情報セキュリティマネジメント 2017年 春期 午前（科目A） 問50

事業継続計画（BCP）【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題文のキーワードを探す：今回なら「BCP」「事前に策定」「業務の継続」「災害／システム障害」。
2. キーワードと選択肢を照合する：BCPの定義を思い出し、該当する選択肢を見つける。
3. 残りの選択肢が別の概念を示していないか確認して消去する（CSR、知識創造、リスク統合など）。
4. 最終的に最も一致するものを選ぶ（この問題ではウ）。

選択肢別の誤答解説

• ア：企業が事業活動を営む上で、社会に与える影響に責任をもち…
  → これはCSR（Corporate Social Responsibility：企業の社会的責任）や説明責任（アカウンタビリティ）に関する説明です。BCPとは目的が異なります。
• イ：形式知だけでなく、暗黙知を含めた幅広い知識を共有して活用すること…
  → これはナレッジマネジメント（知識管理）や知識創造（NonakaのSECIモデル）の説明です。業務の継続計画ではありません。
• ウ：災害やシステム障害など予期せぬ事態が発生した場合でも、重要な業務の継続を可能とするために事前に策定する行動計画のこと
  → 事業継続計画（BCP）の定義そのものです。
• エ：組織体の活動に伴い発生するあらゆるリスクを、統合的、包含的、戦略的に把握、評価、最適化し…
  → これはERM（Enterprise Risk Management：統合的リスクマネジメント）やリスクマネジメント全般の説明です。BCPはリスク対応手段の一つに位置づけられますが、説明の焦点は「業務の継続計画」です。

よくある誤解

1. 「BCPは単にデータのバックアップのこと」
   → バックアップ（データの複製）はBCPの一部（復旧対策）ですが、BCPは業務の優先順位決定、代替手段、連絡網、復旧手順など全体を含む計画です。
2. 「BCPは災害が起きてから作るもの」
   → 誤りです。BCPは事前に策定し、訓練・見直しを行うことで初めて有効になります。

補足コラム

• BCP（Business Continuity Plan：事業継続計画）— 重要業務を継続・早期復旧させるための行動計画。
• BCM（Business Continuity Management：事業継続マネジメント）— BCPを作り、維持・運用する管理活動のこと。
• DR（Disaster Recovery：ディザスタリカバリ）— 主にITやシステムの復旧に焦点を当てた対策。
• BIA（Business Impact Analysis：事業影響度分析）— どの業務がどれだけ重要か、停止時の影響を評価する作業。
• RTO（Recovery Time Objective：目標復旧時間）— 業務を停止してから許容できる最大時間。
• RPO（Recovery Point Objective：目標復旧時点）— どの時点までのデータなら許容できるか（データ損失の許容範囲）。

• まずBIAで重要業務を洗い出す（給与支払いや受注処理など）。
• 各業務にRTO/RPOを決め、代替手段（代替拠点、マニュアル運用、外部委託）を定める。
• 連絡網・優先復旧の手順を書いたBCP文書を作成し、年1回の訓練と見直しを行う。

FAQ