2020年度「情報セキュリティ研究プロジェクト＆情報セキュリティ専門監査人部会̲合同研究会」成果報告

JSSA研究大会202１.６.11

コロナ禍のバイタルBCP
リスク分析・評価2021を踏まえて

Vital BCP based on ｒｉｓｋ anaｌysｉs2021

2021年6月11日
情報セキュリティ合同研究会@2021JSSAシステム監査学会「情報セキュリティ研究プロジェクト＆情報セキュリティ専門監査人部会̲合同研究会」All right reserved.

2020年度「情報セキュリティ研究プロジェクト＆情報セキュリティ専門監査人部会̲合同研究会」成果報告

2019‐2020年情報セキュリティ合同研究会【近年のテーマ事例】
2019年 1人情報シスとガバナンス（新メンバー２名加入）
2020年 メンバー募集と研究テーマ事例（バイタルＢＣＰ）JSSA研究大会 コロナ禍のバイタルBCP リスク分析・評価2021を踏まえて 情報セキュリティ合同研究会@2021JSSAシステム監査学会「情報セキュリティ研究プロジェクト＆情報セキュリティ専門監査人部会̲合同研究会」All right reserved.

2

2020年度「情報セキュリティ研究プロジェクト＆情報セキュリティ専門監査人部会̲合同研究会」成果報告（前回発表資料から）４．バイタルＢＣＰ構築に向けて■基本的な考え方（ＪＩＳQ2001:2001のフレーム）
情報収集 → 対策策定 → 意思決定 → 現場指示 → 説明責任
（所管部署？） （企画・管理） （経営トップ）
（現場）
（広報）

■ポイント
・現状把握と意思決定のための情報収集・提供・・・・正確な情報の共有化
・安否確認と事業継続を連携した情報システム（バイタルＢＣＰ）
・生命の安全と２次災害の防止が最優先・・・・社員と社員の家族の生命を守る・バイタルＢＣＰは組織ごとの固有システム・・・オーダメイド＜事業継続計画＞・対象範囲：パート・アルバイト・契約社員・請負常駐者まで
・バイタル人材とミニマムオペレーション、責任・承認体制の確立（業務分析・分類、バイタル人材に必要な力量、担当者マッチング、合意・育成）
・安否確認システムとの連携＜実施にあたっての問題点＞以下略
JSSA研究大会 コロナ禍のバイタルBCP リスク分析・評価2021を踏まえて 情報セキュリティ合同研究会@2021JSSAシステム監査学会「情報セキュリティ研究プロジェクト＆情報セキュリティ専門監査人部会̲合同研究会」All right reserved.

3

2020年度「情報セキュリティ研究プロジェクト＆情報セキュリティ専門監査人部会̲合同研究会」成果報告

１．はじめにコロナ禍を想定していなかった前回■コロナ禍を想定する今回
・コロナ感染症リスク：２０２０～２１年継続する状況、その他感染症リスクも・コロナ感染症は発症前の感染である上に、→接触感染・飛沫感染・エアゾル感染・空気感染のリスクがある。
→家族から/への感染、高齢者・基礎疾患者の重症化リスクがある。
・生命の安全と２次災害、そしてＢＣＰにも影響を及ぼす。
→これまでのＢＣＰと異なるリスクの側面がある。

■今回の問題意識として・コロナ禍のリスク：リスク分析・評価2021として・今後発生が予想される災害等を踏まえる必要性（早い梅雨入り・明け→長い夏・熱中症→台風・ゲリラ豪雨、その他地震 等）
JSSA研究大会 コロナ禍のバイタルBCP リスク分析・評価2021を踏まえて 情報セキュリティ合同研究会@2021JSSAシステム監査学会「情報セキュリティ研究プロジェクト＆情報セキュリティ専門監査人部会̲合同研究会」All right reserved.

4

2020年度「情報セキュリティ研究プロジェクト＆情報セキュリティ専門監査人部会̲合同研究会」成果報告

２．リスク分析・評価2021（１）■コロナ禍に関するリスク
・自分や家族がコロナに感染するリスク・一人暮らしでコロナ感染・重症化等が発見されないリスク
・COCOAシステムが機能せず感染拡大防止に貢献しないリスク
・感染者情報等の正確な情報がタイムリーに得られないリスク
・保健所等による濃厚接触者追跡が適切に行われないリスク
・ワクチン接種に時間を要し免疫獲得に時間を要するリスク（ワクチン接種できる医療従者が少ないリスク～）（ワクチンの予約システムが機能しないリスク～）（ワクチンの接種会場が確保できないリスク～）（変異ウィルス等にワクチンが効かないリスク～）・・・
JSSA研究大会 コロナ禍のバイタルBCP リスク分析・評価2021を踏まえて 情報セキュリティ合同研究会@2021JSSAシステム監査学会「情報セキュリティ研究プロジェクト＆情報セキュリティ専門監査人部会̲合同研究会」All right reserved.

