BCPとは？

BCPの意味

災害やサイバー攻撃などの緊急事態が発生した際に、重要な事業を中断させない、または中断しても目標時間内に復旧させるための計画。あらかじめ復旧の優先順位や手順を定めておく。

BCPの具体例

大規模地震でデータセンターが被災した場合に備え、代替拠点への切り替え手順や重要業務の優先順位をBCPとして文書化しておく。

BCPは試験でどう引っ掛けられる？

BCP（計画という文書）とBCM（策定・訓練・見直しまで回す管理活動）を取り違えないこと。またBCPの目的は「被害をゼロにする」ことではなく、重要業務を目標時間内に復旧させること。全業務を同時に復旧させる計画にすると優先順位付けの意味が失われる。

BCPと関連する用語

• BCM
• RTO
• RPO
• ディザスタリカバリ

BCPが出た過去問

• 事業継続計画（BCP）について監査を実施した結果、適切な状況と判断されるものはどれか。

  正解：従業員の緊急連絡先リストを作成し、最新版に更新している。

  要点：BCPは最新の情報に保たれて初めて有事に機能する

  BCPは、災害などで被害を受けても重要業務を継続・早期復旧させるための計画であり、実効性を保つには最新の情報に基づいて維持されていることが不可欠である。緊急連絡先リストを整備し、異動などに合わせて更新している状態は、有事に発動できる体制が保たれている証拠となる。重要書類の一極集中保管や、優先順位を付けない一律の計画、従業員への非公開は、いずれもBCPの目的に反する。

  出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問39（IPA）

• 事業継続計画で用いられる用語であり，インシデントの発生後，次のいずれかの事項までに要する時間を表すものはどれか。 (1) 製品又はサービスが再開される。 (2)…

  正解：RTO

  要点：RTOは復旧までに許容される時間、RPOはどこまで遡るかの時点

  RTO（Recovery Time Objective、目標復旧時間）は、インシデント発生からサービスや事業活動の再開、資源の復旧までに許容される時間を表す指標である。事業継続計画では、どこまでの停止に耐えられるかをRTOとして定め、復旧手順を設計する。

  出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問41（IPA）

• 事業継続計画（BCP）について監査を実施した結果，適切な状況と判断されるものはどれか。

  正解：従業員の緊急連絡先リストを作成し，最新版に更新している。

  要点：BCPは優先順位付けと平時の周知・訓練があって機能する

  BCPが実際に機能するには、有事に関係者へ連絡が取れることが前提となるため、緊急連絡先リストを整備し常に最新に保つことは適切な状態である。重要書類の1か所集中保管は同時被災で失われる危険があり、優先順位を付けない一律のBCPは限られた資源の配分ができず、平時に非公開では従業員が行動できない。

  出典：平成30年度 春期 情報セキュリティマネジメント試験 午前 問41（IPA）

• BPOの説明はどれか。

  正解：社内業務のうちコアビジネスでない事業に関わる業務の一部又は全部を、外部の専門的な企業に委託すること

  要点：BPOは非中核の業務プロセスを外部へ一括委託すること

  BPO（ビジネスプロセスアウトソーシング）は、経理・人事・コールセンタなど自社の中核ではない業務プロセスを、その分野に専門性をもつ外部企業へ一括して委託する経営手法である。自社の資源を中核事業に集中させ、コスト削減や品質向上を狙う。ほかの選択肢はBCP、MRP、プロジェクトポートフォリオ管理の説明である。

  出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問48（IPA）

• 事業継続計画の策定に際し，リスクへの対応として適切なものはどれか。

  正解：想定するリスクのうち，許容できる損失を超えるものを優先的に対処する。

  要点：BCPは許容できる損失を超えるリスクから優先的に対処する

  経営資源には限りがあるため、事業継続計画ではすべてのリスクへ均等に手を打つのではなく、発生時の影響度と発生可能性から優先順位を付ける。許容できる損失を超えるリスクから優先的に対処するのが現実的かつ効果的である。

  出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問49（IPA）