Moshiru
会社情報記事一覧無料スキャン

会社のセキュリティ教科書　第9部 9-9

BCPとBIAとは｜止めてはいけない業務とRTO・RPOの決め方

公開：2026年10月15日／最終更新：同／Moshiru 岡﨑 悠太

こんなときに役立ちます

  • 取引先からBCP（事業継続計画）の有無を聞かれたとき
  • ランサムウェアやクラウドの障害で業務が止まったら、何から戻すかを決めておきたいとき
  • バックアップの頻度や、何時間で戻すかの目標を決めたいとき

読み終えたあと、社内でこう言えます

「止めてはいけない業務と戻すまでの時間を、1枚にまとめました」

結論：BCP（事業継続計画）とは、災害や事故で業務が止まっても、大事な業務を続けるか早く戻すための計画です。作り方の中心はBIA（事業影響度分析）で、業務が止まったときの影響を時間の経過で見て、止まってはいけない業務を決めることです。次に、何時間で戻すか（RTO）と、どの時点のデータまで戻すか（RPO）を決めます。小さな会社なら、重要業務3つと代わりの手段を1枚にまとめるところから始められます。

BCPは、BIAで止まってはいけない業務を決め、RTOとRPOを決め、代わりの手段を用意し、訓練で見直す流れで作る

BCP（事業継続計画）とは？防災計画との違い

BCPはBusiness Continuity Planの略です。内閣府の「事業継続ガイドライン」（2023年3月改定）や、中小企業庁の「中小企業BCP策定運用指針」（第2版、2012年3月）が日本の代表的な手引きです。中小企業庁の指針は、入門・基本・中級・上級のコースに分かれています。

計画目的主な中身
防災計画命と建物を守る避難の経路、消火、備蓄
BCP（事業継続計画）大事な業務を続ける・早く戻す重要業務、目標の復旧時間、代わりの手段、連絡体制
ITの復旧計画システムとデータを戻すバックアップ、復旧の手順と順番、代わりの機器

防災計画は「人と建物」を、BCPは「商売」を守る計画です。ITの復旧計画はBCPの一部で、システムの面を受け持ちます。国際規格ではISO 22301（2019年版）が事業継続マネジメントの要求事項を定めています。

帝国データバンクの調査（2026年6月公表）では、BCPを策定している企業は全体の21.4%、中小企業では18.3%でした。策定する意向のある企業が想定するリスクは、1位が自然災害（67.8%）、2位が情報セキュリティ上のリスク（50.2%）です。調べ方は異なりますが、内閣府の令和7年度の実態調査では、大企業の策定率は75.8%でした。会社の規模による差が大きいことが分かります。BCPは地震だけでなく、サイバー攻撃にも備える計画になってきています。

BIA（事業影響度分析）とは？止まってはいけない業務の決め方

BIAはBusiness Impact Analysisの略です。内閣府の事業継続ガイドラインは、原因を問わず、業務が止まったときの影響の大きさと、時間とともにどう変わるかを評価するとしています。手順は次のとおりです。

  1. 業務を書き出す：受注、出荷、請求、給与など、会社の業務を並べます（情報資産台帳があれば使えます）。
  2. 止まったときの影響を時間で見る：1日、3日、1週間止まったら、売上、資金繰り、取引先、法令や契約にどう響くかを書きます。
  3. 重要業務を選ぶ：影響が早く大きく出る業務を、優先して続ける・戻す「重要業務」に選びます。
  4. 許容できる限界と目標を決める：どこまで止まると致命的か（許容限界）を見積もり、それより早い目標の復旧時間の案を作ります。
  5. 必要なものを洗い出す：重要業務に要る人、機器、データ、取引先を並べ、復旧を遅らせる弱い所（ボトルネック）を見つけます。

目標は案として作り、対策で達成できるかを確かめたうえで、最後は経営者が決めます。ガイドラインも、目標は対策で達成できるものでなければならないとしています。影響の見方は、リスクアセスメントの手順と同じ考え方を使えます。

たとえば社員40人の食品卸では（架空の例）

飲食店に食材を届ける社員40人の食品卸を考えます。受注はクラウドの受発注サービス、請求は社内のサーバーで行っています。BIAの結果をまとめると、次のようになりました。

業務止まると許容限界RTORPO
受注・出荷半日で飲食店の営業に響き、取引を失う1日4時間直前
請求・入金確認月末に資金繰りが詰まる1週間3日前日
給与計算支給日に間に合わないと社員に響く支給日の3日前1週間前月末
社内の掲示・日報しばらく止まっても大きな影響はない1か月重要業務の後1週間前

