IT-BCPで想定されるリスク

緊急事態に企業の損害を最小限に抑え、事業の継続や早期復旧する手段を事業継続計画（BCP：Business Continuity Plan）という。その中でも、ITシステムに重点を置いた対策が「IT-BCP」だ。

IT-BCPを策定するには、まず情報システムによるリスクに理解を深める必要がある。何が原因でシステムが停止するかを把握することで、しっかりとした事前準備や緊急時の対応が可能になるからだ。具体的なリスクについて見ていこう。

ベンダー依存のリスク

ベンダー依存によるリスクは、クラウドサービスなどを提供する事業者の都合やトラブルによる障害などがある。例えば経済産業省の資料では、クラウドサービスを利用して社内システムを構築する場合に以下のようなリスクが述べられている。

・障害などによりアプリケーションが長時間利用できなくなるリスク
・障害などによりアプリケーションのデータが消失するリスク
・利用したい時間とクラウド事業者側の計画保守などによる停止時間が重なるリスク（障害ではない停止）

参考：経済産業省「クラウドセキュリティガイドライン 活用ガイドブック」

リスクの原因には、システムエラーやネットワーク障害、自然災害などの様々な要因がある。そもそも、クラウド型のITシステムはベンダーの技術だけで動いているわけではなく、サーバーやネット回線などの様々な事業が絡み合っている。1つの料理を4～5人で分担して作るようなもので、誰かのミスやトラブルでその料理がダメになるのと同じだ。

これにより店舗で利用しているシステムが一時的、長期的に停止するだけでなく、機器の破損によってデータ自体が消失してしまう可能性もないとは言えない。そのため、自社によるIT-BCP対策は必要不可欠だ。

またクラウドサービスには、保守や点検によるサービスの計画的な停止が実施されることもある。サービスの提供事業者からの通知や連絡があるとは限らず、「急にシステムが動かなくなった」という事態に陥ることも考えられるため、ベンダー側への確認などで計画停止の時期を把握することも重要だ。

サイバー攻撃のリスク

ITシステムに対するサイバー攻撃はいくつかの手段に分かれており、IPA（情報処理推進機構）の資料によると、主に以下のような原因と対策が挙げられる。

・マルウェアに感染：セキュリティソフトの利用
・ソフトウェアの脆弱性：ソフトウェアの更新
・設定不備：設定の見直し
・パスワードの窃盗：パスワードの管理、認証の強化
・誘導（罠にはめる）：脅威、手口を知る

参考：IPA「情報セキュリティ10大脅威 2025 [組織編]」

マルウェアとは、いわゆるコンピューターウイルスなど悪意あるソフトのことで、メールの添付ファイルや不審なWebサイト経由で感染しやすい。知らない宛先からのメールは開かず、業務用PCで不必要なWebサイトの閲覧などは控えることが重要だ。

またソフトウェア自体にプログラムの欠陥や設計上のミスなどがある場合、不正アクセスや情報漏洩の原因となりかねない。利用するクラウドサービスなどは、常に最新のバージョンにアップデートしておく必要がある。

人為ミスのリスク

ITシステムを利用していても、細部では人の手による操作や作業を行う部分があるため、どうしても人為的なミスは生まれてしまう。具体的には、

・意図しない操作ミスや機器の破損
・機密データの情報漏洩
などが挙げられる。

担当者が十分な知識を持っていないと、操作ミスによるデータの消失や設定の不備による不正アクセスなどが起こりかねない。また従業員が社内データを外部に持ち出すことで、情報漏洩のリスクも高まる。

そこで手順書やマニュアルの作成などを実施し、誰が作業しても間違えないような仕組みを構築することが重要だ。加えて機密情報の管理などは、情報セキュリティポリシーの周知徹底や定期的な研修を行うことで、従業員の意識向上に努めておきたい。

IT-BCPの事前準備

IT-BCPでは、想定したリスクに対する備えがどれほどあるかで、障害やトラブル時の損害内容が変わってくる。被害を最小限に抑えるためにも、以下のような対策に取り組んでもらいたい。

データのバックアップ

自社の技術やノウハウ、顧客情報などのデータは、会社としての大事な財産である。そうしたデータを失うリスクを避けるためにも、定期的なデータのバックアップは重要だ。IPA（情報処理推進機構）の資料では、以下のような具体例を挙げている。

