事業継続計画

2005年に行われた、混乱が企業の業務に悪影響を及ぼす可能性と、レジリエンスへの投資がさまざまな不測の事態に備えていない企業に対して競争上の優位性をもたらす可能性についての分析^{[ 12 ]}は、当時一般的だった事業継続計画の実践を拡大しました。競争力評議会などのビジネス組織は、このレジリエンスの目標を受け入れました。^{[ 13 ]}

変化への適応は、一見するとより緩やかで、より進化的な方法で行われる場合もあり、時には何年も、あるいは何十年もかかることがありますが、より回復力があるとされています^{[ 14 ]} 。そして、「戦略的回復力」という用語は、一度限りの危機に抵抗するだけでなく、変化の必要性が切実に明らかになる前に、継続的に予測し、調整するために使われるようになりました。

このアプローチは、準備^{[ 15 ]}、保護、対応、復旧^{[ 16 ]}として要約されることがある。

レジリエンス理論は、広報の分野と関連付けることができます。レジリエンスは、市民、家族、メディアシステム、組織、政府が日常会話や仲介された会話を通じて構築するコミュニケーションプロセスです。^{[ 17 ]}

この理論は、パデュー大学ブライアン・ラム・コミュニケーション学部教授のパトリス・M・バザネルの研究に基づいています。バザネルは、2010年の論文「レジリエンス：新たな常態を語り、抵抗し、想像する」^{[ 18 ]}の中で、組織が危機を乗り越えて繁栄するためには抵抗力を築く必要があると論じています。バザネルは、個人がレジリエンスを維持しようとする際に用いる5つの異なるプロセス、すなわち、常態の構築、アイデンティティの拠り所の肯定、コミュニケーション・ネットワークの維持と活用、代替的な論理の活用、そして肯定的な感情を強調しながら否定的な感情を抑えることを挙げています。

レジリエンス理論と危機コミュニケーション理論には類似点があるものの、同じものではありません。危機コミュニケーション理論は企業の評判に基づいていますが、レジリエンス理論は企業の回復プロセスに基づいています。レジリエンスには、正常化の構築、アイデンティティのアンカーの肯定、コミュニケーションネットワークの維持と利用、代替ロジックの活用、ネガティブな感情を前面に出しながらもネガティブな感情を軽視するという5つの主要な要素があります。^{[ 19 ]}これらのプロセスはそれぞれ、危機時の企業に適用できるため、レジリエンスは企業がトレーニング中に重点を置くべき重要な要素となります。

危機の影響を受ける主なグループは 3 つあります。ミクロ(個人)、メソ(グループまたは組織)、マクロ(国家または組織間) です。また、回復力には、プロアクティブとポスト レジリエンスという 2 つの主なタイプがあります。プロアクティブ レジリエンスは、危機に備え、企業のための強固な基盤を構築することです。ポスト レジリエンスには、従業員とのコミュニケーションを維持し、状況を確認することが含まれます。^{[ 20 ]}プロアクティブ レジリエンスは、作業環境の変化を引き起こす可能性のある問題に対処することであり、ポスト レジリエンスは、インシデントが発生した後にコミュニケーションを維持し、変化を受け入れることです。回復力は、あらゆる組織に適用できます。ニュージーランドでは、カンタベリー大学のレジリエント組織プログラムが、組織の回復力をベンチマークするための評価ツールを開発しました。^{[ 21 ]}これは 11 のカテゴリをカバーしており、各カテゴリには 5 ～ 7 つの質問があります。回復力比率はこの評価を要約したものです。^{[ 22 ]}

事業継続計画では、主要な依存関係が中断された場合でも、組織の運営を維持するために必要な重要な組織業務が継続して行われるように、計画と手順が使用されます。継続性は、組織が行うすべての活動に適用される必要はありません。たとえば、ISO 22301:2019では、組織は事業継続目標、許容される製品およびサービス業務の最小レベル、および許容される最大中断期間(MTPD) を定義する必要があります。^{[ 23 ]}

この計画における主要なコストの一つは、監査コンプライアンス管理文書の作成です。この情報を手作業で作成するのにかかる時間とコストを削減するために、自動化ツールが利用可能です。

事業影響分析（BIA）とは、組織の業務に及ぼす混乱の影響を特定・評価し、組織のニーズに適した復旧の優先順位と戦略を決定するために用いられるプロセスです。

BIAの主な目的は以下のとおりです。

1. 重要な活動と依存関係（人、プロセス、ベンダー、テクノロジー、設備）を特定する。

2. これらの活動に対する混乱の影響（財務、業務、評判、法的）を評価する。

3. 復旧時間目標（RTO）と復旧時点目標（RPO）を決定する。

4. 事業継続戦略および計画の策定を支援する。

5. BCMSフレームワーク内でリスク評価と軽減策に情報を提供する。^{[ 27 ]}

各関数には、2つの値が割り当てられます。

• リカバリポイント目標 (RPO) – 回復できないデータの許容遅延。たとえば、会社が 2 日分のデータを失うことは許容できるでしょうか? ^{[ 28 ]}リカバリポイント目標は、各アクティビティで許容できる最大データ損失を超えないようにする必要があります。
• 復旧時間目標（RTO） – 機能を復旧させるために許容される時間

