ISO 27001 & BS 25999

あなたがIT部門にいるからというだけの理由で、経営陣から事業継続を導入する任務を与えられた事はありませんか。なぜ事業継続は情報技術だと一般に思われているのでしょうか。

これはおそらく、事業継続の起源が災害復旧にあり、災害復旧が基本的に情報技術に関する事だからでしょう。 20～30年前は、事業継続（BC）という概念は存在せず、災害復旧（DR）という概念だけが存在していました。その主な関心は、災害が発生したときに、どのようにデータを保存するかでした。その当時は、たとえば地震発生時に、組織のあらゆる重要なデータを保管できるように、高価な設備を購入して遠隔地に配置することが流行していました。データは保管されるだけでなく、元の場所にあったときとほぼ同じように処理できるようになっていました。

けれども、しばらくすると皆気づきました。データを利用する事業が存在しなかったら、そのデータは何の役に立つのかということに。 ここから事業継続のアイデアが誕生しました。その目的は、大きな中断があった場合でも、事業を継続できるようにすることです。

定義

定義を見てみましょう。事業継続が「あらかじめ定めた受容可能なレベルで事業運営を継続するために、インシデント及び事業中断（混乱）に対して計画を立案し対応する、組織の戦略的及び戦術的な能力」（BS 25999-2: 2007）であるのに対し、災害復旧は「天災や人災の後の、組織に不可欠な技術インフラストラクチャの復旧・継続のための準備に関連するプロセス・方針・手順」（Wikipedia.org）です。

定義からわかるように、DRの重点が技術にあるのに対し、BCの重点は事業運営にあります。 したがって、災害復旧は事業継続の一部です。災害復旧は、事業運営を可能にする原動力、あるいは、事業継続の技術的部分だと言えるかもしれません。

けれども、もう一つ気がついた人もいると思います。それは、BCの定義は BS 25999-2（事業継続管理の代表的な規格）から引用されているのに対し、DRの定義はWikipediaから引用されていることです。実際、「事業継続」は規格で認められた正式の用語ですが、「災害復旧」はそうではありません。

導入の意味

では、IT部門が組織全体の事業継続を実施するのは、どうしてよくないのでしょうか。事業継続は、基本的に事業の問題であって、ITの問題ではないからです。IT部門が組織全体の事業継続を実施した場合、事業活動の重要性も情報の重要性も定義できないでしょう。さらに言えば、組織の事業部門が積極的に参加してくれるかどうかも疑問です。

BCの導入を準備する最善の方法は、プロジェクトを事業側に指導させることです。これこそが、組織のあらゆる部門からより多くの認識と承認を得る方法です。 そのようなプロジェクトにおいて、IT部門が演じるべきなのは、中心的な役割の一つである、災害復旧計画の作成です。

—

また、弊社のウェビナーBS 25999-2 Foundations Part 1: Business Impact Analysis（市販トレーニング）もご利用ください。

事業継続管理を導入する際に直面する最大の課題は、おそらく、事業継続計画を書くことです。

事業継続計画を書くことはなぜそんなに難しいのでしょうか。それは、災害（その他の事業活動の中断）が発生し得るさまざまなシナリオを検討して、そのような極めて稀であるが潜在的に破滅的なインシデントを処理する方法を考える必要があるからです。

そのような計画を書く人が一般に直面する問題には、計画に何を加えるべきか（何が主な要素か）、計画をどのぐらい長く（どのくらい詳しく）すべきか、計画にどんな手順を含むべきか、などがあります。

このようなジレンマに対する最善のソリューションは、BS 25999-2規格を使うことです。この規格はBS 25999-1とともに、計画を書くためのフレームワークを定義します。

これらの規格によると、事業継続計画は、(1)インシデント対応計画および(2)復旧計画から構成されている必要があります。 インシデント対応計画は通常、組織全体のために書かれた統一計画で、 インシデントの影響を減らす、救急隊に通報する、建物から避難する、集合場所に集合する、別の場所への移動手段を調達する、などの災害発生の直後に行わなくてはならない事を記述します。

復旧計画は通常、重要な活動ごとに書かれます。復旧計画に記載される手順には通常、次の通りです。さまざまなステークホルダー（従業員・その家族・株主・顧客・パートナー・政府機関・公共メディアなど）に伝える時期と方法、チームを招集する方法、インフラストラクチャを復旧する方法、アプリケーションが機能しているかどうか、および、アクセス権が適切かどうかをチェックする方法、損失したデータや災害によって破損したデータをチェックする方法、データを復旧する方法、復旧が完了して通常営業を開始できる時期を決める方法。

災害復旧計画（ICTインフラストラクチャの復旧計画）には、特定の重要活動の目標復旧時間以内に各システムを実行する方法を記述する必要があるので、注意深く書くべきです。これは通常、復旧する各システムの詳しい復旧計画を書くことにより実現されます。

原則として、このような計画には、その重要活動に従事している人が実行できない場合にも、他の従業員（または外部のスタッフ）が実行できる程度の詳しさが必要です。 したがって、計画を書く際には常識を働かせて、自分だけでなく誰もが理解できるようにしてください。

私の経験では、このような計画を書くときの最大の課題は、従業員がそれまで考えもしなかったような、まったく異なる事態に直面しなくてはならないということです。 そのような問題を乗り越えるには、起こる事やその対処方法に関する見解を共有できるようなワークショップ（モデレータはいてもいなくてもよい）を組織するのが最善です。

実際には、従業員が事業継続について考え始めるという事は、仕事全体の半分に過ぎません。そのようなアプローチをとることにより、事業継続計画の結果は数段向上します。

—

また、弊社のウェビナーBS 25999-2 Foundations Part 3: Business Continuity Planning（市販トレーニング）もご利用ください。