5

2020年度「情報セキュリティ研究プロジェクト＆情報セキュリティ専門監査人部会̲合同研究会」成果報告

2．リスク分析・評価2021（２）■複合災害としての認識
コロナ禍以外も地震・台風・ゲリラ豪雨の自然災害等のリスクは存在するため単一災害や自然災害に対する備えに加え、新型コロナウィルス感染症を含めた「複合災害」という事態を想定する必要がある。
＜複合災害のリスク＞
・複合災害が発生するリスク（コロナ禍、地震・津波、台風（風速25m以上、ゲリラ豪雨）の発生）・在宅時に複合災害に遭遇するリスク（365日24時間→8776時間：コロナ禍→在宅勤務時間大幅増）
・自然災害：いつ何がどこで発生するか分からないリスク（準備が十分でなく想定外の事態が発生するリスク）
・避難所が３密を確保できずクラスター感染を発生させるリスク
・避難所が３密対策で定員となり避難できないリスク
JSSA研究大会 コロナ禍のバイタルBCP リスク分析・評価2021を踏まえて 情報セキュリティ合同研究会@2021JSSAシステム監査学会「情報セキュリティ研究プロジェクト＆情報セキュリティ専門監査人部会̲合同研究会」All right reserved.

6

2020年度「情報セキュリティ研究プロジェクト＆情報セキュリティ専門監査人部会̲合同研究会」成果報告

２．リスク分析・評価2021（２）■（参考）複合災害の事例【2011年：東日本大震災】地震・津波・放射能汚染（世界初の複合災害甚大被害）【2016年：熊本地震】地震・豪雨・洪水（地震後の大雨が引き起こした土砂災害による被害）【2018年：北海道胆振（いぶり）東部地震】地震・大規模停電（ライフライン寸断や産業被害が全道に影響）【2020年：令和2年7月豪雨】集中豪雨・新型コロナウイルス感染症：（避難と3密対策の難しさ：避難所定員満員で避難できない状況）■課題
まだ、発生していない顕在化していないリスクを識別・特定する。
識別・特定していても対策が十分でない状況を如何に見える化するか

JSSA研究大会 コロナ禍のバイタルBCP リスク分析・評価2021を踏まえて 情報セキュリティ合同研究会@2021JSSAシステム監査学会「情報セキュリティ研究プロジェクト＆情報セキュリティ専門監査人部会̲合同研究会」All right reserved.

7

2020年度「情報セキュリティ研究プロジェクト＆情報セキュリティ専門監査人部会̲合同研究会」成果報告

２．リスク分析・評価2021（３）■コロナ禍の事業継続のリスク
・コロナ感染により業務に従事できないリスク（本人・家族によるコロナ感染、本人・家族が37.5度以上の熱がある場合）

・濃厚接触者認定により業務に従事できないリスク（家族、地域学校、関係会社、その他追跡調査等）
・責任者のコロナ感染で重要業務の決済が遅延するリスク
・コロナ感染による業務遅延がサプライチェーンに影響を及ぼすリスク
・虚偽の行動申請等により正確な情報が掴めないリスク
・リモートワークのため必要な業務を遂行できないリスク
・個人情報保護で携帯電話番号提供を拒否されるリスク（貸与スマホの位置情報がオフのため位置情報を把握できないリスク）
・複合災害等で工場やシフト担当者がアサインできないリスク（その結果、同一担当者が継続・延長業務を要請されるリスク）（家族の安全等が未確認の状況で継続・延長業務を要請されるリスク）
等
JSSA研究大会 コロナ禍のバイタルBCP リスク分析・評価2021を踏まえて 情報セキュリティ合同研究会@2021JSSAシステム監査学会「情報セキュリティ研究プロジェクト＆情報セキュリティ専門監査人部会̲合同研究会」All right reserved.

8

2020年度「情報セキュリティ研究プロジェクト＆情報セキュリティ専門監査人部会̲合同研究会」成果報告

３．コロナ禍のバイタルBCP（１）■コロナ禍のＢＣＰの課題
・事業継続担当者の生命の安全と２次災害の防止があってこそ・会社（組織）は社員と家族の生命を守るポリシー
・事業継続ＢＣＰを如何に効率的に展開するか。
＜リスクマネジメントシステムの経緯＞ ：純粋リスクから投機的リスクも対象へ
・1995年：阪神淡路大震災・・・当初は危機管理システム規格（生命安全問題）
・2001年：JISQ2001
・・・リスクマネジメントへ
・2009年：ISO31000
・・・国際化リスクマネジメントシステムへ
・2018年：ISO31000改訂 ・・・他ＭＳとの整合性（他COSO ERM2004）
リスクマネジメントシステム

現行JISQ３１０００：危機管理システム（生命の安全）が起源
JSSA研究大会 コロナ禍のバイタルBCP リスク分析・評価2021を踏まえて 情報セキュリティ合同研究会@2021JSSAシステム監査学会「情報セキュリティ研究プロジェクト＆情報セキュリティ専門監査人部会̲合同研究会」All right reserved.

