• リスク・課題

近年、データ流出やシステム停止など、サイバー攻撃による物理的な「事業停止」リスクが急増しています。しかし、予測困難なサイバー有事において、バックアップなどの「IT BCP」やマニュアルだけでは事業を守り切れません。

脅威に立ち向かうには、サイバー攻撃を想定した「BCP（計画）」に加え、全社を巻き込んだ「BCM（事業継続マネジメント）体制」の構築が不可欠です。本記事では、計画（サイバーBCP）の策定だけでなく、経営トップから現場までが自身の責任として動ける体制「サイバーBCM」へと視座を引き上げる必要性を整理します。

急増する「サイバー攻撃」

ランサムウェア、標的型攻撃、マルウェア感染、サプライチェーンを悪用した攻撃など、企業を狙うサイバー脅威は年々深刻化しています。サイバー攻撃によるシステム停止や業務中断、信用の失墜、莫大な復旧コストなど、経営に致命的なダメージを与えかねません。

2025年における日本でのランサムウェア の被害報告件数は226件であり、長期にわたり企業活動が阻害され、国民生活に影響を与えた被害も複数発生しています。^※また被害の調査費用や復旧費用も高額化しており、復旧に総額1,000万円以上を要した組織の割合 は全体の５割を超えています。復旧までに要した期間も、１か月以内で 復旧した組織の割合が全体の５割強に達するなど、被害が長期化する傾向にあります。さらに復旧に２か月以上を要した組織の半数で、被害額が１億円以上に達しているというデータもあり、被害を長期化させない対応が重要といえます。

※出典：警察庁『令和７年におけるサイバー空間をめぐる脅威の情勢等について』（2026.03.12）
https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf

自然災害BCPやIT BCPの流用では不十分。サイバーBCPが必要な理由

サイバー攻撃による被害は、自然災害と異なり、その実態把握に特有の困難さが伴います。自然災害であれば、被害を受けた地域や物理的な損害はある程度視覚的に把握できますが、サイバー攻撃においては、攻撃の発生時期、影響を受けているシステムやデータ、さらには取引先への波及といった被害範囲の特定に時間を要します。

さらに、攻撃者が巧妙に社内ネットワークに潜伏している可能性も否定できません。このような状況下で、単純にバックアップからの復旧のみに頼った対応は、残念ながら再感染や被害のさらなる拡大を招くリスクをはらんでいます。

これらの理由から、従来の自然災害を想定したBCP（事業継続計画）や、ITインフラの復旧を主眼としたIT BCPのみでは、サイバー攻撃に対する十分な備えとは言えません。サイバー攻撃の脅威に特化した「サイバーBCP」という、より専門的かつ網羅的な計画策定が不可欠となります。

このサイバーBCPが果たすべき役割、そして自然災害BCPやIT BCPとの違いを踏まえながら、なぜ今サイバーBCPが組織にとって必要不可欠であるのかを考えてみましょう。

有事の混乱を防ぎ、最短で事業を復旧させるサイバーBCPの役割

サイバーBCP（サイバー事業継続計画）とは、サイバー攻撃によって企業の事業継続に影響が生じた場合に備え、被害の拡大を抑えながら、重要業務を継続または可能な限り早期に復旧させるための方針、体制、手順などを定めた「計画書」です。システムに被害が発生した場合でも、重要な事業を中断させない、あるいは中断してもその期間を可能な限り短縮することを目指します。

いつシステムを遮断・再開するか。自然災害BCPでは定義できない初動対応の壁

自然災害BCPでは、設備や拠点の被災を前提とした復旧手順の計画が中心に据えられることが多くあります。一方、サイバー攻撃による被害には、「被害発生のタイミングがわからない」「自社システムが踏み台となり、第三者に被害を及ぼす加害側となる可能性がある」といった、自然災害とは異なる特徴があります。また、自然災害BCPを基にした計画では、「感染した可能性のあるシステムを遮断するか」「いつ再開してよいか」という課題への対策が定義されていないケースが多く見られます。

IT BCPとサイバーBCPという明確な役割の違い

IT BCP（IT事業継続計画）は、システム障害や災害発生時に、ITサービスを継続・復旧させるための計画です。その主な内容は、システムやソフトウェア、データのバックアップ、冗長化構成、代替システムの準備、そして具体的な復旧手順の策定に焦点が当てられています。

一方、サイバーBCPは、サイバー攻撃の存在を前提とし、さらに踏み込んだ対応を計画します。具体的には、侵害範囲の調査、感染した端末やネットワークの隔離、サイバーインシデントにおける証拠保全、バックアップデータの安全性確認、復旧の可否判断、そして顧客、取引先、監督官庁への報告といった、インシデント発生後の対応まで含まれます。