・クラウドサービスの拡張機能にバックアップがある場合は利用する
・定期的に社内の専用ハードディスクなどにもバックアップを取得
・直前のバックアップよりも、さらに過去の状態に遡って復元できるように様々な時期のバックアップを取得

参考：IPA「中小企業のためのクラウドサービス安全利用の手引き」

万が一、データが紛失したりサイバー攻撃によってデータが暗号化・破損した場合でも、バックアップがあれば以前の状態へ復旧しやすい。日々の売上や集客データなどが無くなってしまわないよう、必ず実施しておきたい方法の1つだ。

さらにバックアップデータは、クラウドストレージや社内PCなどの様々な場所へ保存することで、紛失するリスクをより抑えられる。

代替手段の確保

何らかの障害でシステムがダウンしてしまうと、業務に大きな支障をきたしてしまう。そうならないためにも、主要なシステムとは別の代替手段を用意しておくことが大切だ。政府機関等における情報システム運用継続計画ガイドラインでは、以下のような例示が挙げられている。

参照：内閣官房 国家サイバー統括室「政府機関等における情報システム運用継続計画ガイドライン（第３版）」

飲食店に置き換えると、システムダウンにより「レジが使えなくなった」「発注ができない」などの障害が想定される。そうした際の代替手段として、手書き伝票での注文や会計、紙媒体やエクセルによる仕入れ管理などが考えられる。

決済方法については、多様な選択肢を用意しておくことで現金以外の支払いにも対応しやすい。代表的なものとして以下があるだろう。

・クレジットカード
・電子マネー
・QRコード決済

マルチベンダー化

マルチベンダー化とは、システム毎に異なるメーカーや販売業者の製品を利用することだ。これにより、ITツールやシステムに問題が発生した際のリスク分散につながる。

例えば、POSレジや仕入れ管理、会計や予約システムなどを1つの事業者に依存してしまうと、サーバー障害が発生した時に全てのシステムが利用できなくなる可能性が高い。

飲食店だと仕入れ先を複数確保することで、災害や天候不良などがあった場合でも食材調達を安定させられる。同様に複数のメーカーでシステムを構築していれば、1つのシステムがダウンするだけに止まり、代替サービスへの対応や復旧にかかる時間を最小限に抑えられるだろう。

定期的なリスク評価

自社が優先して対応するべきリスクはどれかを把握しておくことは、対策を練る上で重要なポイントだ。そのため定期的なリスク評価を行い、事業の継続に必要不可欠な要素を洗い出す。内閣府の「事業継続ガイドライン」では、以下のような例が挙げられている。

【事業中断による影響度を評価する観点】

・利益、売上、マーケットシェアへの影響
・資金繰りへの影響
・顧客の事業継続の可否など顧客への影響、さらに、顧客との取引維持の可能性への影響
・法令・条例や契約、サービスレベルアグリーメント（SLA）等に違反した場合の影響
・従業員の雇用・福祉への影響
・自社の社会的な信用への影響
・社会的・地域的な影響（社会機能維持など）

参考：内閣府「事業継続ガイドライン」

例えば飲食店の場合、顧客対応への影響が高く売上に直結する「POSレジ」、既存の予約客へ迷惑がかかり集客にも影響する「予約システム」などの優先度が高くなりやすい。

また「政府機関等における情報システム運用継続計画ガイドライン」では、RTO（目標復旧時間）を指標として、情報システムの復旧優先度を評価する例も挙げられている。

・優先度S：0～3時間以内に復旧が必要な情報システム
・優先度A：3時間から1日以内に復旧が必要な情報システム
・優先度B：1日から3日以内に復旧が必要な情報システム
・優先度C：3日から1週間以内に復旧が必要な情報システム
・優先度D：1週間から2週間以内に復旧が必要な情報システム
・優先度E：2週間を超える停止が許容できる情報システム

参考：内閣官房 国家サイバー統括室「政府機関等における情報システム運用継続計画ガイドライン（第３版）」

RTOの指標では、長期間停止すると料理の品質や原材料の過不足に関わる在庫・仕入管理システムなどの復旧優先度も高くなる。