伊藤忠テクノソリューションズ(株)|CTCの総合BCPサービスCTCの総合BCPサービスは、コンサルティングから実装までIT-BCP構築を総合的に支援します。企業がその事業を継続し、競合他社に打ち勝って収益を上げていくためには、サプライチェーンの中で役割と責任を果たしていく必要があります。向けて、安全の確保や健康的な生活維持のための製品・サービスを提供しています。事業継続とは、こうした企業の存続を脅かす事象(脅威)に対し、抵抗力(レジリエンシー)を確保し、社会的な責任を果たすという大きな2つの目標のために必要な組織の統治システムであると言えます。Riskとは?2011年の東日本大震災では企業は大きな影響を受け、被災地だけでなく遠隔地でも事業が停止したケースがありました。Risk」(日本企業と組むとサプライチェーンに震災リスクがある)と言われています。グローバル競争のもとでパートナーとして信頼されるためには、事業継続の取り組みの必要性はますます高まっているのです。わが国では事業継続の取り組みは、これまで主に防災の観点から語られてきました。国内で策定された事業継続の主なガイドラインには、以下のようなものがあります。「民間と市場の力を生かした防災力向上に関する専門調査会」の活動の一環として策定されたもので、想定事象として地震を取り上げた防災対策の傾向があります。「企業における情報セキュリティガバナンスのあり方に関する研究会」の報告書の一部として策定。情報システム関連の事業継続計画(IT-BCP)を意識しています。付録として国内外のBCPに関するガイドラインの動向がまとめられています。けのBCP策定の手順を解説しており、ガイドラインとサンプル資料を提供しています。Institute)が認証規格BS25999を発行しました。これは事業を脅かす事象を特定せず、事業を停止または混乱させる「インシデント」に対する対応をまとめていることに特徴があります。自然災害(地震)による脅威が特徴的である日本に比べて、国外ではテロや洪水、地震など脅威に多様性があるため、そうした事象が発生した時点を出発点としているためです。BS25999は、BS25999-1:2006(実践規範)、BS25999-2:2007(BCMS)の2つの規格からなり、後者はPDCAを取り入れたマネジメントシステムのフレームワークを提供しています。このBS25999をベースとして、事業継続の国際規格ISO22301が発効しました。2006.2事業継続計画策定ガイドライン経済産業省2005.6どのガイドラインを選定するのか、組織の課題1.ISO22301の概要ISO22301はISO/TC223で最終討議が進んでいましたが、これらの結果、2012年5月15日に国際規格として発効されました。ベース規格となったのは、英国規格協会が発行したBS25999です。これには次のような特徴が組み込まれております。事業継続マネジメントシステムでは、事業継続が困難になる事象(地震など)が発生した場合、組織が持つすべてのリソース(人的、資金など)を事業継続のために投入することは現実的ではありません。想定されるリスクにすべてのリソースを振り向けることは、本来の正常な活動にも影響を与えることであり、事業継続そのものの意味を失います。このため、組織が生き残るための正しい適用範囲の選択が不可欠であり、極めて高い経営判断が必要となります。この考え方は規格に反映され、適用範囲に対する要求が明確になりました。整合し、有事における事業継続の領域を決定していく必要があります。【2】目標復帰時間(RTO)原典となった英国規格BS25999で明示されていた目標復帰時間(RTO)は、用語の説明項目に残ったものの、規格要求事項からは姿を消しました。して同様の要求が国際規格に残りましたが、極めて重要な概念であることには変わりありません。事業継続マネジメントシステムとは、事業を継続していくための仕組みであり、潤沢なリソースを投入すれば、より「迅速な」回復が期待できます。企業組織等ではこれらのリスク対応に投下できる資金等には限りがあり、その投入レベルを判断する必要があります。これらの判断基準が、目標復帰時間(RTO)です。「より早く」回復すれば事業に与えるダメージは少ないわけであり、組織は早い回復を望みます。一般的にRTOを早めれば大きなリソース(資金、設備、人)が必要であり、ゆっくり回復させれば、少ないリソースで事足りることになります。