今こそ考えるBCP対策②IT編 ~サイバー攻撃・システム障害に備える~

BCP対策シリーズ 「① 防災編 ~オフィス環境をどう守るか~」では、地震や水害などの自然災害からオフィスや従業員を守る対策についてご紹介しました。
今回は、サイバー攻撃やシステム障害など、IT環境のトラブルに備える「IT-BCP」がテーマです。

業務に欠かせないシステムが突然使えなくなったとき、あなたの会社はどうしますか？
システムを止めない対策に加えて、万が一止まった後に重要な業務を早く復旧できる準備が大切です。IT-BCPの基本と具体的な対策を、分かりやすく解説します。

IT-BCPとは？なぜ今、必要なのか

IT-BCPとは、ITシステムが止まったときに、重要な業務を継続・復旧するための計画のことです。
今や、業務にITシステムを利用することは当たり前の時代になりました。
そのため、もしシステムが突然使えなくなれば、「一部の作業ができない」だけではなく、会社の業務そのものが止まってしまう可能性があります。

実際に、サイバー攻撃やシステム障害によって、業務が一定期間止まってしまうケースが報告されています。中小企業向けガイドラインでも、サイバー攻撃への備えは規模を問わず求められるものとして示されています。

だからこそ、システムを止めない対策に加えて、万が一止まった場合に「どの業務を優先するのか」「どうやって復旧するのか」をあらかじめ決めておくことが、IT-BCPの大切なポイントです。

企業を取り巻くITリスクとは？

IT-BCPでは、さまざまな原因でシステムやデータが使えなくなることを想定します。主なITリスクは次のとおりです。

サイバー攻撃

ランサムウェアや不正アクセスなどのサイバー攻撃によって、システムやデータが利用できなくなる可能性があります。被害の状況によっては、復旧までに時間がかかり、業務停止につながることもあります。

システム・ネットワーク障害

サーバーやネットワーク機器の故障、ソフトウェアの不具合、クラウドサービスの障害などによって、必要なシステムが突然使えなくなることがあります。

自然災害・停電

地震や水害、火災などによって、サーバーやネットワーク機器、通信環境が利用できなくなる場合があります。また、停電によってIT機器が停止する可能性もあります。

人的ミス

操作ミスによるデータの削除や設定ミスなど、意図せずシステムやデータに影響を与えてしまうケースもあります。

IT環境が停止する原因は一つではありません。「システムが止まるかもしれない」という前提で、自社に起こり得るリスクと業務への影響を考えることが、IT-BCPの第一歩です。

IT-BCPで備えておきたい5つの対策

① 重要な業務とシステムを把握する

まずは、システムが停止したときに「どの業務が止まるのか」を整理しましょう。
例えば、受発注システムが使えなくなれば注文の受付や処理ができなくなるなど、一つのシステムの停止が複数の業務に影響することがあります。

自社で利用しているシステムやサービスと、それによって支えられている業務を整理し、どの業務を優先して復旧するのかを決めておくことが重要です。優先する業務は、できるだけ絞り込むのがポイントです。

② データをバックアップする

重要なデータは、万が一に備えてバックアップを取っておきましょう。
サイバー攻撃や機器の故障、操作ミスなどによってデータが失われても、バックアップがあれば復旧できる可能性があります。

ただし、バックアップを取っているだけでは十分とはいえません。実際にデータを復元できるか、定期的に確認しておくことも大切です。
また、バックアップは本体と同じ場所に置かず、ネットワークから切り離した形でも保管しておきましょう。ネットワーク経由のバックアップは、ランサムウェアによって一斉に暗号化されてしまうおそれがあります。

③ システム停止時の対応を決めておく

システムが突然使えなくなったとき、「誰が判断するのか」「誰に連絡するのか」「復旧までどうやって業務を続けるのか」を決めておきましょう。
例えば、紙や別のツールを使った一時的な代替手段を用意しておくなど、システムが復旧するまでの業務方法をあらかじめ考えておくことで、混乱を抑えることができます。

クラウドサービスや外部の委託先を利用している場合は、障害時にどこまで対応してもらえるのか、連絡先や責任の範囲もあらかじめ確認しておきましょう。

④ サイバー攻撃や障害を防ぐ対策を行う

そもそもシステムを止めないための対策も欠かせません。
OSやソフトウェアを最新の状態に保つ、ウイルス対策ソフトを導入する、多要素認証を利用するなど、基本的なセキュリティ対策を継続して行いましょう。
また、従業員へのセキュリティ教育も重要です。

⑤ 訓練・見直しを行う

IT-BCPは、一度作成したら終わりではありません。
新しいシステムを導入したり、業務内容が変わったりすれば、必要な対策も変わります。
実際にシステムが使えなくなったことを想定して訓練を行い、「この手順で本当に復旧できるか」「誰が何をするのか」といった点を確認し、必要に応じて計画を見直しましょう。

あなたの会社は大丈夫？IT-BCPチェックリスト

最後に、自社のIT-BCPについて確認してみましょう。
以下の項目をチェックしてみてください。「できていない」「分からない」項目があった場合は、IT-BCPを見直すきっかけかもしれません。

• □重要な業務と、それに必要なシステムを把握している
• □システムが停止した場合、優先して復旧する業務を決めている
• □重要なデータを定期的にバックアップし、復元できることを確認している
• □システム停止時の代替手段を決めている
• □障害やサイバー攻撃が発生した際の連絡先・対応担当者を決めている
• □サイバー攻撃を防ぐための基本的なセキュリティ対策を行っている
• □システム停止を想定した訓練や復旧テストを行い、従業員が緊急時の対応方法を把握している
• □IT-BCPを定期的に見直している

まとめ

まずは自社のIT環境や重要な業務を確認し、「もし明日システムが使えなくなったら？」と考えることから始めてみましょう。