情報セキュリティマネジメント 2016年 秋期 午前（科目A） 問39

事業継続計画（BCP）【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. BCPの目的を確認する：何を守り、何を早く復旧するか（人命・業務・取引先信頼など）。
2. 各選択肢が「BCPの目的に合致しているか」「運用性（現場で使えるか）」を検討する。
3. 危険になるのは「単一障害点（Single Point of Failure）」や「計画が現場に知られていないこと」。これらを含む選択肢は不適切と判断する。
4. 最も現場対応に直結するもの（安否確認・連絡網の整備）が適切と判断する。

選択肢別の誤答解説

• ア：従業員の緊急連絡先リストを作成し、最新版に更新している。
  → 適切。安否確認や初動連絡に必須。定期更新が行われている点も重要で、監査で高評価となる。なお、これだけでBCPが完璧になるわけではなく、訓練や他の手順と合わせて評価される。
• イ：重要書類は複製せずに1か所で集中保管している。
  → 不適切。重要書類を単一の場所にだけ置くのは「単一障害点」であり、保管場所が被災したら復旧できない。冗長化（複製・別拠点保管・電子データのバックアップ）が必要。
• ウ：全ての業務について、優先順位なしに同一水準のBCPを策定している。
  → 不適切。リソースは限られるため、重要度（顧客影響、人命、法令遵守など）に基づいて業務の優先順位を決め、重点的に復旧計画を作るのが現実的かつ合理的。すべて同一では非効率。
• エ：平時にはBCPを従業員に非公開としている。
  → 不適切。BCPは従業員が自分の役割を理解し行動できるように公開・周知し、訓練も行う必要がある。機密すぎると初動で混乱する。なお、詳細な配置情報やセキュリティ上公開すべきでない情報は限定的に扱う。

よくある誤解

1. 「BCPは作れば十分」：計画だけでなく、周知・訓練・定期見直し・実際に使える状態が必要です。
2. 「データの1か所保管で安全」：むしろ地震や火災で全て失うリスクが高まります。電子データは別拠点やクラウドでのバックアップを検討します。
3. 「BCPは経営だけの問題」：初動対応は現場の従業員が行います。従業員が計画を知り、役割を理解していることが成功の鍵です。

補足コラム

• 用語メモ：DRP（Disaster Recovery Plan：災害復旧計画）は、主にITやシステムの復旧を扱う計画です。BCPは事業全体（人・業務・取引先対応など）を含みます。
• 実務の一例（職場での運用）：緊急連絡リストは人事が中心に管理し、部署ごとの安否確認フローを定めておきます。年1回以上の更新と、社内訓練で実際にその連絡先を使った想定訓練を行うと効果的です。個人情報の扱いはプライバシーに配慮し、閲覧権限を制限します。

FAQ