目標復帰時間とは「努力目標」ではなく、「保証される目標」に近いものと理解できるため、これらの時間を決定することは投入する経営リソースを判断することと同義であり、高度な経営判断になることがおわかりかと思います。さまざまな分野が生まれました。同時に、組織はこれら多くのマネジメントシステムを導入することになり、同一組織に類似ではあるが異なる手順が、複数生まれることになりました。standard)です。これは、これまで開発されたマネジメントシステムに関するフレームワークを統一しようとする動きであり、現在もGuide83としてISOで討議されています。ISO22301はこのMSSに従ったフレームワークに従って発効された最初の規格であり、今後開発されるであろう他の規格との整合性が取られています。従ってISO22301によるマネジメントシステム構築により、すでにISO9001、ISO14001などと統合して手順構築を行えることになります。2.国内での普及2011年の大震災以来、残念ながら海外からは「ジャパンリスク」といった見方が広がっているのは事実です。これを払拭するのは、災害に対するレジリエンシー(事件・事故に対応する抵抗力)であり、事業継続に関する手続きを国際基準に従って可視化することは、「将来の顧客」がそれらの仕組みを確認できることになるため、結果的に海外からの信頼を獲得することになります。国内ではこれまで自然災害が発生するたびに、対応する防災マニュアルが作られ、主に国、自治体などを中心として運用されてきました。グローバル社会で問われているのは、共通のスタンダードであり、これらを考えると、今回のISO22301で事業継続を整備することには大きな意味があることが見えてきます。ガイドラインも参照され、規格参照部分に掲載されています。3.ISO22301による組織の整備いくつかのポイントを取り上げて、ISO22301による整備を説明いたします。4.組織の状況BCMSを構築するための、組織を取り巻く環境(組織の選好するリスク、適用する法令、BCMSの適用範囲)について規定します。BCMSでは、サプライチェーンも含めて、関連する利害関係者が明確になっていないと、全体として機能しません。「組織の選好するリスク」とは、組織の抱えるさまざまなリスク(地政学的なもの、立地、IT、財務などあらゆるリスク)のうち、BCMSとしてどのようなものに集中的に取り組んでマネジメントシステムを構築していくか、という組織の基本方針です。5.リーダーシップ事業継続に関するトップマネジメントの方針、その展開方法、組織での責任/権限について規定します。BCMSでは、責任/権限について、対象施設までの距離なども考慮する必要があります。BCMSでは特に事業継続の目的が重要です。organization)が明らかになり、どのような分野を事業継続の対象として保全していくのか明確になります。5項ではこれらを受け、トップマネジメントがリーダーシップを持って事業継続の目的を示すことにより、必要となるリソースを無駄なく投入できることになります。事業継続の目的を達成し、有効に機能するため、マネジメントシステムの計画を行います。MSS(共通テキスト)として要求される部分でもあります。4項で決められたリスクを考慮して、マネジメントシステムが意図した結果を達成することが要求されており、予防的な処置を実行することと考えられます。コミュニケーション、文書化について規定されます。事業継続を中断するような事象(地震、火災、その他災害など)が発生した場合、特に初期対応で重要なのは通信です。東北の大震災では、多くの通信機能が奪われ、災害に影響されない衛星電話により救助要請を行った自治体がありました。市民レベルではTwitter、Facebookなど、新しいSNSが機能して活躍し、避難所の状況、不足する食糧、医薬品などの情報が流れ、結果的に一命を救った実例もあり、今後、ITシステムの活用といった観点から、深い研究が必要な分野でもあります。これらは、IMP(インシデントマネジメント計画)で規定していくものであり、実際の状況を想定して、具体的な手順を考案していく必要があります。7項では文書化についても要求されます。これら文書化については、特に気を配る必要があり、混乱状態でかつ日常では使わないマニュアルを参照しなければならない状況に留意する必要があります。現在の企業組織では多くがITシステム化していますが、紙ベースの活用も含め、十分な事前検討も行うべきです。