中小企業のIT-BCP入門 ― 災害・障害時にビジネスを止めないための最低限の準備
「BCPは策定したが、IT面の対策は手つかず」― 中小企業でよく聞く言葉です。紙のBCPマニュアルに「サーバーが使えない場合の代替手段」と書かれていても、具体的な手順がなければ機能しません。
本記事では、中小企業が最低限整備すべきIT-BCPの項目を、現実的な範囲で解説します。
IT-BCPとは何か
IT-BCP（IT Business Continuity Plan）は、自然災害やサイバー攻撃によってITシステムが停止した場合に、事業を継続するための計画です。通常のBCPがヒト・モノ・カネを対象にするのに対し、IT-BCPはITインフラ、データ、通信手段に焦点を当てます。
想定すべき3つのシナリオ
シナリオ1: 自然災害（地震・水害・停電）
オフィスやサーバールームが被災し、物理的にアクセスできなくなるケースです。オンプレミスのサーバーが水没・破損した場合、データとシステムの両方を失うリスクがあります。
シナリオ2: サイバー攻撃（ランサムウェア）
ランサムウェアによってサーバーやPCのデータが暗号化され、業務システムが使用不能になるケースです。近年の医療機関や製造業の被害事例でも、復旧に数週間〜数ヶ月を要したケースが報告されています。
シナリオ3: SaaS / クラウド障害
Microsoft 365やGoogle Workspaceの大規模障害により、メール、ファイル共有、ビデオ会議が使えなくなるケースです。クラウドだから安全とは限りません。
このシナリオは他の2つと性質が違います。自社では復旧できません。 できるのは、復旧を待つ間に業務を止めない工夫だけです。
- 障害情報の確認先を決めておく — 各サービスの稼働状況ページ。管理者以外も見られるようにしておく
- 連絡手段の代替を1つ用意する — メールもTeamsも同時に落ちる前提で、電話・SMS・別サービスのいずれかを決めておく
- 「復旧待ち」を全社に伝える手段を持つ — 情シスへの問い合わせが集中し、対応そのものが滞ります
最低限整備すべき5項目
1. 重要業務とITシステムの紐付け
自社の事業継続に不可欠な業務（受発注、請求、顧客対応など）と、それに紐づくITシステムを一覧化します。すべてのシステムを同時に復旧させることは不可能なので、復旧の優先順位を決めます。
優先順位は「何日止まったら困るか」で決めてください。 RTO（目標復旧時間）やRPO（目標復旧時点）という用語を先に持ち出すと、議論が止まります。
| 業務 | 何日止まったら困るか | 紐づくシステム | 復旧順位 |
|---|---|---|---|
| 受発注 | 1日 | 販売管理、メール | 1 |
| 出荷指示 | 1日 | 在庫管理 | 2 |
| 請求・入金確認 | 5日（月末は1日） | 会計、ネットバンキング | 3 |
| 給与計算 | 支給日の3日前まで | 人事システム | 4 |
「どのデータまで戻ってよいか」も併せて決めます。 前日のバックアップから復旧するなら、当日分の入力は消えます。手書き伝票からの再入力で回るのか、それとも許容できないのか。ここが決まると、必要なバックアップの頻度が決まります。
この表は経営層と一緒に作ってください。 IT担当者だけで決めると、現場の繁忙期（月末・決算期）の事情が抜けます。
2. バックアップの3-2-1ルール
3つ以上のコピーを、2種類以上の媒体に、1つはオフサイトまたはオフラインで保管する ― この原則を徹底します。クラウドバックアップに加えて、外付けHDDやテープでのオフラインバックアップを確保しましょう。
ランサムウェア対策としては、「オフライン」が要件です。 常時接続の外付けHDDやNASは、本体と一緒に暗号化されます。クラウドバックアップも、管理者アカウントが乗っ取られれば削除され得ます。接続していない媒体、または削除できない設定のコピーを1つ持つことが分かれ目になります。
復元テストを年1回実施してください。 取得できていることと、戻せることは別です。確認するのは、①手順を担当者以外でも実行できるか ②復元にどれくらい時間がかかるか ③バックアップ自体が感染していないか、の3点です（3-2-1ルールの詳細）。
