BCP／BCMとは？

BCP／BCMの意味

災害や大規模なサイバー攻撃で業務が中断した際に、重要業務を目標時間内に復旧させるための計画がBCP、その策定・訓練・見直しを継続する管理活動がBCM。事業影響度分析（BIA）で重要業務を選び、目標復旧時間（RTO）と目標復旧時点（RPO）を定める。

BCP／BCMの具体例

ランサムウェアで受注システムが停止した。BIAで受注処理をRTO4時間・RPO1時間と定めていたため、直近1時間分の再入力を前提に副系へ切り替え、紙伝票運用を並行させた。年2回の訓練で復元に6時間かかると判明し、手順を自動化してRTOを満たした。

BCP／BCMは試験でどう引っ掛けられる？

RTOは「いつまでに復旧するか（時間）」、RPOは「どの時点のデータまで戻せるか（データの損失許容量）」。バックアップ間隔はRPOに直結する。

BCP／BCMと関連する用語

• ランサムウェア
• バックアップ
• リスク対応

BCP／BCMが出た過去問

• 事業継続計画(BCP)における情報システムに関するファシリティマネジメントの施策のうち、大地震によってデータセンタが長期間停止することを想定した施策はどれか。

  正解：データの同期を定期的に行うバックアップセンタを遠隔地に配置する。

  要点：拠点の長期停止に備えるには遠隔地の代替拠点が要る

  大地震でデータセンタが長期間使えなくなる事態に備えるには、同じ被災圏内での設備強化では足りず、離れた場所に代替拠点を用意しておく必要がある。遠隔地のバックアップセンタへ定期的にデータを同期しておけば、拠点が失われても業務を再開できる。

  出典：平成25年度 春期 ITパスポート試験 問45（IPA）

• A社の内部監査人が同社の事業継続計画（BCP）についてシステム監査を行った。システム監査の指摘事項として、コンピュータ電源のバックアップ対策において、システム運…

  正解：システム運用部門長

  要点：監査指摘の改善責任は対象を管理する部門の長にある

  システム監査で指摘された事項は、その対象業務を管理している部門が責任をもって改善する。無停電電源装置はシステム運用部門が管理しているため、バッテリーの劣化に対する改善の実施責任はその部門の長にある。監査人は独立性を保つ立場であり、自ら改善を実施することはない。

  出典：平成26年度 秋期 ITパスポート試験 問40（IPA）

• PPMの適用事例として、適切なものはどれか。

  正解：個々の事業の戦略的な位置付けを明確にし、経営資源の最適配分を考える。

  要点：PPMは事業を分類し経営資源の配分を決める手法

  PPM（プロダクトポートフォリオマネジメント）は、市場成長率と市場占有率の二軸で事業や製品を花形・金のなる木・問題児・負け犬に分類する手法である。どの事業に投資し、どこから資金を回収し、どれを縮小するかという経営資源の配分判断に用いる。他の選択肢はアウトソーシング、BPR、BCPの説明である。

  出典：平成26年度 春期 ITパスポート試験 問9（IPA）

• 地震，洪水といった自然災害，テロ行為といった人為災害などによって企業の業務が停止した場合，顧客や取引先の業務にも重大な影響を与えることがある。こうした事象の発生…

  正解：a:BCP　b:BCM

  要点：BCPは計画そのもの、BCMは計画を回し続ける活動

  災害時にも重要業務を継続・早期復旧するための計画そのものがBCP（事業継続計画）で、対策aの代替生産プロセスの準備がこれにあたる。策定した計画を訓練・見直しで維持向上させる継続的な活動がBCM（事業継続マネジメント）で、対策bにあたる。BPRは業務プロセスの抜本的再設計、SCMは供給連鎖の管理で、いずれも災害対応の枠組みではない。

  出典：平成27年度 秋期 ITパスポート試験 問7（IPA）

• 情報システムのリスクに対するコントロールが適切に整備運用されていることを検証するための手段として、最も適切なものはどれか。

  正解：システム監査

  要点：統制が有効に働いているかを検証する手段がシステム監査

  システム監査は、独立した立場の監査人が情報システムに関するリスクへの統制（コントロール）が適切に整備され、意図したとおり運用されているかを点検・評価し、改善を助言する仕組みである。検証という行為そのものを担うのがこの手段にあたる。事業継続計画や運用のベストプラクティス集、統治の考え方は、いずれも検証手段そのものではない。

  出典：平成27年度 春期 ITパスポート試験 問40（IPA）