レジリエンス協会 BCMS 研究会

スタンフォード大学の BCP
本文書は、Stanford University が 2005 年 3 月 15 日に公表した「Business Continuity Planning」の」翻訳です。
【2012 年 8 月 10 日翻訳： 一般社団法人レジリエンス協会 BCMS 研究会】

事業継続マネジメント（BCM）は、緊急時に継続事業のための計画を立てる標準的な方法です。 BCM
は数ステップを含んでいます。 それは事業影響度分析（BIA）およびリスクアセスメント（RA）（リスク分析と呼ばれることもある）の実施を含みます。 組織に影響を及ぼす様々なディスラプションの影響度が未知の場合は、災害のために適切に計画を立てることができません。
BIA は、事業や業務に関する様々な出来事の潜在的影響度を系統的に評価する手段です。 これは、組織が各種の潜在的なディスラプションから生じる可能性がある損失の程度を理解することを可能にします。
BIA を導くことための最初のステップは、組織の中核使命を実施するために必要となる財産の識別です。
第 2 のステップでは、潜在的な危険源、あるいはこれらの財産に対する脅威を確認します。 3 番目のステップでは、各危険源または脅威の影響へ感受性を決定することを求めます。 4 番目と最終ステップでは、各脅威の潜在的影響を決定することを求めます。 事象の影響度の評価は、量的または経済的損失を評価するだけでなく、つまり従業員への心理的影響および組織の評判に対する影響も含んでいます。
BIA と RA は 2 つの別質問ですが、これらは BCM に密接に関連している本質的なステップです; したがって、それらはしばしば同時に行なわれますし、また、用語は相互に交換されて使用されます。 しばしば、RA は BIA の中の脆弱性評価と一緒に行なわれます。
BCP（事業継続計画書）を構築するための重要なステップは、組織の必須機能の特定です。 これには、関連する主要人員、またディスラプション発生後、少なくとも 14 日間維持する必要がある重要なシステムまたはプロセスを支援することです。 必須機能は、緊急事態時の場合にも、継続する必要がある業務分野を含みます。 言いかえれば、これは組織の使命を達成するために必要な機能です。
必須機能の識別は、組織の全ての運営についての親密な理解を必要とします。 多くの機能は重要です
が、組織が行っている全ての活動が緊急事態時発生後の 14 日間に継続的に必要される必須機能とは限りません。 したがって、必須機能の識別の鍵は組織の使命です。
必須機能を識別する方法はひとつとは限りませんが、そのひとつとして、必須機能を特定化し、把握する
BIA としては、組織の機能と重要性に注目する方法があります。 この方法は、四つのステップで、大学のコンテキストを修正することができます。
1) 機能をすべて識別します
2) 必須機能を識別します
3) それらの機能の優先順位付けをし、4) 必須機能の資源条件を決定します【訳注】

1レジリエンス協会 BCMS 研究会

原文は Business Continuity Planning（BCP）であるが、和訳では、事業継続マネジメント（BCM）をあてています。 これは、Business Continuity Plans（BCP、事業継続計画書： 各種のマニュアル、文書類）との混乱を避けるためです。

2

レジリエンス協会 BCMS 研究会

1. Task A： 組織の全ての機能の特定
ワークシート 1： 組織の諸機能を本作業で完了すること
この使命声明は、明白に組織の根本的な目的を概説し、必須機能を決定する最初の部分です。 既存の運用に関する SOP、EOP および報告書は、通常、諸機能を特定するためのよい出発点になります。
一度、全ての機能を BCM の目的のために特定化し、次に、必須機能だけの選別されたリストを作成します。
これは組織の使命と機能の受益者を考えることにより実行することができます。 例えば、他の組織あるいは個人がある特定の機能に依存している場合、その機能は恐らく必須機能です。
【訳注】

