Tweet

BCP、よくある失敗パターン

＠IT情報マネジメント編集部

2011/9/22

“ITシステムも含めたBCP”、実現できていますか？

　「東日本大震災以降、BCPに関する問い合わせが大幅に増えた。『これからBCPを策定したいがどうすれば？』という要望もあれば、『策定済みだが、いざというときに機能するか客観的に評価してほしい』といった声もある。いずれにせよ、震災以前に比べてBCPを真剣に見直す機運が高まっている」

　こう語るのは、2011年9月13日〜30日まで開催中のITmedia Virtual EXPO「復興／事業継続ゾーン」に登壇する、プライスウォーターハウスクーパース テクノロジーソリューション シニアマネージャーの一原盛悟氏だ。ただ同氏は、「BCPに取り組む企業は多いが、業務部門主体でBCPを進めてしまい、ITシステムとの整合性が取れていないケースが多い」と、企業が陥りがちな問題点を指摘する。

　「事業継続性を確保するためには、まず『万一の際、どの業務を止めてはならないのか』を洗い出すとともに、その実行を担うシステムを明確化することが不可欠。“業務とそれを支えるシステム”の整合性を取ってBCP／DRを進めていく必要がある」

　その際には、各種業務に対する災害の影響と、自社における各種業務の重要度を考慮し、業務／システムの停止からサービスを復旧するまでにかける経過時間――RTO（Recovery Time Objective）を策定する必要がある。だが、このRTOをしっかりと考えていなかったり、その通りに復旧できる体制が整っていなかったりするケースも多いという。

　また、「止めてはならない業務／それを支えるシステム」の選別とRTOの策定は、不用意に取り組めば多額なコストが掛かりがちなDRを適切なコストで、効率的に行うためのポイントでもある。しかし今、多くの企業がこうした“ITシステムまで含めたBCP”を実践できていない状況だという。

「事業継続を目的としたIT投資」の実現は厳しい

　一方、一原氏はBCPに対する関心の高まりに対し、「事業継続を目的としたIT投資の実現は厳しいのではないか」とも指摘する。「仮想化、クラウド、シンクライアントなど、DRにはさまざまな手段がある。だがDRはリスクマネジメントの一環であり、それ自体が利益を生み出すものではない」。この点で、社内的に予算を確保しにくい側面もあるのではないかというわけだ。

　従って、「BCP／DRを単独で考えるのではなく、例えばクラウドを使うなら、クラウドの業務効率化に対するメリットと、BCP／DR上のメリットを併記して経営層にコミットすることが大切。あくまで（収益につながる）IT戦略ありきでBCP／DRを考え、提案することがポイントだ」という。

　BCPを策定しても、「作って終わり」にしてしまう失敗パターンも多いそうだ。いざというとき、BCPを機能させるためには、計画通りに動けるか、平時から演習やテストを繰り返し、改善点があれば計画に反映していくBCMの取り組みが不可欠となる。

　だがBCPを策定した後、何もしていなかったり、バックアップシステムへの切り替え・切り戻しについて手順は決めていても、本番機を使った訓練はリスクが大きいなどの理由で、実践したことがないケースも多い。しかし平時にしっかりとテストをしておかなければ、有事の際に業務そのものが停止してしまいかねない。一原氏は「BCPは作って終わりではない。その後のテスト、継続的改善が大切だ」と、あらためて力を込める。

　ITmedia Virtual EXPOのセミナーでは、この他にもBCP成功のポイントを多数紹介している。特に、「ユーザー部門は有事の際、事業継続のために、『基幹システムから特定のデータを抽出してほしい』など、あらゆることを情報システム部門に依頼してくるはず。そうした細かな要望を想定し、着実に対応できる体制を整えておくべき」など、リアリティある指摘を数多く学べる点が特徴だ。災害対策担当者や情報システム部門の人はぜひ視聴してはいかがだろう。今取り組んでいるBCP／DRがうまくいかない理由や、策定済みの対策の意外な問題点を発見できるかもしれない。

編集部からのお知らせ 2011年9月13日〜30日まで開催するITmedia Virtual EXPO「復興／事業継続ゾーン」でプライスウォーターハウスクーパース の一原盛悟氏が「BCPとセキュリティ対策にみる企業の危機管理とは」と題して講演します。参加には来場登録（無料）が必要ですので、下記ページよりぜひご登録ください。

＠IT情報マネジメント メールマガジン　情報マネージャのための情報源（無料）