リスク評価フェーズの目的は、混乱につながる可能性のあるリスクを特定し、その発生可能性と潜在的な影響を評価することです。リスク評価の主なアクションは次のとおりです。1. 内部および外部の脅威を特定する（「一般的な脅威」セクションを参照）。2. 脆弱性と潜在的な結果を分析する（例：停電時に発電機がない場合）。3. 発生可能性と影響の深刻度を判断することにより、各リスクを評価する。4. 対処および軽減のためのリスクの優先順位付けを行う。^{[ 36 ]} 一般的な脅威には次のものがあります。

上記のような問題は連鎖的に影響を及ぼす可能性があります。対応に苦慮したり、物資が不足したりする恐れがあります。2002年から2003年にかけてのSARS流行時には、一部の組織が病気の潜伏期間に合わせてチームを区分けし、交代制で対応にあたりました。また、業務時間内外を問わず、対面での接触を禁止しました。これにより、脅威に対する回復力が向上しました。

影響シナリオが特定され、文書化される。

• 医療物資の必要性^{[ 37 ]}
• 交通手段の必要性^{[ 38 ]}
• 原子力災害の民間への影響^{[ 39 ]}
• ビジネスおよびデータ処理用品の必要性^{[ 40 ]}

これらは可能な限り広範囲にわたる被害を反映しているべきである。

事業継続計画と管理をサポートするために利用できる規格は多数あります。^{[ 43 ] [ 44 ]}例えば、国際標準化機構（ISO）は、技術委員会ISO/TC 292の責任の下、事業継続管理システムに関する一連の規格を 開発しました。^{[ 45 ]}

• ISO 22300 :2021 セキュリティとレジリエンス - 用語集（ISO 22300 :2018 セキュリティとレジリエンス - 用語集および ISO 22300 :2012 セキュリティとレジリエンス - 用語集を置き換える。）^{[ 46 ]}
• ISO 22301 :2019 セキュリティとレジリエンス - 事業継続マネジメントシステム - 要求事項（ISO 22301 :2012 を置き換える）^{[ 47 ]}
• ISO 22313 :2020 セキュリティとレジリエンス - 事業継続マネジメントシステム - ISO 22301 の使用に関するガイダンス ( ISO 22313 :2012 セキュリティとレジリエンス - 事業継続マネジメントシステム - ISO 22301 の使用に関するガイダンスを置き換える) ^{[ 48 ]}
• ISO/TS 22317 :2021 セキュリティとレジリエンス – 事業継続マネジメントシステム – 事業影響分析のガイドライン – (ISO/TS 22315:2015 社会セキュリティ – 事業継続マネジメントシステム – 事業影響分析のガイドラインを置き換える) ^{[ 49 ]}
• ISO/TS 22318 :2021 セキュリティとレジリエンス - 事業継続マネジメントシステム - サプライチェーン継続性に関するガイドライン（ISO/TS 22318:2015 社会セキュリティ - 事業継続マネジメントシステム - サプライチェーン継続性に関するガイドラインを置き換える）^{[ 50 ]}
• ISO/TS 22330 :2018 セキュリティとレジリエンス - 事業継続マネジメントシステム - 事業継続における人的側面に関する指針（2022年現在）^{[ 51 ]}
• ISO/TS 22331 :2018 セキュリティとレジリエンス - 事業継続マネジメントシステム - 事業継続戦略の指針 - (2022 年現在) ^{[ 52 ]}
• ISO/TS 22332 :2021 セキュリティとレジリエンス - 事業継続マネジメントシステム - 事業継続計画と手順の策定に関するガイドライン（2022年現在）^{[ 53 ]}
• ISO/IEC/TS 17021-6 :2014 適合性評価 - マネジメントシステムの監査および認証を提供する機関に対する要求事項 - 第 6 部: 事業継続マネジメントシステムの監査および認証のための能力要求事項。^{[ 54 ]}
• ISO/IEC 24762:2008 情報技術 - セキュリティ技術 - 情報通信技術災害復旧サービスに関する指針（廃止）^{[ 55 ]}
• ISO/IEC 27001:2022情報セキュリティ、サイバーセキュリティおよびプライバシー保護 ―情報セキュリティマネジメントシステム ― 要求事項。（ISO/IEC 27001:2013 情報技術 ― セキュリティ技術 ― 情報セキュリティマネジメントシステム ― 要求事項を置き換える。）^{[ 56 ]}
• ISO/IEC 27002:2022 情報セキュリティ、サイバーセキュリティおよびプライバシー保護 ― 情報セキュリティ管理策。（ISO/IEC 27002:2013 情報技術 ― セキュリティ技術 ― 情報セキュリティ管理策の実施規範を置き換える。）^{[ 57 ]}
• ISO/IEC 27031 :2011 情報技術－セキュリティ技術－事業継続のための情報通信技術の準備に関する指針。^{[ 58 ]}
• ISO/PAS 22399:2007 社会の安全 - インシデントへの備えと業務継続管理に関するガイドライン（廃止）^{[ 59 ]}
• IWA 5:2006 緊急時対応準備（撤回）^{[ 60 ]}

