ISO27001の事業継続計画（BCP）とは？情報セキュリティ事故に備える策定方法・審査ポイントを解説

ISO27001の事業継続計画（BCP）とは

ISO27001の事業継続計画（BCP）とは、情報セキュリティ事故や災害、システム障害などによって業務が中断した場合に、重要業務を継続する、または早期に復旧するための計画です。
BCPはBusiness Continuity Planの略で、日本語では事業継続計画と呼ばれます。

一般的なBCPでは、地震、台風、火災、感染症、停電などの緊急事態がよく想定されます。
ISO27001の実務では、それに加えてランサムウェア感染、クラウドサービス障害、サーバ停止、重要データの破損、ネットワーク障害、情報漏えい後の業務停止、委託先の停止なども重要な想定になります。
情報セキュリティは、情報を漏らさないことだけでなく、必要なときに情報やシステムを使える状態を守ることも含むためです。

BCPでは、どの業務を優先して復旧するか、どのシステムが止まると困るか、誰が判断するか、誰に連絡するか、いつまでに復旧するか、どこまでのデータ損失なら許容できるかを整理します。
ISO27001では、可用性、バックアップ、インシデント対応、委託先管理、ICT継続性とつなげて考えることが重要です。

イソログに寄せられたBCP・復旧対応のリアルな声

ISO27001の相談では、BCPについて「防災マニュアルはあるが、システム停止時の復旧順序までは決めていない」「バックアップは取っているが、復旧できるか試していない」「クラウド障害や委託先障害をどこまで想定すべきか分からない」という声が多くあります。

BCPは、立派な文書を作れば終わりではありません。
実際に事故が起きたとき、誰が判断し、どの業務を優先し、どの連絡先に連絡し、どの手順で復旧するのかが分かる状態にしておく必要があります。
さらに、訓練や復旧テストを行い、結果を記録し、見つかった課題を改善することが大切です。

ここでは、イソログに寄せられる相談傾向をもとに、BCPや復旧対応で担当者がつまずきやすい場面を整理します。

イソログに寄せられる相談内容をもとに、BCPの準備、復旧目標、バックアップ、委託先対応、訓練で担当者がつまずきやすい場面をまとめました。

BCPと防災マニュアル・BCM・ISO22301の違い

BCPと似た言葉に、防災マニュアル、BCM、ISO22301があります。
これらは関係していますが、目的や範囲が少し異なります。
違いを整理しておくと、ISO27001でどこまで準備すべきかを考えやすくなります。

防災マニュアルは、地震や火災などの災害時に人命を守り、被害を抑えるための手順が中心です。
避難経路、安否確認、備蓄品、初期消火、拠点の安全確認などが含まれます。
一方、BCPは人命安全に加えて、重要業務をどう継続するか、止まった業務をどう復旧するかを扱います。

BCMは、BCPを作成して終わらせず、訓練、見直し、改善を継続する管理活動です。
ISO22301は、事業継続マネジメントシステムに関する国際規格です。
ISO27001を取得するために必ずISO22301も取得しなければならないわけではありませんが、重要業務の継続やICT復旧を考えるうえで、BCMの考え方は参考になります。

ISO27001でBCPが重要になる理由

ISO27001でBCPが重要になる理由は、情報セキュリティ事故が情報漏えいだけで終わらないからです。
ランサムウェアに感染すれば、ファイルやシステムが使えなくなる可能性があります。
クラウドサービスが停止すれば、顧客対応や受発注が止まることがあります。
データが破損すれば、請求、契約、医療記録、製造記録などの正確性にも影響します。

ISO27001では、情報の機密性、完全性、可用性を守ることが基本です。
BCPはこのうち、特に可用性と深く関係します。
ただし、復旧時に誤ったデータを戻せば完全性の問題になり、事故対応中に情報を不用意に共有すれば機密性の問題にもなります。
つまりBCPは、可用性だけでなく三要素全体と関係します。

また、BCPはインシデント対応、バックアップ、委託先管理、クラウドサービス管理、アクセス権管理、内部監査、マネジメントレビューともつながります。
審査では、計画があるかだけでなく、リスクアセスメントで重要な中断リスクを把握し、必要な管理策を選び、訓練や見直しをしているかが確認されます。

ISO27001:2022の附属書A 5.30「事業継続のためのICTの備え」との関係

ISO27001:2022では、附属書Aの管理策として「事業継続のためのICTの備え」があります。
これは、事業継続の目標やICT継続の要求事項に基づいて、ICTの備えを計画し、実施し、維持し、テストする考え方です。
難しく聞こえますが、実務上は「重要業務を支えるITが、必要な時間内に戻せる状態になっているか」を確認する管理策と考えると分かりやすいです。

ここでいうICTには、サーバ、PC、ネットワーク、クラウドサービス、業務システム、認証基盤、通信回線、バックアップ環境、外部サービスなどが含まれます。
たとえば、顧客対応に必要なCRM、受発注に必要な基幹システム、SaaS提供に必要なクラウド基盤、従業員が使う認証サービスなどは、重要業務の継続に直結します。

