こんにちは、エンジニアのあっきーです。
「サイバーセキュリティ特集 リスク管理とは？【前編】【後編】」では、リスクとリスク管理の概要についてお話ししました。リスク管理は、サイバーセキュリティに限った話ではなく、組織が安定的に事業を継続し利益を上げる、もしくは事業停止による損害を最小限に抑えるために必要な活動です。
今回は、事業継続を妨げる事象が起こった際に、その影響を最小限抑えるためのプロセスを定義したBCP (Business Continuity Plan/事業継続計画)とDRP（Disaster Recovery Plan/災害復旧計画）の概要ついて【前編】【後編】の2回に分けてお話ししたいと思います。
図１：リスクマネジメント、BCP、DRPの関係
BCP (Business Continuity Plan)とは？
世の中には、様々な事業継続を妨げる脅威があります。例えば、図1に示した通り、地震等の自然災害、停電等のインフラの問題、そしてCOVID-19のようなパンデミックが一例です。このような脅威によって組織の事業に影響が発生する場合に、いかにその影響を最小化し、事業を継続するかの方策を事前に準備し、そのような状況が起きた際に対応できるようにしておくというのがBCPの考え方です。
BCP策定にあたっては、2つのプロセスが存在します。それは、リスクアセスメントとビジネスインパクト分析（BIA）です。ここでは、それぞれの概要を説明したいと思います。
リスクアセスメント
リスクアセスメントについては、基本的な考え方を「サイバーセキュリティ特集 リスク管理とは？【前編】」でも説明しましたが、リスクの算出は簡単に言うと以下のように行います。
リスク＝負の影響ｘ発生可能性
例として「データセンターへの自然災害」、「ウェブサイトへのハッキング」の脅威について考えてみます。
表１：リスク分析（例）
データセンターでハリケーン、地震、洪水のような自然災害が発生した場合、仮に機器の浸水や停電等によりシステムが全く稼働しなくなることを想定します。通常データセンターは自然災害を考慮し、安全な場所に建てられることが多く、ジェネレーターなどの停電に対応する為の設備も持っていますので、発生可能性としては「低」いですが、万一発生した場合の影響は、システムが完全に使えなくなる為、影響は「高」となり、仮にバックアップサイトを持っていない場合、事業が停止してしまうリスクは「高」となります。
次に「ウェブサイトへのハッキング」について考えてみましょう。前提としてこのウェブサイトは、商品をオンライン販売するようなEコマースではなく、会社情報等が記載されたウェブサイトだとします。その場合、ハッキングが発生したとしても影響としては、「低」となり、事業が停止するようなことも起こらない為、リスクは「低」と考えることができます。
簡略化して説明しましたが、リスクアセスメントではこのように脅威が自組織の事業を継続する為の資産に対して、どのような影響を及ぼすのか、又その発生の可能性からリスクを分析していきます。
ビジネスインパクト分析（BIA）
リスクアセスメントでは主に自組織を取り巻く環境を評価しますが、ビジネスインパクト分析においては、業務分析を行うことで事業継続において不可欠な業務プロセス、資産、システム・機能の特定、そのシステムや機能が停止した場合の影響などをビジネスの観点から分析します。
この分析結果に基づいて、復旧優先業務や復旧の目標値の設定を行います。ここで重要となってくるのがRTOとRPOという考え方です。
RTO (Recovery Time Objective): どのくらいの時間で復旧させるかの目標値
RPO (Recovery Point Objective): どのくらい前のデータに復旧させるかの目標値
表２：ビジネスインパクト分析（例）
RTO、RPOの設定は、それぞれの会社の事業やオペレーション上、何を重視するかによって異なりますが、ここでは表２に示した例を考えてみましょう。まず「Eメール」ですが、全社に影響する重要な機能であり、メールが使えないことによって業務が止まってしまうような事態が発生する可能性があります。この例ではRTOを3時間、RPOを6時間としています。つまり、Eメールの機能が使えなくなった時点から3時間以内に復旧させ、最低でも6時間前のデータに復旧させることが目標として設定されています。同様に「給与支払い」の機能については、経理部の業務であり、5日以内に復旧させ、1日前のデータに復旧させるということになります。
このようにBCPの策定にあたっては、リスクアセスメントとビジネスインパクト分析（BIA）を行うことにより、組織の業務を妨げるような脅威やリスクを特定し、事業を継続する為に必須の業務プロセス、システムや機能を特定します。さらに、もしシステムや機能が使えなくなった場合にどれくらいの時間で、どの時点に戻すのか、代替機能の活用なども含めた復旧プロセスをドキュメントに落とし込むという作業をしていくことになります。
今回は、BCPの簡単な説明とBCP策定にあたって必要なリスクアセスメントとビジネスインパクト分析の概要についてお話ししました。【後編】では、BCPの構成やDRP（災害復旧計画）についてお話ししたいと思います。
IIJ America Incでは、BCPやDRに関するご相談、クラウドを利用したDRソリューションも提供しています。お電話での無料相談も受け付けておりますので、まずはお気軽にWebフォームにてお問い合わせください。
Comments