この会社の重要業務は「受注・出荷」です。4時間で戻せない場合に備え、紙の注文書と電話での受注の手順を用意しておくことにしました。

RTO・RPO・許容限界の違いは？

BCPでは、似た略語がいくつも出てきます。IPAの「中小企業の情報セキュリティ対策ガイドライン」第4.0版（2026年3月）も、RTOとRPOに合わせてバックアップと手順を整え、訓練で確かめるよう勧めています。

用語意味決めると何が決まるか
RTO（目標復旧時間）止まってから、目標の水準まで戻すのにかける時間の目標代わりの機器や手段をどこまで用意するか
RPO（目標復旧時点）どの時点のデータまで戻すかの目標。失ってよいデータの幅バックアップをどの頻度で取るか
RLO（目標復旧レベル）どの水準まで戻すか（例：通常の50%の出荷）戻した直後の業務のやり方
許容限界（MTPD・MTD）これ以上止まると致命的になる時間の限界RTOの上限。RTOはこれより短くする

RPOはバックアップと直結します。毎晩1回バックアップを取るなら、最大で約1日分のデータを失うことになり、RPOは「前日の夜」です。「直前」まで戻したいなら、常に複製を取る仕組みが必要になり、費用が上がります。業務ごとに必要な分だけ決めるのがこつです。バックアップの置き方はバックアップの手引きにまとめています。

サイバー攻撃もBCPの対象になる？

なります。BIAは原因を問わずに影響を見るので、地震でもランサムウェアでも同じ表が使えます。ただし、サイバー攻撃には災害と違う点があります。

違い地震・水害サイバー攻撃
被害の範囲地域や建物に限られるネットワークでつながる所すべてに広がりうる
バックアップ離れた場所にあれば無事ネットワークでつながっていると一緒に暗号化されうる
戻す前の作業設備の点検入口をふさぎ、戻す元が無事かを確かめる
連絡の手段電話やメールが使えることが多い社内のメールやファイルが使えないことがある

サイバー攻撃に備えるBCPでは、ネットワークから切り離したバックアップと、紙や個人の電話で使える連絡網を用意します。戻す前の調査は原因調査とログの読み方、使っているクラウドが止まったときはクラウドが止まったときの手引きを参考にしてください。

小さな会社のBCPはどう作る？1枚から始める手順

分厚い計画書は要りません。中小企業庁の指針にも、小規模事業者を想定した入門コースがあります。まず1枚にまとめ、毎年見直していく方が役に立ちます。

  1. 重要業務を3つまでに絞る：BIAの表から、止まると最も困る業務を選びます。
  2. RTOとRPOを決める：業務ごとに、何時間で、どの時点まで戻すかを書きます。
  3. 代わりの手段を書く：システムが使えないとき、紙・電話・別の端末でどう続けるかを書きます。
  4. 連絡網と判断する人を書く：誰がBCPを発動するか、社員と取引先にどう連絡するかを決め、紙でも持っておきます。
  5. 年1回は訓練して見直す：バックアップから実際に戻せるか、目標の時間で戻せるかを試し、結果で計画を直します（PDCAで規程を見直す）。

中小企業庁の「事業継続力強化計画」の認定制度は、2021年6月時点の資料で、自然災害に加えてサイバー攻撃などのリスクも対象としています。認定を受けると、金融支援や補助金での優遇などを受けられる場合があります。支援の中身は年度で変わるため、申請前に中小企業庁の最新の案内を確かめてください。

チェックシートではこう聞かれる

よくある設問答え方の例
BCP（事業継続計画）を策定していますか。はい。受注・出荷を重要業務とし、目標の復旧時間と代わりの手段を定めた計画を、年1回見直しています。
重要なシステムの目標復旧時間（RTO）と目標復旧時点（RPO）を定めていますか。はい。受発注はRTO4時間・RPO直前、請求はRTO3日・RPO前日と定めています。
BCPにサイバー攻撃を想定していますか。はい。ランサムウェアを想定し、ネットワークから切り離したバックアップと紙の連絡網を用意しています。
BCPの訓練や、バックアップからの復旧テストを行っていますか。いいえ。現在は未実施で、〇月にバックアップからの復旧テストを行う予定です。