9

2020年度「情報セキュリティ研究プロジェクト＆情報セキュリティ専門監査人部会̲合同研究会」成果報告

３．コロナ禍のバイタルBCP（２）■バイタルＢＣＰの基本的考え方
・事業継続担当者の生命の安全と２次災害の防止は→社員と家族の生命の安全も含めて考えるべき（組織による家族も含めたバイタルＢＣＰポリシー制定の必要性）＜事業継続ＢＣＰを如何に効率的に展開するか＞・複合災害を踏まえたリスクの見える化：リスク分析・評価２１等を発展（顕在化していないリスクを見える化する難しさ）

・リスクの見える化を踏まえた準備（気が付かないリスク/気が付いているか準備が十分でないリスク）（バイタル人材、バイタル業務の定義：ミニマムオペレーション、N+1予備方式等）

・情報共有の重要性（自治体保有情報と企業保有情報の共有：例 高齢者・基礎疾患者等）（サプライチェーンの把握、業務特性・地域特性の把握）

・発生時の正確で迅速な情報の取得と訓練
JSSA研究大会 コロナ禍のバイタルBCP リスク分析・評価2021を踏まえて 情報セキュリティ合同研究会@2021JSSAシステム監査学会「情報セキュリティ研究プロジェクト＆情報セキュリティ専門監査人部会̲合同研究会」All right reserved.

10

2020年度「情報セキュリティ研究プロジェクト＆情報セキュリティ専門監査人部会̲合同研究会」成果報告

まとめ
昨年の研究をリスク分析を含め整理しただけの結果になりますが、■リスク分析・評価2021
・コロナ感染リスクを必ずしも前提としたものではなかった。（前回資料）
・複合災害を想定したリスクとして認識する必要性がある。
（コロナ禍＋地震・台風・ゲリラ豪雨のリスク：３蜜状態で避難所定員超等）・リスク分析２０２１：未来を予見させる情報を見出し見える化する（早い梅雨入・梅雨明け→長い夏：熱中症リスク→台風・ゲリラ豪雨の多発）（リモートワーク→社員自宅への不正アクセス・サイバー攻撃の多発）（現実的なリスク対策として準備する→本番力の養成）■コロナ禍のバイタルＢＣＰ
・事業継続に優先する生命の安全と２次災害の防止
・ＢＣＰ上も不可欠な社員だけでなく家族も含め守るポリシー
・ＢＣＰ、安否確認システムを連携、情報共有する必要がある。
（企業情報と自治体情報の連携：重症者・単身者等の事前把握）
JSSA研究大会 コロナ禍のバイタルBCP リスク分析・評価2021を踏まえて 情報セキュリティ合同研究会@2021JSSAシステム監査学会「情報セキュリティ研究プロジェクト＆情報セキュリティ専門監査人部会̲合同研究会」All right reserved.

11

2020年度「情報セキュリティ研究プロジェクト＆情報セキュリティ専門監査人部会̲合同研究会」成果報告

ご清聴ありがとうございました。
・バイタルＢＣＰの意義・問題意識をお話しました。
・情報セキュリティ合同研究会メンバー募集
情報セキュリティ合同研究会＜２０２１年度 研 究 会 参 加 メ ン バ ー （敬称略）＞
川辺 良和【㈲インターギデオン代表】 ：主査

芳仲 宏【システム監査技術者・ＩＴＣインストラクター】

成田 和弘 【システム監査技術者・ＣＩＡ・ＣＩＳＡ】
戸室佳代子 【公認システム監査人、SAAJ理事】 発表者
荒木 哲郎 【弁護士・システム監査技術者】
木村 裕一【専門監査人】

清水恵子【専門監査人：公認会計士・システム監査技術者】

細野 浩一郎 【専門監査人】
加藤 篤【専門監査人】

JSSA研究大会 コロナ禍のバイタルBCP リスク分析・評価2021を踏まえて 情報セキュリティ合同研究会@2021JSSAシステム監査学会「情報セキュリティ研究プロジェクト＆情報セキュリティ専門監査人部会̲合同研究会」All right reserved.

12