• ソリューション

企業を狙ったサイバー攻撃による被害は深刻化しており、ランサムウェア感染やサプライチェーンを悪用した攻撃により長期にわたる事業停止に追い込まれるケースも発生しています。こうした状況を受け、サイバー攻撃を想定したBCP（事業継続計画）やBCM（事業継続マネジメント）への認識も高まっています。しかし計画を策定していても、有事に機能する体制を構築できている例は多くありません。

サイバー攻撃では被害範囲の特定、システム遮断、業務継続、顧客・取引先対応、法令対応、広報対応など、短時間で多くの判断が求められます。そのためIT部門だけでなく経営層、事業部門、広報、法務、リスク管理部門を含む全社的な体制が必要です。

ここでは、サイバーBCMの構築が難しい理由と、外部専門家によるコンサルティングを活用して実効性のある体制を構築するためのポイントを紹介します。

全社体制でのサイバーBCM構築を阻む課題

有事の際に機能するサイバー対策には、「サイバーBCP（計画）」の策定と、「サイバーBCM（継続的なマネジメント）」の両輪が必要です。しかし、その実現には組織的な課題が存在します。ここでは、サイバーBCMの構築を阻む主な要因を整理します。

サイバーBCMが難しい理由

まず、サイバー攻撃は自然災害などによる物理的被害とは異なりリスクの特定が困難です。被害発生のタイミングや被害状況を評価する基準が不明確なうえ、攻撃の手段は日々高度化しています。このような「事象の不確実性」の高さが、効果的な対策やBCMの構築を難しくする要因となっています。

全社体制構築を阻む「3つの壁」

上記のような不確実性の高い事象に対応するには、IT部門だけでなく全社を挙げた体制づくりが不可欠です。しかし、各部門の協力を得て実効性のある体制を構築する際、多くの企業で以下のような「3つの壁」が課題となります。

リソースの壁（教育や訓練の実施）：
サイバーセキュリティの専任担当者が不在、あるいは兼任であることが多いため、全社的な訓練や継続的な改善活動にまでリソースを十分に割けないという課題がある。

専門知識の壁（組織間連携とガバナンス）：
インシデント対応には最新の攻撃手法に関する理解に加え、個人情報保護法などの法令対応、監督官庁や取引先への報告、経営判断、ガバナンスといった、ITから経営までをまたぐ幅広い知識が求められる。

客観性の壁（網羅性と実効性の担保）：
自社の知見のみで計画を策定した場合、リスクの網羅性や有事に本当に機能するかどうか（実効性）を客観的に評価することが難しい。

このように、自社単独のリソースと知見のみで、全社的なサイバーBCMを構築・運用していくことには限界があります。次節ではこれらの課題を解消し、実効性のあるサイバーBCMを構築するための具体的なソリューションを提示します。

SOMPOリスクマネジメントによるサイバーBCMコンサルティング

サイバーBCMの構築では計画策定だけでなく、既存のBCPの見直しや代替運用手順の整備、危機管理広報、訓練・演習、改善活動までを一体的に進める必要があります。

SOMPOリスクマネジメントには、BCP策定支援に加え、既存BCPの弱点を洗い出す第三者レビューや対外的な説明力を高める視点、経営視点でのBCPレベルアップ支援といった特徴があります。

BCP策定フェーズ

サイバーBCP策定・レビュー：
まずは、サイバー攻撃を想定したBCPの策定または既存BCPの見直しが重要です。
自社で策定したBCPがある場合でも、内容が自然災害を前提とした防災マニュアルに近く、サイバー攻撃時に必要となる対応が十分に整理されていない場合があります。例えば、システム停止時の代替運用、復旧の優先順位、対外説明の基準などが不十分なケースなどが挙げられます。
そのため、以下のような観点からBCPを見直します。

代替運用・事業継続手順の整備：
サイバー攻撃によって基幹システム、受発注システム、生産管理システム、物流システムなどが停止した場合でも、重要業務を可能な範囲で継続するためには、代替運用手順の整備が必要です。例えば、以下のような内容を検討します。

危機管理広報・対外対応ルールの整備：
サイバー攻撃では、被害全容が分からない初動段階でも、顧客、取引先、監督官庁、メディアなどから説明を求められることがあります。
そのため、事前に対外対応ルールを整備しておくことが重要です。

