、新たな技術の取り組みに際して、従来のシステムとの整合性や今後の拡張性を検討していくことが求められています。

本連載では、そのような仮想化環境の下、システムとデータを保護するという観点に立ってIT全体を俯瞰（ふかん）しながら、BCP（Business Continuity Plan、事業継続計画）への取り組み方や、BCPを取り巻く環境／IT技術を考えていきたいと思います。

連載の第1回目では、まず事業継続をITの視点でレビューし、IT部門として事業継続を推進する上での基本的な事項を整理し、周辺環境を整理します。

そもそもBCPとは、企業が事業を継続するために準備する行動計画のことです。事業を継続できなくなる理由には、ITシステムの不具合や故障のほか、地震などの自然災害や感染症のパンデミック、戦争やテロなどが考えられます。BCPでは、こうした個々のリスクの影響度を事前に分析し、事業に優先順位を付けたり、事業の復旧手順を整備します。

社会的に大きな影響を及ぼすサービスや製造に携わっている大企業にとどまらず、中小企業であっても、倒産、事業縮小、従業員の解雇といった事態に陥ることを少しでも抑えられるよう、施策を持っておく必要があります。BCPは一部の関係者だけが唱（とな）えるキャンペーンではなく、日本政府がガイドラインを出すなど、企業として無視できない施策の1つです。

では、BCPとは、具体的にどのようなものでしょうか？

BCPの取り組みをこれまで行っていなかった場合、まずは「どれくらいの時間を使えば元に戻せるか？」、「100％元に戻せなくても、事業を継続させるために必要な最低限度のレベルまで戻すのにどのくらいの時間を使うのか？」という検討からBCPはスタートします。許容できるレベルを維持させながら元に戻す施策を準備することがBCPの目標となります。

BCPが想定するリスク

BCPを進めるにあたって、どのようなリスクを想定すればよいでしょうか。内閣府のガイドライン「事業継続ガイドライン 第一版」（平成17年8月1日）の一部を以下に引用します。

本来、事業継続計画は、どのようなリスクが現実化しても重要業務を継続していく、という目的意識をもって策定されるものである。そして、各企業がどのようなリスクを想定するかは、企業自らの判断に委ねられる。しかし、これから取り組もうとする企業には、分かりやすい入り方が提案されるべきであろう。そこで、本ガイドラインでは、地震を想定リスクとして特定し、社内の取組みをスタートさせることを推奨する。わが国では、どこでも地震の被害にあう可能性があるといってよいことから、先ず自らの主要な施設、本社、主力工場などに影響を及ぼす可能性のある想定地震を一つ選ぶなどの方法である。 もちろん、 余裕があれば複数の想定地震について検討してもよいし、他のリスクを一つ（又は少数）選んでスタートしてもよい。

日本の場合は、ガイドラインにもあるように、身近なリスクの例として地震を挙げることができます。例えば、製造サプライ・チェーンは日本の製造を支える重要なビジネス・モデルの1つですが、日本国内や海外拠点間でのチェーンによって需給を調整しながら絶えず稼働することが求められます。ここで、地理的に離れた拠点間の稼働調整にITが果たす役割が大きいことは言うまでもありません。

このサプライ・チェーンのビジネス・モデルが被災した場合、さまざまな影響が予想されます。よって、なんらかの対策が求められます。実際問題として、すでに多くの企業が製造サプライ・チェーンを守る施策に取り組んでいます。本連載の後半では、事例を参考に、BCPへの取り組みのポイントを整理します。

次ページからは、BCPにとってITが果たす役割を探るとともに、システムを災害から復旧するバックアップ／リカバリの要件について解説します。