SOPs: Standard Operating Procedures
EOPs: Essential Operating Procedures

標準的運用工程
必須的運用工程2. タスク B: 重要なプロセスとサービスの特定ワークシート 2 ： 必須機能を支援する重要なプロセスとサービスに必要となる経営資源を本作業で完了すること。
必須機能が決定された後、それを支援するプロセスおよびサービスを検討してください。 必須機能およびそれらの支援するプロセスおよびサービスは複雑に関係しています。 必須機能にはそれぞれユニークな特性および経営資源の必要条件（それなしでは機能を保持することができない可能性がある）があります。 必須
機能の継続性を保証するために必要なプロセスおよびサービスの各機能を記述することは、重要と考えられます。 しばしば、重要なプロセスおよびサービスは緊急事態または（既存の）特定の機能に属する要求時間及び期間に依存します。

3. タスク C： 必須機能の優先順位の特定
ワークシート 3： 必須機能の優先順位付けを本作業で完了すること。
一旦、全ての必須機能とそれを支援するための重要なプロセス及びサービスが特定されたならば、大惨事発生時に、運用を再開するために重要な機能について、優先順位付けをします。 この優先順位には、次の事項を決める必要があります。


各必須機能の時間的な臨界点
必須機能とその重要なプロセスを回復するための順序

必須機能の時間的な臨界点は、組織の中核的な使命に悪影響を及ぼすまでに、機能を維持することができる合計時間と関係があります。 時間的な臨界点は、目標復旧時間（RTO）または目標復旧ポイント（RPO）により、測定することができます。 これらは、情報技術の災害復旧計画から借用した用語ですが、BCM で全般的に使用されています。 RTO は、システム、プロセス、サービスあるいは停電の後に、間違いなく復旧される時間のことです。 RPO は、情報システムに特有で、これは時間インデックスによって測定され、失うことができるのはデータの量です。

3

レジリエンス協会 BCMS 研究会

すべてのプロセスには RPO があるとは限りません。 また、いくつかのプロセスには RPO と RTO の両方があます。 BCM の構築中に、組織は主として RTO に注目することになりますが、必要なところで COOP（業務継続計画）への RPO を理解し、RPO 情報を組み込むことは重要です。
さらに、関連する重要なプロセスおよびサービスを考慮せずに、必須機能を危機的状況から最初に回復されることを決めるのは不可能になります。 重要なプロセスあるいはサービスは、ディスラプション発生直後または一般的には 24 時間以内に間違いなく再開されるものです。 対照的に、二次的なプロセスやサービスはディスラプション発生後、直ぐに再開する必要はありません。
【訳注】

RTO:

Recovery Time Objective

RPO:
Recovery Point Objective
COOP: Continuity Of Operations

4. タスク D： 重要なデータの特定ワークシート 4： バイタルレコード
バイタルレコード、システムおよび設備の保護には、それらにアクセスする権限を含み、構築の中央的部分です。 バイタルレコードの例としては、重要な業務を継続するために必要となる、緊急事態時の対策書、スタッフへの業務割り当て、選別されたプログラムレコードを含みます。 さらに、契約上の義務と同様に法的および財政的レコードも維持されるべきバイタルレコードです。 バイタルレコードやシステムは、必須機能を維持するために最小限必要となる IT アプリやシステムを含みます。

5. タスク E： 重要なデータの保護
ワークシート 5： バイタルレコードの保護方法
バイタルレコードの特定化後のするステップは、保護方法の選択と決定です。 まず、現在の保護と保存方法を点検します。 問題のバイタルレコードに対する日常的な保守プログラムは、重要なプロセスおよびサービスに対するディスラプション発生時には、情報の保護に十分かもしれません。 しかしながら、保護方法の有効性は、継続性の関係に照らして常に評価されるべきです。
あなたのチームは、個々のバイタルレコードに対する現在のバックアップスケジュールを検討し、ファイルのバックアップ頻度を頻繁にすべきか、尋ねるべきです。 また、考慮するべき別の手段は、データの複製、別拠点にあるサーバーの活用、または走査紙レコードについて検討することです。 チームは、現在オフサイト保管が実施されていない場合は、ファイルのオフサイト保管を検討するべきです。 最終段階では、実際のディスラプション発生時における BCM 実効性です。 この段階では、全ての継続計画書は、緊急事態時における手順（緊急事態対策プロセス、計画の活性化、コミュニケーション、避難、データの保存・サルベージ・回復）を含む運用の再開と回復戦略を包含すべきであり、構築中にこれらは検討されます。

