BCPの中で、サイバーセキュリティに対応する計画も策定すべき大きな理由として、システムダウンが及ぼす経済的損失の大きさが挙げられる。言うまでもなく、現在の企業活動においてITシステムへの依存度は極めて高い。一つのシステムがサイバー攻撃を受けるだけでも、事業活動に大きな悪影響を及ぼす。だからこそ、緊急時には優先度の高いシステムから早期に復旧させなければならない。また、被害拡大に加え、「サイバーセキュリティ対応ができていない企業」と評価され、社会的な信用を失墜させるリスクもある。サイバーセキュリティに対応したBCPの策定は、もはや単なるIT施策にとどまらず「企業の事業継続を左右する重要な経営戦略」と言える。

サイバーセキュリティ対応のBCPの策定方法は、基本的には通常のBCP策定手順と同様だ。具体的な手順は、BCP策定の目的の定義および運用体制を構築した後、復旧目標の設定、想定リスクの整理を行い、復旧フローを決めていく。ここではサイバーセキュリティ対応のBCPにフォーカスして、ステップに分けて解説する。

関連記事：BCP策定率は過去最高を記録!国内企業の策定状況と策定時のポイントを紹介

ステップ1：IT資産およびリスクを「見える化」する

まずは自社が保有するIT資産（PC、サーバー、機密情報、ネットワーク機器など）を整理し、さらに各IT資産が抱えるリスクを「見える化」する。サイバー攻撃を受けた際にどのような被害が考えられるかを具体的に洗い出していく。なお、その際、発生確率が極めて低いリスクを細かく想定するのではなく、ある程度の粒度で想定して対応策に柔軟性を持たせることがポイントだ。

ステップ2：復旧するシステムの優先度・復旧目標を設定する

洗い出したリスクを踏まえて、復旧するシステムの優先順位を設定する。併せて、「目標復旧時間（RTO：いつまでに復旧させるのか）」および「目標復旧時点（RPO：いつの時点のデータまで復旧させるのか）」も明確にしておく。例えば、受注システムにおいて5時間以内にシステムを稼働できれば契約違反の恐れがなく、かつ直近1時間のデータを手入力で補完できる場合、RTOは5時間でRPOは1時間と設定できる。

ステップ3：具体的な対応を文章化する

最後に、具体的な対応（バックアップ取得の手順や代替システムへの切り替えなど）や復旧フローを文章化して計画としてまとめる。ただし、どれだけ有効な計画を立てたとしても、実行できなければ意味はない。そのため、全社的な計画の共有や定期的な訓練・シミュレーションの実施が不可欠となる。その過程で計画の実効性の不足や不備が見つかった場合は、適宜見直しと改善を重ねていく。

先述したとおり、サイバーセキュリティ対応のBCP策定は、企業が生き残るために大切な要素である。ベンダーとしてその重要性をクライアントにしっかり伝え、必要に応じてサポートをしていきたい。

関連記事：中小企業のBCP策定をキャッチアップ！