8.運用BCMSを構築する上で、最も重要な項目になります。ビジネスインパクト分析から事業継続手続き適用スコープが決まると、これらのビジネスプロセスを個別活動に分解し、それらが消失した場合のビジネスインパクトについて判断していきます。それらの活動では、回復するための目標時間(RTO)を決定し、依存する委託先、仕入先などを考慮の上、回復のためのリソースを洗い出します。これらをビジネスインパクト分析(BIA)と呼びます。ビジネスインパクト分析では重要なプロセスが明確になるため、それらの活動について、関連するリスクを洗い出し、対策を行います。その後、インシデント対応を行います。インシデントとは、事業中断を引き起こす原因、具体的には自然災害などの発生を意味します。インシデント対応で要求されることは、英国規格BS25999から大きく外れた部分はありませんが、より具体的になりました。その後に行うことが、事業回復のための活動です。国内ガイドラインではどちらかというと防災の観点に主眼を置いたものが多かった印象ですが、ISO22301では特に回復の手続きに重点を置いています。ISO22301では、回復のための具体的事例、手続きには触れていません。従って、これらは、組織によってどのような時間を取るのか、設備を用意するのか、回復期における人的ケアなど、さまざまな配慮をおこなった手順を創らなければなりません。演習演習は本項で要求されます。BCMSでは、演習が重要なポイントのひとつとなります。事業継続は「予期せぬ、事業継続を中断するような事象」、つまり地震災害等で起動する手続きであって、普段はあまり機能しません。それら緊急時とその後の回復手続きが有効であるか、これらを確認することは極めて重要であり、BCMSの要であり、単なる防火訓練とは異なります。規格では、クリアに定義された狙いと目的により、計画されたシナリオによって実行することが求められます。9.パフォーマンスの評価BCMS運用状況のパフォーマンス評価をするほか、内部監査、マネジメントレビューなどに関する要求となります。パフォーマンス評価については、BCMSの運用状況を判断する重要な指標です。項番8でも記載した通り、通常は作動しない活動について指標判断しますので、手順には工夫が必要です。内部監査、マネジメントレビューについては、他のマネジメントシステムと共通化して構築することが望ましい部分です。10.改善PDCAの改善(Act)に関する要求事項です。この規格では、MSS(共通テキスト)に準拠して開発された結果、従来のマネジメントシステム規格にあった「予防処置」がなくなりました。マネジメントシステム全体を通して、それらに準拠しない部分について明確にして、改善する要求事項です。)を中心として、認定スキームの開発が行われており、CTCはこれらに委員として参加、貢献しております。認証の意義ISO認証では、これまでの各種マネジメントシステムと同様に、審査登録機関による審査が行われ、基準を満たしていると判断された場合、認証が公的に登録されるとともに、認証書が発効されます。これらの効果は次のようなものがあります。見方として、日本企業の高い技術力を認めると同時に、地震災害などの発生などにも目線が落ちております。認証とは第3者が仕組みを審査し、公的にその証明を行う仕組みです。従って、国際規格で構築したBCMSは、グローバルで認められるものとなります。確実な構築ISO審査では、規格要求事項に要求される機能が、フルセットで組織の備えらていることが求められます。事業継続マネジメントシステムとは日常業務以外での手続きを定めて運用するものであり、そういった点で関係者が多くなると、普及が難しくなります。その点で、審査登録はサポート力となるでしょう。メンテナンス一般的にマネジメントシステムのメンテナンスは改訂、周知、教育など発生する作業を考えると、維持が困難な環境にあります。第3者審査登録機関による確認(サーベイランス)が行われるため、スケジュール遵守、関連予算の獲得などにおいても、有利な状況となります。今後、企業活動がさらにグローバル化し、海外のステークホルダーに対して、認証はさらに重要なものとなるでしょう。)BCMS適合性評価制度の概要(経営者のための事業継続の手引き)(PDF:731KB)特定の脅威の想定から発生事象主義へ、単なる事業継続計画(BCP)から、事業継続マネジメント(BCM)、事業継続マネジメントシステム(BCMS)へと、事業継続に関する取り組みの概念は変化してきました。