BCPとは？IT部門が作るシステム継続計画（IT-BCP）の手順

BCPとは、災害やシステム障害などで事業が止まったときに、優先する業務を決めた時間内に再開するための事業継続計画（Business Continuity Plan）です。そのうち、業務を支える情報システムを「いつまでに、どの水準まで、どの順番で」戻すかを定めた部分をIT-BCP（システムの継続計画）と呼び、これを作るのが情シスの役目です。

BCPというと地震への備えを思い浮かべがちですが、情シスが実際に発動する可能性が高いのは、ランサムウェア、クラウドやSaaSの障害、回線の断、そして担当者の不在です。業務から逆算して目標復旧時間を決める手順、目標値ごとに必要な構成、シナリオ別の対策表、IT-BCP文書の目次、机上訓練の進め方を、着手する順番に並べました。

BCPとは：読み方と、BCM・防災計画・マニュアルとの違い

BCPは「ビーシーピー」と読みます。計画を作って終わりにせず、訓練・見直し・改善を回し続ける管理の仕組み全体はBCM（事業継続マネジメント）と呼ばれ、その国際規格がISO 22301です。介護や医療の分野では「業務継続計画」という言い方が使われ、介護サービス事業者には感染症と自然災害を想定した計画の策定が義務づけられています。分野別の要件は、厚生労働省が公表しているガイドラインで確認してください。

マニュアルとBCPの違いを一言でいえば、マニュアルは「どうやるか」、BCPは「何を優先し、誰が決め、何で代替するか」です。BCPの中に復旧手順そのものを書き込むと文書が厚くなり、システムを入れ替えるたびに改訂が追いつかなくなります。BCPには手順書の名前・保管場所・責任者だけを書き、手順書は別に管理した方が長く使えます。

業務から逆算する：影響度分析（BIA）の記入例

IT-BCPをサーバーの一覧から作り始めるのは順番が逆です。先に業務を並べ、止まったときの影響と許容できる停止時間を業務部門に答えてもらい、その業務が依存するシステムを後からひもづけます。この作業を業務影響度分析（BIA：Business Impact Analysis）と呼びます。

最大許容停止時間は、情シスではなく業務部門が決める値です。情シスが先に「このくらいで戻せます」と言うと、それがそのまま要求値になり、業務が本当に必要とする水準との差が見えなくなります。業務部門の答えが「全部すぐに必要」になったときは、「その業務が3日止まったら、どの取引先に何が起きますか」と具体的な影響で聞き直すと、業務の間に優先度の差がつきます。

依存するシステムの列は、画面に見えるシステムだけで終わらせないでください。販売管理がクラウドにあっても、社員がそこに入るにはID基盤、端末、インターネット回線、場合によっては本社のVPN装置が必要です。1つの業務について依存先を3階層くらいまでたどると、「クラウド化したはずの業務が、本社の1台の機器に依存していた」といった見落としが見つかることがあります。依存先の一覧は、そのまま後で作る優先復旧の順位表の下書きになります。

RTO・RPOの決め方と、決めた値が要求する構成

BIAの最大許容停止時間をもとに、システムごとに2つの目標値を置きます。RTO（目標復旧時間）は、止まってから使える状態に戻すまでの時間。RPO（目標復旧時点）は、どの時点のデータまで戻れればよいか、言い換えると失ってよいデータの範囲です。RTOは最大許容停止時間より短く置き、その差を発動の判断と社内連絡の時間に充てます。どの水準まで戻すか（全機能か、受注の登録だけか）をRLO（目標復旧レベル）として書き添えると、復旧の途中で「どこまで戻せば業務を再開してよいか」で揉めずに済みます。

3行目の注意は特に見落とされます。リアルタイムの複製は機器の故障には強い一方で、ランサムウェアによる暗号化や操作ミスによる削除も、そのまま複製先に反映します。RPOを短くする仕組みと、書き換えられない世代管理のバックアップは役割が別で、両方が必要です。世代と保管場所の設計は、Proxmox Backup Serverで3-2-1ルールを実現する手順が具体例になります。