BCM体制構築フェーズ

訓練・演習による実効性検証
BCPは策定して終わりではありません。机上演習や模擬記者会見、対策本部訓練などを通じて、計画が有事に機能するかを検証する必要があります。
訓練では、例えば以下のようなシナリオを想定します。

こうした演習により、部門間の連携不足、判断基準の曖昧さ、連絡体制の不備、広報対応の課題などを洗い出すことができます。

では、これらの取り組みにより、どのようなメリットがあるのでしょうか。次節ではコンサルティング導入で得られるメリットを紹介します。

コンサルティング導入のメリット「企業価値の保護」と「推進部門」のブレイクスルー

急増するサイバー攻撃により事業停止リスクが高まる中、企業価値を保護するためには有事にも機能するサイバーBCMの構築が不可欠です。しかし、いざ担当部門が主導して策定を進めようとしても、「経営層に必要性が伝わらない」「部門間の温度差により調整が難航する」といった社内の壁に直面し、プロジェクトが行き詰まるケースは少なくありません。
専門家によるコンサルティングの導入は、こうした推進部門の悩みを解決する強力なブレイクスルーとなります。第三者の知見とサポートを活用することで、以下の2つの側面から組織の課題を打破し、実効性の高い体制構築を実現します。

経営層も納得する「実戦対応力」と強靭な対応力（レジリエンス）の獲得

SOMPOリスクマネジメントの専門スタッフが「机上演習」や「模擬記者会見」といった厳しい状況を疑似体験する訓練を行います。これにより経営層から現場までの各部門で有事の役割が定着し、さらに机上の空論ではない「想定外の事態が起きても、組織が一丸となって柔軟かつ確実に事業を動かし続けられる強靭な対応力（レジリエンス）」を企業として獲得することができます。

「社内の壁」を突破し、最短で合意形成へ導くファシリテーション

SOMPOリスクマネジメントという1,300件以上の実績を持つ「第三者の専門家」がリードすることで、部門間の認識ギャップや感情的な対立を排除し、難航しがちな「全社ルールの策定・合意形成（BCM構築）」を、社内ハレーションを起こすことなく最短ルートで推進・完了することができます。

SOMPOリスクマネジメントが「BCM体制構築の推進役」として最適である３つの理由

日々深刻さを増すサイバー攻撃による被害から、企業の価値を守り顧客の信頼を勝ち取るために必要なBCM体制の構築。SONPOリスクマネジメントがその実現に最適な3つの理由を以下のとおりです。

1,300件以上のBCM支援実績
自然災害からサイバー攻撃まで、あらゆるリスク対応で培った圧倒的なノウハウと机上の空論ではない、現場に根ざした「本当に使える」計画策定の知見があります。

現場のリアルを知る専門家集団
サイバー保険と連携したIR（インシデント対応）チームや、過半数が元記者の危機管理広報チームなど、サイバー有事の「最悪の混乱状況」を熟知するプロフェッショナルが担当します。

部署間の壁を越える「ワンストップ支援」
CSIRT^※（IT復旧）、BCP（事業継続計画）、危機管理広報（対外対応）という3つの専門領域を、1つの窓口でシームレスに統合。部署間の複雑な調整を強力にバックアップします。

※CSIRT：Computer Security Incident Response Teamの略。コンピュータセキュリティに関するインシデント（事故）に対応する専門組織やチーム。

専門家と伴走し、実効性のあるBCMを

ここまでに述べてきたとおり、サイバーBCPの策定と、それを機能させるサイバーBCM体制の構築は、1つの部門だけで完遂できるプロジェクトではありません。

知識の共有・教育の推進・そして組織間に存在するさまざまな障壁。これらを克服し、全社を挙げての「強力な推進エンジン」として、SOMPOの専門知見を活用することが、事業と信用を守る最も確実な近道です。

SOMPOでは「サイバー攻撃想定型BCMコンサルティング」をはじめ、企業のサイバーセキュリティ対策をトータルにサポートしています。「保険」と「サービス」を掛け合わせ、これまで培ってきたリスクアセスメントのノウハウやインシデント時の初動支援など、独自の価値を通じたソリューションでお客さまの事業継続をご支援いたします。