過去において、日本ではBCPを作っても、そのまま作りっぱなしという傾向が見られましたが、これを組織全体でマネジメントしていくという考えが徐々に浸透しつつあると言えます。IT-BCP企業の活動の大部分が、IT(情報システム)に強く依存するようになった今では、ITの事業継続(IT-BCP)は企業活動の維持に非常に重要な施策となっています。近年ではクラウドコンピューティングの普及もあり、ITリソースを組織としてどのようにマネジメントしていくかが、企業目標を達成するための重要な検討事項となっています。IT-BCPとは、企業・組織の中でITの担う機能に着目して、緊急時の事業継続計画(BCP)を組みあげておこうとするものです。事業継続とは、事業を中断するような事象が発生した場合、ビジネスを通常の状態まで復帰させるためのプロセスであり、それを実現するためには相応の費用が発生します。ビジネスインパクト分析企業が提供する製品やサービスが失われた場合、どのような影響があるかを分析し(ビジネスインパクト分析)、BCPのための資金投入の優先度を決めます。リソースは有限である以上、インパクトの大きいビジネスのプロセスに集中的に資金を投下し、それに関連するITシステムにも事業継続のための仕組みを構築していくべきです。現在、企業などの組織にとって、ITは非常に重要な機能となっています。金融業、通信業ではITなくして事業は成り立ちません。ITにも担当する分野があり、それは金融業では市場取引機能であったり、通信業ではネットワーク維持機能であったりします。一般の企業でも人事管理や財務管理にITはかかせません。日常で提案書を作成するような行為でもITは利用されています。インパクトの大きいビジネスプロセスとそのITには優先的にリソースを投下するべきですが、一方で、IT-BCPは全社BCPの一部であり、完全な整合性を維持しなければなりません。IT-BCPではIT資産の回復、全社BCPでは、組織機能の回復を目指します。CTCは、総合力を兼ね備えたソリューションプロバイダとして、フロント系基幹システムの開発やオープン系システムの大規模インフラ構築から、データセンター事業を活用したアウトソーシングサービスまで、ITライフサイクルのすべてのフェーズで最適なソリューションを提供しています。IT-BCPは、ITとその運用ルールが融合してはじめて有効となるものです。CTCは、これまでITサービスで築いてきた実績と経験を活かして、的確にお客様のIT-BCPをサポートします。サイバー攻撃など緊急事態に発動されるものです。従って、計画した回復の手続きの有効性については、利害関係を超えて組織の経験を生かすことが重要となります。CTCはITという観点から、有効な事業継続計画について意見発信を行っています。2012年5月発効した事業継続の国際規格ISO22301については、規格認証開発に協力しています。しても協力しています。BCMSユーザーグループ事業継続マネジメントシステム(BCMS)の重要性を社会へ訴え、普及を図ることを目的として結成された団体。(株)グループ〕と共に事務局としてBCMSユーザーグループを支援しています。一般社団法人BCMSユーザーグループ:http://bcmsusr.org/index.html現在のITシステムは複雑なネットワークを形成していること、ビッグデータを含めて消失した情報の回復には天文学的な時間がかかることなどから、CTCでは、IT-BCPとして、IT全域の事業継続考案をお勧めしています。ITシステムには組織の規模によって差があり、大規模組織の場合は、ITシステムにも適切なビジネスインパクト分析によるスコーピングを行う必要があります。CTCはこういった判断を含めて、お客様のIT-BCPを上流から実現するお手伝いをいたします。・C-BizRecoveryは、IT-BCP構築を目指す企業のための総合アドバイザーサービスです。・導入初期の概要プラン作成から、プロダクト導入のお手伝いまで、総合的にアドバイスします。・BCP構築にあたっては、ご指定の国内外のガイドラインに準拠するとともに、広く通用する手続きによって標準化を進めます。BCP策定支援サービスBCMS構築支援サービスIT-BCP策定支援サービスIT-BCP運用対策コンサルティングサービスIT資産の保全/復旧クライアント/アクセス環境アウトソーシング。