この管理策では、BIAで重要業務とICT依存関係を整理し、RTOやRPOを決め、バックアップや冗長化、代替手段、復旧手順を用意し、テストして見直す流れが重要です。
審査では、紙の計画だけでなく、復旧テストや訓練の記録、改善の記録があるかも見られます。

BCPで想定すべき情報セキュリティ事故

ISO27001向けのBCPでは、自然災害だけでなく、情報セキュリティ事故やICT障害を具体的に想定する必要があります。
特に、業務システムやクラウドサービスへの依存度が高い会社では、システムが使えないこと自体が重大な事業継続リスクになります。

代表的な想定には、ランサムウェア感染、サーバ停止、クラウドサービス障害、ネットワーク障害、重要データの破損、バックアップ失敗、情報漏えい後の業務停止、委託先障害、管理者不在、停電、拠点利用不可などがあります。
これらは単独で起きるだけでなく、複数が同時に発生することもあります。

たとえば、ランサムウェア感染時には、システム停止、データ暗号化、顧客への報告、外部専門家への相談、復旧可否判断、代替業務への切り替えが同時に必要になることがあります。
BCPでは、事故の種類ごとに初動対応、連絡先、復旧優先順位、代替手段を整理しておくことが重要です。

BIA（事業影響度分析）とは

BIAとは、Business Impact Analysisの略で、事業影響度分析と呼ばれます。
簡単にいうと、どの業務が止まるとどのくらい困るのか、どの業務から優先して復旧すべきかを整理するための分析です。
BCPを作るうえで、BIAは復旧優先順位を決める土台になります。

ISO27001の担当者にとっては、BIAを情報資産台帳やリスクアセスメントとつなげて考えると分かりやすいです。
たとえば、顧客管理システムが止まると問い合わせ対応ができない、受発注システムが止まると売上や納期に影響する、SaaS基盤が止まると顧客の業務まで止まる、といった形で業務とシステム、情報資産の関係を整理します。

BIAでは、売上への影響、顧客への影響、契約違反の可能性、法令対応、社会的信用、社内業務への影響、復旧に必要な人員や委託先を確認します。
すべての業務を最優先にすると現実的なBCPにならないため、止められない業務、短時間なら止められる業務、数日後でもよい業務を分けて考えることが大切です。

RTO・RPOとは

BCPで重要になる用語に、RTOとRPOがあります。
RTOはRecovery Time Objectiveの略で、目標復旧時間を意味します。
簡単にいうと、業務やシステムをいつまでに復旧させるかという目標です。
たとえば、問い合わせ管理システムは4時間以内、会計システムは翌営業日まで、社内掲示板は3日以内でもよい、というように決めます。

RPOはRecovery Point Objectiveの略で、目標復旧時点を意味します。
簡単にいうと、どこまでのデータ消失なら許容できるかという考え方です。
たとえば、受発注データは直前まで戻せないと困る、会計データは前日夜のバックアップまでなら対応できる、社内ナレッジは数日前でも影響が小さい、といった具合です。

RTOとRPOは、理想だけで決めると実現できない計画になります。
すべてのシステムを即時復旧、データ損失ゼロにしたいと思っても、費用や運用負担が大きくなります。
BIAで業務影響を確認し、顧客要求、契約、社内体制、費用、技術的な現実を踏まえて設定することが重要です。

ISO27001向けBCPの策定手順

ISO27001向けのBCPは、いきなり文書を書き始めるよりも、重要業務と重要システムを整理してから作ると実務に合いやすくなります。
ひな形を使う場合でも、自社の業務、情報資産、委託先、クラウド利用状況に合わせて調整する必要があります。

まず、BCPの対象範囲を決めます。
ISMSの適用範囲と照らし合わせ、対象部門、拠点、業務、システムを整理します。
次に、BIAで重要業務と停止時の影響を確認し、重要業務を支える情報資産やICT資源を洗い出します。
そのうえで、RTO、RPO、復旧優先順位を決めます。

次に、復旧体制、責任者、代理者、連絡フロー、初動対応、復旧手順、代替手段、委託先連絡先、バックアップ復旧手順を定めます。
最後に、机上訓練や復旧テストを行い、結果を記録し、見つかった課題を改善します。
BCPは一度作って終わりではなく、組織変更、システム変更、委託先変更、インシデント、内部監査、マネジメントレビューの結果に応じて見直します。

BCPに書くべき項目

BCPには、事故が起きたときに担当者が迷わず動ける情報を入れます。
抽象的な方針だけでは、実際の復旧には使いにくくなります。
誰が、いつ、何を判断し、どの順番で復旧し、どこに連絡するのかが分かるようにしましょう。

基本項目としては、目的、対象範囲、想定する事象、発動基準、重要業務、復旧優先順位、責任者・代理者、初動対応、社内外の連絡先、委託先対応、バックアップ、復旧手順、代替手段、訓練計画、見直し方法、改訂履歴があります。
会社の規模によっては、詳細すぎる文書よりも、緊急時にすぐ使えるチェックリスト形式を併用すると実用的です。

