パーソルグループとSky株式会社は、sightを通してエンジニアの自分らしいキャリアを応援しています

虎の巻!セキュリティ論 #08/災害時やトラブルにおける組織のITへの対策 ~IT事業継続について~(前篇)

f:id:sky-pca:20191020115630p:plain

1.はじめに

今日、ITはビジネスのさまざまな場面で用いられ、組織のビジネス活動にとって欠かすことのできないものとなりました。多くの人が日常的に業務のなかでメールやスケジュール管理、SNSなどを使っており、組織内部や外部とのコミュニケーションにとってもITが重要な役割を果たしています。そのため、トラブルの発生は組織の機能がまひすることにつながります。

ここでは、 組織が災害やトラブルに備えてITをどのように管理すればよいかということを、ビジネス(本稿では事業と呼ぶ)の継続という観点から述べていきます。

ただし、ITの重要性は組織によって異なるため、ここで述べるのは一般的な内容にとどめます。自組織でどのように利用していくかについては、皆さま自身で考えていただきたいと思います。


大規模な被害をもたらすとんでもない事象は、
いつか必ず起きると想定しておかなければなりません

 

2.災害や事故について

まず、災害は必ず来ると考える必要があります。地震のエネルギーを示すマグニチュード(リヒタースケール)と発生頻度の関係はグーテンベルグ・リヒター則と呼ばれ、べき乗則に従うことが広く知られています。 この法則は、さまざまな自然現象の規模と頻度を占める法則でもあります。筆者が情報漏えいの規模(漏えい件数)と発生頻度を調べた結果、情報漏えいにもさまざまな自然現象と同様に、べき乗則が当てはまることを示しました。

よく「デジタルトランスフォーメーションで働き方改革」と提唱されていますが、デジタルトランスフォーメーションを推進するのであれば、セキュリティリスク対策の強化も同時に進める必要があります。RPAを業務効率化のためのデジタルトランスフォーメーションとして取り入れるなら、セキュリティの強化もワンセットだと経営層に知ってもらえる機会です。まずは、各部門の業務内容を把握し、IT化が進んでいない業務に投資し続ければ将来的に業務効率が上がり間接経費を抑えることができると経営陣にわかってもらうこと。さらにIT化を進める段階で、セキュリティ・バイ・デザインを考慮し、セキュリティリスクを低減させる必要があることを知ってもらえれば、情報セキュリティ担当者にとっての課題である組織全体のセキュリティ強化も達成できるのではないでしょうか。

表1:べき乗測(グーテンベルグ・リヒター則)分布の例1

f:id:sky-pca:20191101051930p:plain

ここから読み取れるのは、事業に影響を及ぼす災害などの事象は大多数が小規模なものであるが、頻度は少なくとも極めて大きな規模の事象も起こり得るということです。すなわち、大規模な被害をもたらすとんでもない事象は、いつか必ず起きると想定しておかなければなりません。

近年、気象庁は甚大な被害をもたらした災害に対し「この規模の地震(台風)は想定できなかった」と発表することがあります。しかし、組織に必要なのはそのような想定外の事象に対しても、近い将来起きることと想定し、自組織を守るために事前の対策を講じておくことです。


「事業の復旧」のためには、
ITを含めた事業の本格的な回復が必要

3.ITを巡る事業継続とは

事業継続を脅かす要因には、組織外部からの事象である地震や津波、雷等の自然災害に加え、停電(※1)やネットワークサービス事業者等のトラブル(※2)、サイバー攻撃(標的型メール攻撃、サーバなどへの不正侵入など)があります。(3)

また、そのほかにも組織内部には、建物火災やシステムの誤作動・故障、個人情報の漏えいなど、さまざまなリスクが存在します。

このような事象が発生した際には、ITを安定して使用することが困難になり、組織の事業が継続できない事態に陥ります。被害を最小限に食い止めるためには、トラブルに遭う機会を減らすこと、すぐにトラブルを察知することが必要となります。また、トラブルからいかに素早く回復させ、トラブル前の状態に復旧させられるかが重要で、この一連の流れをまとめたのが「IT事業継続」です。

「IT事業継続」については、自然災害などを中心として考える方が多いようですが、ITについては個人情報の漏えいやサイバー攻撃によるものを含めて考えていく必要があります。

事業継続とIT

例えば、「台風や地震でオフィスが壊れ事業が続けられなくなった」「使っているネットワークの故障や個人情報の漏えいなどの事象が起きて事業を中止せざるを得なくなった」と想定してみましょう。このような状況では、通常の事業を続けていくことが困難になります。しかし、一般的にはこのような状態に陥っても、ある一部の事業のみを早期に復旧させたり、停止した事業を徐々に復旧させて、時期を決めて元の状態に回復させる必要があります。この事業回復までの流れを「事業継続マネジメント(BCM:Business Continuity Management)」、具体的な計画については「事業継続計画(BCP:Business Continuity Planning)」と呼びます。このBCMやBCPにおいてITが重要な役割を果たすのが「IT事業継続」です。(4)