3. 代替通信手段の確保
メールやTeamsが使えなくなった場合の代替連絡手段を決めておきます。個人携帯の連絡先リスト、LINEやSMSでの緊急連絡網、全社員の携帯電話番号リスト（紙ベースも含む）を事前に準備します。
連絡網で見落とされやすい点
- 個人の連絡先を業務で使うには、本人の同意が必要です。 入社時の手続きに組み込むか、年1回の更新時に確認します
- リストは紙でも保管する。 名簿がファイルサーバーにしかなければ、有事に開けません
- 年1回は更新する。 退職者が残り、新入社員が載っていないリストは使えません
- 社外の連絡先も入れる。 保守ベンダー、回線事業者、主要取引先、金融機関。契約番号も併記しておくと問い合わせが早く済みます
4. リモートワーク体制
オフィスに出社できない場合でも業務を継続できるよう、リモートワーク環境を整備しておきます。VPNまたはクラウドサービスへのアクセス手段、自宅からの業務に必要なPCの準備、リモートでの承認・決裁フローの整備が含まれます。
5. 復旧手順書の整備
障害発生時に「何を、誰が、どの順番で」復旧させるかを手順書としてまとめます。手順書はIT担当者だけでなく、経営層や各部門の責任者にも共有しておきます。
手順書は印刷して保管してください。 ファイルサーバーやクラウドにしか置いていない手順書は、まさにそれらが使えないときに開けません。IT担当者の自宅にも1部あると確実です。
手順書に入れておくべき情報
- 各システムの管理画面のURLと、管理者アカウントの所在（パスワードそのものは別管理）
- 保守ベンダーの連絡先と契約番号、対応時間帯
- 回線・機器の型番と設置場所
- バックアップの保管場所と、復元の実行手順
- 社内外への連絡文のひな形（取引先への一次連絡は、事実だけを短く伝える形で用意しておく）
IT担当者が1人の会社では、その担当者が被災・不在の場合を想定してください。 手順書は「自分が読む用」ではなく「代わりの人が読む用」に書きます。
年に1回の訓練
IT-BCPは策定しただけでは意味がありません。年に1回以上、実際にバックアップからの復旧テスト、代替通信手段での連絡訓練、リモートワーク切り替えの演習を行い、手順の有効性を検証しましょう。
システムを止める必要はありません。 1時間の卓上訓練で十分です。
- シナリオを提示する（例：「ファイルサーバーが暗号化され、業務システムが開けない」）
- 参加者に「あなたは次に何をしますか」を順番に答えてもらう
- 実際に連絡先リストを開き、電話番号が最新かを確認する
- 決まっていなかったこと、担当が不明だったことを記録する
- 手順書と体制表を更新する
訓練の目的は「できること」の確認ではなく「決まっていないこと」の発見です。 スムーズに終わったらシナリオが甘すぎます。「バックアップも暗号化されていた」「IT担当者が不在」といった条件を足してください。
経営層を必ず参加させてください。 業務停止や公表の判断を求められる場面を体験してもらうことに、最大の意味があります。
まとめ
- SaaS障害は自社では復旧できない。障害情報の確認先と代替連絡手段だけを決めておく
- 復旧の優先順位は**「何日止まったら困るか」**で決める。RTO・RPOという用語から入らない
- どのデータまで戻ってよいかを決めると、必要なバックアップ頻度が決まる
- 優先順位は経営層と一緒に作る。IT担当者だけでは繁忙期の事情が抜ける
- ランサムウェア対策の要件はオフライン。常時接続のNASは本体と一緒に暗号化される
- 復元テストを年1回。担当者以外が実行できるか、何日かかるかを確認する
- 連絡網は紙でも保管し、年1回更新する。個人連絡先の業務利用は本人同意が要る
- 連絡先には保守ベンダー・回線事業者・金融機関と契約番号も入れる
- 手順書は印刷して保管する。「代わりの人が読む用」に書く
- 訓練は1時間の卓上演習で十分。目的は「決まっていないこと」の発見
- 経営層を必ず参加させる。業務停止と公表の判断を体験してもらう
情シス365では、IT-BCPの策定支援からバックアップ体制の構築、定期的な復旧テストの実施まで支援しています。60分無料相談をご利用ください。