また、ISO27001ではBCPを情報セキュリティ関連文書と整合させることが重要です。
インシデント対応手順、バックアップ手順、委託先管理規程、アクセス権管理、情報資産台帳、リスクアセスメント結果と矛盾しないようにしましょう。

業種別に見るBCPの作り方

BCPは、業種や業務内容によって重視するポイントが変わります。
すべての会社が同じ復旧目標や同じ手順でよいわけではありません。
自社が顧客に提供している価値、止まると困る業務、外部委託やクラウドへの依存度を踏まえて設計する必要があります。

SaaS企業では、サービス基盤、認証、監視、顧客サポート、障害告知が重要になります。
受託開発会社では、顧客環境情報、ソースコード、プロジェクト管理ツール、開発環境の復旧が重要です。
BPOやコールセンターでは、委託元データ、オペレーション手順、電話・チャット基盤、作業人員の確保が重要です。

医療・福祉、人材、EC、製造業、物流、士業などでも、止めてはいけない業務や復旧時の注意点は異なります。
業種別の視点を入れることで、抽象的なBCPではなく、現場で使える計画になります。

審査で見られるポイント

ISO27001の審査では、BCP文書があるかだけではなく、実際に使える状態になっているかが確認されます。
審査員は、重要業務や重要システムをどのように特定したのか、RTOやRPOをどのように決めたのか、バックアップや復旧手順がテストされているのか、訓練結果を見直して改善しているのかを確認します。

特に見られやすいのは、リスクアセスメントとの整合です。
たとえば、ランサムウェアやシステム停止を高リスクとしているのに、復旧手順やバックアップ復元テストがない場合は説明が難しくなります。
クラウドサービスを重要なICT資源として使っているのに、委託先の障害時連絡先やSLAを確認していない場合も、運用上の弱点になります。

また、訓練やテストの記録も重要です。
机上訓練を実施した記録、バックアップから復元した記録、復旧手順を見直した記録、マネジメントレビューでBCPの課題を確認した記録があると、計画を維持・改善していることを説明しやすくなります。

よくある失敗と改善策

BCPでよくある失敗は、防災マニュアルだけで終わってしまうことです。
避難経路や安否確認は重要ですが、ISO27001の実務では、顧客対応、受発注、サービス提供、データ復旧、委託先対応など、重要業務をどう継続・復旧するかまで考える必要があります。

次に多いのは、IT担当者任せになっているケースです。
システム復旧は情報システム部門が中心になることが多いですが、どの業務を優先するかは経営や各部門の判断が必要です。
営業、カスタマーサポート、総務、経理、現場責任者、委託先も含めて、業務影響を確認しましょう。

また、バックアップを取っているだけで復旧テストをしていない、RTOやRPOが未設定、委託先障害を想定していない、緊急連絡先が古い、訓練記録がない、改善が文書に反映されていない、といった失敗もあります。
改善するときは、文書だけを直すのではなく、訓練、記録、委託先確認、マネジメントレビューまで見直すことが大切です。

コンサルに相談するときに確認すべきこと

ISO27001のBCPについてコンサル会社へ相談する場合は、BCP文書だけを作ってもらえるかではなく、リスクアセスメント、バックアップ、インシデント対応、委託先管理、内部監査、審査対応までつなげて見てもらえるかを確認しましょう。
BCPは単独の文書ではなく、ISMS全体の運用と関係します。

確認したいのは、BIAの進め方を支援してくれるか、RTO・RPOの設定を一緒に整理してくれるか、復旧手順やバックアップ復元テストの記録づくりまで見てくれるか、クラウドや委託先の確認ポイントを教えてくれるか、審査で聞かれやすい証跡を確認してくれるかです。
計画を作るだけでなく、訓練・見直し・改善まで支援範囲に入っているかを確認しましょう。

低価格のコンサル会社でも、支援範囲、追加費用、連絡方法、取得後支援、安さの理由が明確であれば有力な選択肢になります。
ISOトラストのように月額費用を抑えた支援を行う会社もあるため、初めてISO27001を取得する会社や担当者工数を減らしたい会社は、複数社を比較して自社に合う支援内容を確認するとよいでしょう。

まとめ：BCPは作るだけでなく、復旧できることを確認する仕組みにする

ISO27001のBCPは、情報セキュリティ事故やICT障害が起きても、重要業務を継続する、または早期復旧するための計画です。
自然災害だけでなく、ランサムウェア、クラウド障害、システム停止、重要データ破損、委託先障害なども想定し、自社の業務に合わせて整える必要があります。

BCPでは、重要業務、重要システム、BIA、RTO、RPO、復旧体制、連絡フロー、代替手段、バックアップ、復旧手順、訓練、見直しを具体化します。
審査では、BCP文書だけでなく、バックアップ復旧テスト記録、机上訓練記録、委託先確認、マネジメントレビューでの見直しなど、実際に維持・改善している証跡が重要になります。

BCPは作成物ではなく、いざというときに会社を動かすための仕組みです。
自社だけで整理するのが難しい場合や、審査で説明できる証跡まで整えたい場合は、ISO27001に詳しいコンサル会社へ相談し、複数社の支援内容を比較しながら進めるとよいでしょう。

よくある質問