4

レジリエンス協会 BCMS 研究会

Worksheet 1
組織の全ての機能の特定------------------------------------------------------------------------------------------------------------組織の全ての機能リスト

必須機能の特定

1. 組織の使命を検討する

1. 組織の使命を再検討する

2. 既存の SOP および EOP を調査する

2. 組織が顧客または他の部門に提供するサ3. 組織と親しいエキスパートおよび元社員に話しービスを検査する
3. カラム 2 の支援する重要なプロセスとサービかける
4. 下記の表の最初のカラムでは、本質的な支援スを特定する
4. どの機能が組織の使命と、それらの関係を機能(ESF)を含めて、識別された組織の機能考慮した後に「必須」をカラム 3 に示すを全てリストに掲げる

Worksheet 2
重要なプロセスとサービスの特定------------------------------------------------------------------------------------------------------------必須機能毎に、個別のワークシートを完成してください。 最初にワークシート 1 の情報を活用して、各機能について重要なプロセスとサービスをリストにします。 次に、そのプロセスとサービスを行うために必要な要員を断定してください。 最後の二つのカラムで、その必須機能を操作可能にするために必要とされるレコードと設備・システムを全てリストに掲げます。
必須機能
Description of Function(Critical Process or Service)

RTO

Priority

Personnel

Records

Equipment andSystems

RTO： システムが通常に稼働するまでに許容される合計時間

Worksheet 3
必須機能の優先順位の特定------------------------------------------------------------------------------------------------------------ワークシート 1 と 2 の情報を使用して、必須機能の優先順位付けをしてください。 まず、カラム 1 に必須機能を全てリストにします。 次に、より長い時間運用不能になる可能性がある機能に、より高い数を与えて、カラム 2 の優先順位番号を割り当ててください。 さらに、複合機能には、比較的高い優先順位が必要な場合もあります。 従って、多面的機能に対しては、組織は同じ優先順位番号を割り当てることができます。 ここのゴールは、全ての機能を直ちに稼働されるために必要な経営資源がない場合に、どの機能を最初に稼働させるべきか、を決めることです。

5

レジリエンス協会 BCMS 研究会

Essential Function

PriorityWorksheet 4
バイタルレコード------------------------------------------------------------------------------------------------------------ワークシート 2（重要なプロセスとサービスの特定）で集められた情報を活用して、14 日間重要なプロセスとサービスの運用を続けるために必要なレコードをリストにします。 レコードには電子または紙形式があります。
このレコードには、有用かもしれないが、サービスを実行する上で不要なレコードを含めないでください。 さらに、これらのレコードの時間的な臨界点（ 緊急事態時に 72 時間以内に必要となる）を示してください。
Essential Function:
Critical Service
or Process

Vital Record

Description

Form of Record

Type of Record

Time Critical?

Worksheet 5
バイタルレコードの保護方法------------------------------------------------------------------------------------------------------------ワークシート 4 で特定された個々のバイタルレコードについては、保管される場所、バックアップまたは改訂される頻度、セキュリティ対策を含む特別な保護方法をリストにします。 バックアップまたは正副 2 通以外に保管していないバイタルレコードは、保護方法を追加すべき候補かもしれません。 その場合は、最後のカラムに追加の保護方法を推奨してください。
Vital Record

Storage Location

MaintenanceFrequency

Current Protection
Method(s)6Recommendations for
Additional Protection
Method(s) (if necessary)レジリエンス協会 BCMS 研究会

7