BCPがなくても、バックアップや連絡網など、部分的にできていることは書けます。「いいえ」でも、できていることと予定を添えると誠実な回答になります。

試験ではここが問われる

SG・支援士・Security+ 1・CISSP 7・CISM 4

  • BIAの役割：業務が止まったときの影響を分析し、重要業務と目標の復旧時間を決めるための材料にします。BCPを作る前に行います。
  • RTOとRPOの区別：RTOは「時間（何時間で戻すか）」、RPOは「時点（どこまでのデータを戻すか）」。RPOはバックアップの頻度で決まります。
  • 大小関係：RTOは最大許容停止時間（MTD・MTPD）より短く設定します。
  • BCPとDRP：BCPは事業全体を続ける計画、DRP（災害復旧計画）はITのシステムとデータを戻す計画で、BCPの一部です。
  • 訓練と見直し：机上訓練や復旧テストで実効性を確かめ、結果で計画を直します。

確認問題

問1 RPO（目標復旧時点）の説明として、最も適切なものはどれですか。

  1. ア 業務が止まってから、復旧するまでにかける時間の目標
  2. イ これ以上止まると事業が致命的になる時間の限界
  3. ウ どの時点のデータまで戻すかの目標
  4. エ 復旧後に、通常の何割の水準で業務を行うかの目標
答えと解説
正解：ウ　RPOは戻すデータの時点の目標で、バックアップの頻度と結びつきます。アはRTO、イは許容限界（MTD・MTPD）、エはRLO（目標復旧レベル）の説明です。

問2 社員15人の設計事務所（架空）は、毎日22時に図面データのバックアップを取っています。翌日15時にランサムウェアで暗号化されました。バックアップから戻すと、最大で何時間分の作業が失われますか。

  1. ア 約1時間分
  2. イ 約7時間分
  3. ウ 約17時間分
  4. エ 約24時間分
答えと解説
正解：ウ　前日22時から翌日15時までの約17時間分が戻りません。これを短くしたいなら、バックアップの頻度を上げてRPOを縮めます。エは1日1回の場合の最大値ですが、この問題の時刻では17時間です。

問3 BCPを作るときの進め方として、最も適切なものはどれですか。

  1. ア まず全業務を同じ早さで戻せるよう、全システムを二重化する
  2. イ BIAで止まったときの影響を時間で見て、重要業務と目標の復旧時間を決める
  3. ウ 自然災害だけを想定し、サイバー攻撃は別に考える
  4. エ 一度作った計画は、変える必要がない
答えと解説
正解：イ　BIAで優先する業務を決めてから対策を選びます。アは費用がかかりすぎ、優先順位がつきません。ウは原因を問わず影響を見るBIAの考え方に合わず、エは訓練と見直しを欠きます。

よくある質問

社員10人の会社にもBCPは必要ですか？
必要です。ただし大企業のような分厚い計画は要りません。重要業務を3つまでに絞り、目標の復旧時間、代わりの手段、連絡網を1枚にまとめれば、取引先への回答にも使えます。
RTOとRPOはどう違いますか？
RTOは「何時間で戻すか」という時間の目標、RPOは「どの時点のデータまで戻すか」という時点の目標です。RTOは代わりの機器や手順の準備で、RPOはバックアップの頻度で決まります。
BCPと事業継続力強化計画は同じものですか？
同じではありません。事業継続力強化計画は、中小企業庁が認定する防災・減災の事前対策の計画で、BCPを作る最初の一歩として使えます。認定を受けると支援策を受けられる場合があり、自社のBCPの中身をもとに申請することもできます。

この記事のまとめ

BCPの設問は、実態に合う回答案で返す

Moshiruは、打合せなしでテキストだけでお受けします。取引先から届いたチェックシートのBCPや復旧の設問に、御社の実態に合わせた回答を作ってお返しします。未整備の項目には、代わりの対策と予定の書き方も添えます。

回答代行を見る20問まで1.5万円・打合せなしメニューにないことを頼む文面で合意するまで料金はかかりません

参考にした資料

  1. 内閣府（防災担当）「事業継続ガイドライン－あらゆる危機的事象を乗り越えるための戦略と対応－」（2023年3月）
  2. 中小企業庁「中小企業BCP策定運用指針」
  3. 中小企業庁「『中小企業BCP策定運用指針（第2版）』について」（2012年3月）
  4. 中小企業庁「事業継続力強化計画 認定制度の概要」（2021年6月）
  5. IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版（2026年3月）
  6. 帝国データバンク「事業継続計画（BCP）に対する企業の意識調査（2026年）」（2026年6月）
  7. 内閣府「令和8年版 防災白書」第1部第1章第1節 1-9 事業継続体制の構築
  8. ISO「ISO 22301:2019 Security and resilience — Business continuity management systems — Requirements」（2019年10月）
  9. NIST CSRC Glossary「Recovery Point Objective」（出典：SP 800-34 Rev. 1）