「クラウドに移したからBCP対策は済んだ」は危険な思い込みです。クラウド事業者が責任を持つのは基盤の可用性で、誤って削除したデータ、乗っ取られたアカウントで消されたデータ、保持期間を過ぎたデータは戻せないことがあります。Microsoft 365やGoogle Workspaceでも、保持ポリシーやバックアップの設計は利用者側の責任範囲です。契約中のプランで何日前まで戻せるかを、執筆時点の仕様ではなく自社の管理画面で確認してください。

シナリオ別のBCP対策：何が使えなくなるかで考える

シナリオは原因ではなく「何が使えなくなるか」で整理すると、対策の重複が減ります。地震でも火災でも、結果が「本社に入れない」なら打つ手は同じだからです。

東海地方に拠点がある会社なら、自治体が公表している南海トラフ地震の被害想定やハザードマップを重ね、拠点とデータの置き場所が同じ被災範囲に入っていないかを確認します。本社と「バックアップ用の別拠点」が同じ市内にあると、広域の災害では両方が同時に使えなくなります。ランサムウェアの予防と初動の詳細はランサムウェア対策の実践で扱っているので、ここではシステムを戻す側の計画に絞ります。

IT-BCP文書の目次テンプレート

IT-BCPは厚くするほど読まれなくなります。発動した当日に開く前提で、次の目次に沿って各項目を1〜2ページに収めるのが目安です。

1. 目的と適用範囲：対象の拠点・システム・業務と、全社BCPとの関係
2. 発動基準と発動権限者：例として「優先システムが2時間以上復旧の見込みなし」「拠点に立ち入れない」「ランサムウェアの感染を確認」。発動を決める人と、不在時の代行順位
3. 体制と連絡網：指揮・復旧作業・社内連絡・ベンダー窓口の担当者と、個人の携帯番号を含む連絡網
4. 優先復旧の順位表：BIAの結果から、どのシステムをどの順番で戻すか
5. システム別の目標値と手順書の参照先：RTO・RPO・RLOと、手順書の保管場所（紙の控えを含む）
6. 代替手段：手作業の様式、代替の連絡手段、予備回線と予備機の置き場所
7. 外部の連絡先：保守ベンダー、回線事業者、クラウド事業者のサポート窓口、契約番号と受付時間
8. 訓練と見直しの計画：実施時期、前回の結果、残っている改善項目
9. 改訂履歴

発動したら、最初の連絡を30分以内に出せるよう、文面をあらかじめ用意しておきます。空欄を埋めるだけで送れる形にしておくと、混乱の中で「何を書けばよいか」を考える時間がなくなります。

件名：【IT-BCP発動】第1報 販売管理システム停止（○月○日 ○時現在）

発信者：情報システム部 ○○（指揮担当）
事象　：販売管理システムに接続できない。原因は調査中
影響　：受注入力・出荷指示が使えない。メールとチャットは使える
判断　：IT-BCPを発動する。受注は紙の注文書（様式B-1）で受け付ける
お願い：販売管理への再ログインを繰り返さないこと。
　　　　不審な画面や表示を見たら、操作せず情シスへ電話すること
次回　：本日○時に第2報（進展があれば随時）

IT-BCPの文書、連絡網、管理者の認証情報を、止まる対象のシステムの中だけに置かないでください。ファイルサーバーが暗号化された日に、そのファイルサーバーの中の復旧手順書は開けません。SSOが止まった日に、SSOで守られた手順書の保管場所にも入れません。紙に印刷して責任者と代行者が持ち、改訂のたびに差し替えます。

BCP対策は誰がやるか：役割分担

情シスが全社BCPの事務局まで引き受けると、人員の確保や代替拠点の手配といったIT以外の論点で手が止まります。事務局は総務か経営企画に置き、情シスはIT-BCPの責任者として参加する形が現実的です。ひとり情シスの会社では、発動した瞬間に情シスが復旧作業に張り付くので、社内への連絡役は情シス以外の人を平時から指名しておきます。ランサムウェアの場合は、システムを戻す作業と、原因調査・被害拡大の防止・届け出が同時に走るため、後者の指揮系統を分けておく考え方をCSIRTとはで整理しています。

