事業継続計画は、何らかの問題が発生した場合でも、重要な業務を継続できるようにするためのものです。ランサムウェア攻撃で請求システムが暗号化されたり、洪水でデータセンターが機能停止したり、主要ベンダーが一夜にして倒産したりした場合、事業継続計画には、何をすべきか、誰が決定権を持つのか、そして混乱が収まるまでどのように業務を継続させるかが明記されています。

まずは事業影響度分析から始めます。どのプロセスが不可欠ですか？それぞれのプロセスがどれくらいの時間停止しても、損害が許容範囲を超えませんか？この時間枠が目標復旧時間です。目標復旧時点は、許容できるデータ損失量を定義します。そこから、代替作業拠点、バックアップシステム、クロス・トレーニングを受けたスタッフ、コンピューターが利用できない場合の手動による回避策など、冗長性​​を確保するための計画を構築します。計画は棚に置いておくだけの文書ではありません。テストが必要です。机上演習では様々なシナリオを検証します。ライブフェイルオーバーテストでは、バックアップサイトが実際に機能することを確認します。2020年のパンデミックは事業継続計画をテストし、多くの計画が失敗しました。サプライチェーンが寸断され、リモートワークによってギャップが露呈しました。対応できた組織は、リハーサルと適応を行っていました。誰も読まないバインダーを持っていた組織は、そうではありませんでした。

事業継続計画の基本

• ビジネス影響分析 — 重要な機能を特定する
• 復旧目標 — 各システムのRTOとRPO
• 代替案 ― 拠点、システム、および人員
• テスト ― テーブルトップ演習と実地演習
• メンテナンス — ビジネスの変化に合わせて計画を更新する

事業継続は災害復旧とは異なります。復旧は壊れたものを元に戻すものですが、事業継続は復旧作業中に事業を継続させるものです。