2026年10月中旬には、電子書籍ストア、中古車情報サイト、クラウド事業者、医療機関向けの予約システムなどで、不正アクセスを受けたサービスの停止が続きました。どの事例でも、攻撃が分かってから再開の見通しを示すまでに時間がかかっています。原因を突き止めて安全を確かめるまでは、システムを動かせないためです。
本記事では、サイバー攻撃でシステムが止まる前提に立ち、IT部門と経営が事前に決めておくべきことを、IT-BCP（情報システムの事業継続計画）の観点から整理します。
課題 ― BCPはあるのに、サイバー攻撃では使えない
多くの企業は地震や水害を想定したBCPを持っています。ところが、ランサムウェアなどで基幹システムが止まると、計画書を開いても「誰が、どの業務を、何を使って続けるか」が書かれていないことがよくあります。その結果、停止中の判断が経営とIT部門、現場の間を行き来し、復旧作業より調整に時間を取られます。
なぜ災害型のBCPが効かないのか
| 自然災害 | サイバー攻撃 | |
|---|---|---|
| 被害範囲 | 地域・拠点単位で見える | どこまで侵害されたか、すぐには分からない |
| 代替手段 | 別拠点・待機系へ切り替える | 待機系やバックアップも汚染されている恐れがある |
| 再開の条件 | 設備が復旧すれば再開できる | 侵入経路を塞ぎ、安全を確認するまで再開できない |
| 判断の性質 | 復旧作業の段取り | 「止め続けるか、再開するか」という経営判断 |
切り替えて早く戻す、という災害型の発想は、侵害の範囲が分からない状況では裏目に出ることがあります。安全を確かめずに再開すると、被害が広がりかねないためです。
事前に決めておく四つのこと
1. 業務の優先順位と許容停止時間 システム単位ではなく業務単位で、止まったときの影響を評価します（BIA：ビジネスインパクト分析）。そのうえで、業務ごとに復旧までの目標時間（RTO）と、失ってもよいデータの範囲（RPO）を決めます。経済産業省・IPAの「サイバーセキュリティ経営ガイドライン Ver3.0」も、指示8で、経営への影響を踏まえて「いつまでに復旧すべきか」を定めるよう求めています。
2. 止めない業務の縮退手段 受注や出荷、請求など、止められない業務は、システムがなくても続けられる手段を用意します。紙の伝票や表計算での仮運用、取引先への連絡手順などです。縮退運転の期間に作った記録を、復旧後にどう取り込むかまで決めておきます。
3. 再開判断の基準と決裁者 「侵入経路を塞いだ」「影響範囲を特定した」「復元したデータに不審な点がない」など、再開の条件を事前に合意します。そのうえで、最終的に再開を決める人を一人に定めます。条件を先に合意しておく考え方は、本番稼働判定（Go/No-Go判定）と同じです。
4. 復元できるバックアップ バックアップは、取得していても戻せなければ意味がありません。本番環境から切り離して保管すること、復元の手順を定期的に試すこと、戻す前に改ざんがないか確かめることの三点が必要です。NIST CSF 2.0も、復旧の機能（RECOVER）のなかで、復元前にバックアップの完全性を確認するよう示しています。
進め方
| ステップ | やること | 成果物 |
|---|---|---|
| 1. 業務の洗い出し | 業務とシステムの対応を整理する | 業務・システム対応表 |
| 2. 優先順位づけ | BIAで業務ごとのRTO・RPOを決める | 優先業務リスト |
| 3. 手順の整備 | 縮退運転・再開判断・連絡の手順を定める | IT-BCP、判断フロー |
| 4. 演習 | 攻撃を想定した机上演習を経営層も参加して行う | 演習記録、改善項目 |
業務とシステムの対応表は、アプリケーションポートフォリオ管理の台帳があればそのまま使えます。クラウドや委託先が止まる場合も想定に含めます。重要な委託先の見極め方はサードパーティリスク管理で扱っています。
よくある失敗と回避策
| よくある失敗 | 回避策 |
|---|---|
| 計画がIT部門の中だけで閉じている | 業務部門と経営が参加して、優先順位を合意する |
| すべての業務を「最優先」にする | 停止したときの影響で比べ、順位をつける |
| バックアップの取得だけ確認している | 復元を試し、かかった時間を記録する |
| 演習をしたことがない | 年に一度は経営層を含めた机上演習を行う |
まとめ
サイバー攻撃による停止で問われるのは、技術的に早く戻すことよりも、どの業務をどの手段で続け、どの条件がそろえば再開するかを、あらかじめ合意しておくことです。業務の優先順位を決め、縮退運転・再開判断・バックアップの三つを手順に落とし、演習で確かめます。この順番で進めれば、限られた体制でも使える計画になります。
FAQ
Q. 既存のBCPとは別に作るべきですか。 A. 別の文書にする必要はありません。全社のBCPと業務の優先順位をそろえたうえで、サイバー攻撃を想定した手順をIT-BCPとして追加する形が現実的です。
Q. 中堅・中小企業でも必要ですか。 A. 規模を問わず必要です。体制が小さい場合は、優先業務を数個に絞り、その業務の縮退手段と再開判断の基準から整えてください。
Q. 再開を決めるのはIT部門ですか、経営ですか。 A. 技術的に安全かどうかはIT部門やセキュリティ担当が判断します。止め続けた場合の損失と比べて再開するかどうかは、事業の責任を持つ経営が決めるべきです。
参考資料
- 経済産業省・IPA『サイバーセキュリティ経営ガイドライン Ver3.0』 https://www.meti.go.jp/policy/netsecurity/downloadfiles/guide_v3.0.pdf
- IPA『サイバーセキュリティ経営ガイドライン実践のためのプラクティス・ナビ』（指示8） https://www.ipa.go.jp/security/economics/practices_navi/practice233.html
- NIST『The NIST Cybersecurity Framework (CSF) 2.0』 https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.29.pdf
- 内閣府『事業継続ガイドライン（令和5年3月）』 https://www.bousai.go.jp/kyoiku/kigyou/pdf/guideline202303.pdf