負荷分散と可用性

BCP（事業継続計画）びーしーぴー

事業継続計画ディザスタリカバリRTORPOリスクマネジメント可用性

BCPについて教えて

簡単に言うとこんな感じ！

地震や火災、サイバー攻撃が起きたとき「会社をどうやって動かし続けるか」をあらかじめ決めておく計画書だよ！「何が起きても仕事を止めない」ための”転ばぬ先の杖”なんだ。

BCP（事業継続計画）とは

BCP（Business Continuity Plan：事業継続計画）とは、大規模な災害・システム障害・感染症の流行といった予期せぬ事態が発生したときでも、企業が重要な事業を継続・早期復旧できるようにするための計画です。単なる「被害対策マニュアル」ではなく、「どの業務を・誰が・いつまでに・どうやって再開するか」まで具体的に定めておくことが特徴です。

ITシステムとの関係では、サーバーやデータのバックアップ体制・クラウドへの切り替え手順・リモートワーク環境の確保などが中心的な対策となります。「システムが落ちた＝業務が止まる」という状況を防ぐために、IT部門とビジネス部門が協力してBCPを作り込む必要があります。

BCPを単に作るだけでなく、定期的な訓練・見直し・改善まで含めた継続的な取り組みをBCM（Business Continuity Management：事業継続マネジメント）と呼びます。計画書を作って棚に眠らせてしまっては意味がなく、“生きた計画”として運用することが重要です。

BCPの核心：RTO・RPO・RTEの3指標

BCPを設計するうえで、まず決めなければならないのが「どこまで許容できるか」という目標値です。特に以下の3つが重要な指標となります。

指標	正式名称	意味	例
RTO	Recovery Time Objective（目標復旧時間）	障害発生から業務再開まで許容できる最大時間	「24時間以内に復旧」
RPO	Recovery Point Objective（目標復旧時点）	どの時点のデータまで失っても許容できるか	「最大1時間前のデータまで」
RTE	Recovery Time Envelope（復旧作業の時間的余裕）	RTOを達成するために使える実作業時間	「復旧作業に使えるのは18時間」

🧠 覚え方：RTO・RPOを整理するコツ

【RTO】 → 「時間」の話：どれだけ早く"再開"できるか
【RPO】 → 「データ」の話：どこまで"失っても"許容できるか

たとえるなら：
  RTO ＝ 「停電から何時間以内に電気を復旧するか」
  RPO ＝ 「停電前の何時間前まで冷蔵庫の食品を守れたか」

BCPの対象範囲：何を守るかを決める

BCP策定では、まずBIA（Business Impact Analysis：業務影響度分析）を行い、停止したときの影響が大きい業務を洗い出します。

優先度 高 ┌─────────────────────────────────┐
         │ 受発注システム / 決済処理 / 顧客対応 │
         ├─────────────────────────────────┤
         │ 在庫管理 / 社内承認フロー          │
         ├─────────────────────────────────┤
優先度 低 │ 社内報告書作成 / 備品管理         │
         └─────────────────────────────────┘

歴史と背景

1990年代：米国で金融機関を中心に「災害時の業務継続」が意識され始める。1993年のワールドトレードセンター爆破事件が契機の一つに
2001年：9.11同時多発テロ。オフィスが突然消滅する事態を受け、BCPの重要性が世界的に認識される
2004年：ISO/IEC 17799（情報セキュリティ管理基準）にBCPが明記され、国際標準として定着
2011年：東日本大震災。日本企業が実際に大規模な事業継続危機に直面し、BCPの未整備が露呈。以降、日本国内での普及が急加速
2012年：BCMの国際規格 ISO 22301 が制定。BCP策定の世界的なベースラインに
2020年：COVID-19パンデミック。「感染症」という新たなリスクへの対応がBCPに加わり、リモートワーク基盤の整備が急務となる

DR（ディザスタリカバリ）との違い

BCPと混同されやすいのがDR（Disaster Recovery：災害復旧）です。似ているようで、目的と範囲が異なります。

BCPは「会社全体の事業を守る大きな計画」で、DRはその中の「ITシステム復旧」に特化した部分と理解するとよいでしょう。発注・選定の場面では、「DRだけを対策してもBCPにはならない」という点を押さえておくことが重要です。

BCPのITシステム対策例

対策	具体例	効果
データバックアップ	日次・時間次バックアップ、遠隔地保管	RPOの短縮
冗長化・クラスタリング	サーバーの二重化、ロードバランサー	単一障害点の排除
クラウド活用	AWS/Azure/GCPへの切り替え準備	RTOの短縮、物理的被害の回避
リモートワーク基盤	VPN・クラウドストレージ・Web会議	オフィス閉鎖時の業務継続
DR サイト	別拠点・別データセンターへの切り替え	拠点消滅時の継続運用

規格・RFC番号	内容
ISO 22301	事業継続マネジメントシステム（BCMS）の国際規格。BCPの策定・運用・改善を体系化
ISO 22313	ISO 22301の解説・ガイダンス規格
NIST SP 800-34	米国国立標準技術研究所によるIT系BCPガイドライン
ISO/IEC 27031	情報通信技術（ICT）の事業継続に関するガイドライン
内閣府事業継続ガイドライン	日本政府が公開するBCP策定の手引き（第三版）