したがって、IT BCPの延長線上のみでは、サイバー攻撃発生時の事業継続には不十分と言わざるを得ません。企業のIT依存度がますます高まり、サイバー脅威が深刻化する現代において、IT BCPとサイバーBCPの両方の観点を整備し、その実効性を確保することが強く求められています。

サイバーBCP策定を阻む「組織の壁」― "IT部門任せ"が招く事業継続リスク

経済産業省が公開している『サイバーセキュリティ経営ガイドライン』^※などにより、サイバーセキュリティへの取り組みは活発化しています。しかし侵入を防ぐための技術的対策や予防対策に重点が置かれる一方で、その対策が「IT部門」へ一任（丸投げ）されてしまうケースが多く見受けられます。有事に実効性あるサイバーBCPを策定するためには、この「IT部門への過度な依存」という組織の壁を越えなければなりません。

※出典：経済産業省『サイバーセキュリティ経営ガイドライン Ver 3.0』（2023.03.24）
https://www.meti.go.jp/policy/netsecurity/mng_guide.html

サイバーBCPは「IT部門の課題」から「全社課題」へ

サイバー攻撃によるシステム停止被害を最小限に抑えるためには、「代替運用」の体制構築や、被害状況が不明瞭な状況下での「情報公開基準」の策定など、事業運営や経営判断に直結する意思決定が不可欠です。

これらの重要な事項をIT部門のみで策定・実行することは極めて困難であり、事業部門、広報部門、法務部門、そして経営層を含む全社的な連携が不可欠となります。しかしながら、日常的にIT課題に関わる機会の少ない部署に対し、その重要性を十分に認知させ、全社的な危機対応として主体的に参画を促すことは容易ではありません。これが、多くの企業においてサイバーBCP策定を阻む大きな障壁となっています。

計画倒れを防ぐ―有事で機能する「サイバーBCM（継続的マネジメント）体制」の重要性

急増するサイバー攻撃という現実に対し、事業停止という最悪の事態をどう乗り越えるのか。これまで述べてきたように、実効性のある対応手順（サイバーBCP）を定めることは急務です。しかし、どれほど緻密な「計画書（BCP）」を作成しても、それが全社に周知され、訓練を通じて継続的に改善される「仕組み」がなければ、いざという時に現場は動けません。真に有事に役立つ組織を作るためには単なる計画（BCP）の策定にとどまらず、経営層を巻き込んで計画を運用・管理する全社的な体制「サイバーBCM（事業継続マネジメント）」へ視野を広げ、取り組む必要があります。

サイバーBCMとは

サイバーBCMとはサイバー攻撃を想定した事業継続マネジメントであり、サイバーBCPの策定にとどまらず、その実効性を高めるための運用・改善までを含む常日ごろからの戦略的な活動全般を指します。具体的なサイバーBCMの取り組みにはサイバーBCPの定期的な見直しや更新、予算や資源の確保、従業員への教育・訓練、継続的な改善活動などが含まれます。つまり、サイバーBCPという「計画」を有事に機能させるためのマネジメントの仕組み全体がサイバーBCMです。

サイバーBCPを「使える計画」にするために

サイバー攻撃による被害が発生した際、サイバーBCPの計画どおりに対策本部が機能し、迅速な判断を下すには、平時から実践的な準備が欠かせません。計画を形骸化させず「使える計画」にするためには、サイバーBCMの取り組みを通じて模擬記者会見や机上演習などを繰り返し行い、有事における組織の実戦感覚を養っておく必要があります。サイバーBCP（事業継続計画）を形骸化させることなく有効に機能させるには、有事の行動を想定したサイバーBCM（マネジメントと訓練）が両輪として機能することが求められます。

サイバーBCM体制の構築に向けて―推進部門が直面する「新たな壁」

サイバーBCMの構築には、インシデント対応体制の整備や、全社横断での演習・訓練が前提条件となります。しかし、これらをリスク管理や経営企画などの「推進部門」が単独で牽引し、IT部門や事業部門を巻き込んでゼロから体制を構築することは極めて困難です。

サイバー攻撃による被害が甚大化し、その対応力が「企業価値」を左右する現在、サイバーBCMの構築は経営の最重要課題のひとつです。特定の部門に負荷を偏らせるのではなく、外部パートナーの知見も活用しながら「全社横断のプロジェクト」として強力に推進するアプローチが求められています。