机上訓練の進め方：計画の穴を見つける

訓練の目的は、うまくいくことを確かめることではなく、計画の穴を見つけることです。最初は実機を止めない机上訓練（テーブルトップ演習）から始めます。進行役が時刻つきの状況を1枚ずつ読み上げ、参加者はその時点で誰が何を決め、誰に何を連絡するかを答えます。書記は時刻と発言をそのまま記録します。

• 例：平日の早朝、大きな地震で本社ビルが立入禁止になる
• 例：始業時刻、在宅の社員から「VPNにつながらない」と連絡が相次ぐ（VPN装置は本社のサーバー室にある）
• 例：基幹システムのバックアップ先のNASも、同じサーバー室にあることが判明する
• 例：昼前、保守ベンダーの営業所も被災しており、担当者と連絡がつかない

終わったら、記録を「文書に書いてあったのに実行できなかったこと」と「文書に書いていなかったこと」に分け、それぞれを改善項目として担当者と期限を付けます。この例のシナリオなら、在宅勤務の接続手段が本社に依存していること、バックアップの保管場所が同じ部屋であること、ベンダーの代替窓口を知らないことの3点が、対策表と目次の項目に戻っていきます。

訓練で必ず確かめたいのは、連絡網の番号に夜間かけて誰が出るか、緊急用管理者アカウントの認証器の置き場所を代行者が知っているか、保守契約の番号と受付時間が手元にあるか、そして復元テストの実測時間がRTOに収まっているかの4つです。机上訓練は年1回と、組織変更や主要システムの入れ替えのあとに臨時で。復元テストは別枠で四半期ごとに、実際にバックアップから1台分を戻して所要時間を記録します。この実測値が、経営に「RTOは守れる」と言える唯一の根拠になります。

よくある質問

BCPとは簡単に言うと何ですか？

非常時に「どの仕事を、いつまでに、何を使って再開するか」を平時に決めておく計画です。防災計画が人命と建物を守るのに対して、BCPは会社の仕事と取引を守ります。すべてを元に戻す計画ではなく、優先する業務を絞り込む計画だという点が本質です。

BCP対策は誰がやる？

責任者は経営者で、全社の取りまとめは総務や経営企画が事務局として担うのが一般的です。情シスはシステムの復旧目標と手順（IT-BCP）を作り、各業務部門は手作業での代替手順を作ります。情シスが全社BCPの事務局まで兼ねると、IT以外の論点で手が止まるので避けてください。

BCP対策の具体例は？

ITの分野では、書き換えられないバックアップと定期的な復元テスト、在宅でも業務できる端末と接続手段、別キャリアの予備回線、緊急用の管理者アカウント、連絡網と手順書の紙での保管が代表例です。業務側では、紙の注文書のような手作業の様式を用意し、誰がいつ使うかまで決めておきます。

マニュアルとBCPの違いは何ですか？

マニュアルは、平常時の業務や個別の作業を「どうやるか」を書いた手順書です。BCPは非常時に「どの業務を優先し、誰が判断し、何で代替するか」を決めた計画で、個々の手順はマニュアルや復旧手順書を参照します。BCPに手順を書き込みすぎると改訂が止まるので、分けて管理します。

まとめ

IT-BCPは、サーバーの一覧ではなく業務の一覧から作ります。許容停止時間は業務部門に答えてもらい、そこからRTO・RPOを置き、その値に見合う仕組みを選びます。文書と連絡網は止まるシステムの外に置き、机上訓練と復元テストの実測で穴を埋めていきます。最初の一歩は、BIAの表に優先業務を5行書き出し、依存先を3階層たどってみることです。

次に読む

• ランサムウェア対策の実践：バックアップ・権限・初動対応を中小企業向けに整理
• Proxmoxのバックアップ戦略：Proxmox Backup Serverで3-2-1ルールを実現する
• CSIRTとは？小さな組織で作るインシデント対応チームの現実解