英国規格協会（BSIグループ）は一連の規格を発表しましたが、それらはその後撤回され、上記のISO規格に置き換えられました。

• BS 7799 -1:1995 - 周辺機器向け情報セキュリティ手順。（廃止）^{[ 61 ]}
• BS 25999 -1:2006 - 事業継続性マネジメント パート 1: 実施規範 (廃止、撤回) ^{[ 62 ]}
• BS 25999-2:2007 事業継続マネジメント パート 2: 仕様 (廃止、撤回) ^{[ 63 ]}
• 2008: BS 25777、情報通信技術の継続性管理。実施規範。（廃止）^{[ 64 ]}

英国では、BS 25999-2:2007 および BS 25999-1:2006 が、あらゆる組織、産業、セクターにおける事業継続管理に使用されていました。これらの文書は、異常気象からテロ、IT システムの障害、従業員の病気まで、ほとんどの事態に対処するための実践的な計画を提供します。^{[ 65 ]}

2004年、前年の危機を受けて、英国政府は2004年市民緊急事態法を可決しました。企業は、インシデントを可能な限り最小限に抑えながら、生き残り、繁栄し続けるための継続計画措置を講じなければなりません。この法律は2つの部分に分かれています。パート1：市民保護、地元の対応者の役割と責任を規定 パート2：緊急権限。^{[ 66 ]} 英国では、レジリエンスはローカル・レジリエンス・フォーラムによって地域レベルで実施されています。^{[ 67 ]}

• HB 292–2006、「事業継続管理の実務者向けガイド」^{[ 68 ]}
• HB 293–2006、「事業継続管理に関するエグゼクティブガイド」^{[ 69 ]}

• NFPA 1600 災害/緊急事態管理および事業継続プログラムに関する規格（2010年）。全米防火協会。（改訂版）。^{[ 70 ]}
• NFPA 1600、継続性、緊急事態、および危機管理に関する規格（2019年、現行規格）、全米防火協会。^{[ 71 ]}
• 米国連邦政府の事業継続計画（COOP）および国家継続政策実施計画（NCPIP） ^{[ 72 ] [ 73 ] [ 74 ]}
• 事業継続計画スイート、国土安全保障省国家保護・プログラム局、FEMA。^{[ 75 ] [ 76 ] [ 77 ] [ 72 ]}
• ASIS SPC.1-2009、組織のレジリエンス：セキュリティ、準備、および継続性管理システム - 使用に関するガイダンス付き要求事項、米国規格協会^{[ 78 ]}

英国規格協会が2008年に出版した書籍『卓越性のための演習』では、事業継続計画をテストする際に活用できる3種類の演習が挙げられている。

• 机上演習とは、少人数で事業継続計画（BCP）の特定の側面について集中的に検討する演習のことである。別の形式としては、複数のチームからそれぞれ1名ずつ代表者が参加する形式もある。
• 中規模演習- 複数の部署、チーム、または分野が、複数の事業継続計画（BCP）の側面に着目して演習を行います。規模は、1つの建物内の数チームから、複数の拠点にまたがって活動する複数のチームまで多岐にわたります。事前に用意された「サプライズ」も追加されます。
• 複雑な演習- 中規模演習のすべての側面はそのままに、最大限のリアリティを実現するために、予告なしの起動、実際の避難、および実際の災害復旧サイトの起動が追加されます。

開始時刻と終了時刻は事前に合意されているものの、イベントが予定通りに進行した場合、実際の所要時間は不明となる可能性がある。

BCPマニュアルは組織の成長に合わせて進化し、誰が何を知っておくべきかについての情報を常に維持する必要があります。

• 一連のチェックリスト
  • 職務内容、必要なスキル、研修要件
  • 文書作成および文書管理
• 災害復旧時のタイムリーなコミュニケーションを促進するための用語の定義、^{[ 80 ]}
• 配布リスト（従業員、重要顧客、ベンダー／サプライヤー）
• 通信および交通インフラ（道路、橋）に関する情報^{[ 81 ]}

専門的な技術リソースを維持する必要があります。チェック項目は以下のとおりです。

• ウイルス定義ファイルの配布
• アプリケーションセキュリティとサービスパッチの配布
• ハードウェアの操作性
• アプリケーションの操作性
• データ検証
• データアプリケーション

ソフトウェアと作業プロセスの変更は文書化および検証する必要があり、文書化された作業プロセスの復旧タスクとそれをサポートする災害復旧インフラストラクチャによって、スタッフが事前に定められた復旧時間目標内に復旧できることを検証する必要があります。^{[ 82 ]}