ITから見たBCMは「ITに関わる機器やクラウドサービスの停止でITが利用できなくなり、事業が継続できなくなる事態を予防するとともに、早期に重要な事業を復旧させ、事業全体を回復させること」と言えるでしょう。ただし、BCMの役割はITの停止により事業が停止したり大きな影響を受けた場合に「できるだけ早く主要な事業に関係するITを復旧させること」だけではありません。被害を受けて動作しなくなったITの復旧も重要ですが、ここで忘れてはならないのが「事業の復旧のため」という観点です。例えば、インターネットのオンラインショップが「臨時の実店舗を開設する」ことも復旧の選択肢となり得ます。しかし、組織の事業を部分的に復旧しても本来の事業とはかけ離れているため、顧客や利用者が離れてしまいます。「事業の復旧」のためには、ITを含めた事業の本格的な回復が必要です。

さらに、組織が事業を最優先するにあたって、「ITの継続」が課題とならないように備えておかなければなりません。経済産業省の「ITサービス継続ガイドライン」 4では、図2に示すように、「組織におけるITの位置づけ」を、組織内部で事業を実施する組織内エンドユーザーや外部の顧客に対して「ITサービス」を提供することであると述べています。早期にITを復旧することはそのために必須の課題となるため、この観点の十分な理解が求められます。従って、事業継続を検討する際には「IT事業継続」のみを考えるのではなく、「事業継続のなかでのIT」として全体のバランスを考えてください。

図2:組織におけるITの位置づけ(出典:経産省「ITサービス継続ガイドライン」4)より

f:id:sky-pca:20191101051934p:plain


4.ITの事業継続

ビジネスインパクト分析とは

昨今のビジネスはわれわれが思っている以上にITに依存しています。そのため、ITサービスが停止するとすべての業務遂行に影響が及ぶため「IT事業継続」では、BCMやBCPで実施されている優先度をベースに対策することになります。

一般的に、BCPを策定する場合には「ビジネスインパクト分析」と呼ばれる手法が用いられます。「リスク分析」がリスクレベルを決定するプロセスであるのに対し、「ビジネスインパクト分析」では業務やシステムが停止・中断した際に被る損害の大きさや影響度合いを分析します。一度の災害や事故により事業が継続できなくなってしまったということがないよう、起こり得る災害を「リスク」ではなく「ビジネス」視点で捉えることがポイントです。

一般的なリスク分析では、発生頻度・確率が極めて低く規模も小さくなる傾向にあるため、リスクを受容することを選択できるかもしれません。しかし、東日本大震災クラスの災害は300年に一度の確率で発生すると言われています。組織そのものが消滅してしまう可能性を考慮すれば事業継続のための対策は必要です。この違いは、ITについても同様となります。(5)

一方、昨今の事業運営では、組織内部・外部を問わず、メールやSNSに依存し、情報の収集や共有には一般のオープンなSNSサービスなどを用いることも増えてきています。メールやSNSは、いつでも使える便利なツールという前提で使用されていると思いますが、災害時には、インターネットが使えなくなるためメールやSNSも使えません。そのため、事業がこれらのサービスに依存している場合には、SNSに対してもサービス継続のための対策が重要であり、「IT事業継続」の対象に含まれます。また、SNSなどのサービスを、非常時に使用できれば事業の復旧にも役立ちます。しかし、一般的な組織のBCMやBCPでは、SNSサービスについて忘れられていることも多いので注意が必要でしょう。次項では、非常時におけるコミュニケーションの観点からITサービスを見ていきます。

表1:リスク分析とビジネスインパクト分析

f:id:sky-pca:20191101051937p:plain


(※1)停電と言うと電線が切れるなどの事故を想定することが多いでしょう。しかし、雷による電源の瞬断や電圧の低下などもあります。組織は連続して電気を利用する場合には考慮が必要です。 また、忘れてはならないのは、東日本大震災では福島県の原子力発電所が停止したため、以降2か月ほど計画停電という、地域や時間帯による計画的な停電が実施されたことです。 (3)

(※2)ネットワークのトラブルは、事業者の内部の装置のトラブルや事業者と接続している回線なども含まれます。

 


参考文献

(1)原田要之助「大規模な情報漏えい事件の特性と対策の考え方」情報セキュリティ総合科学 第4号2012年11月

(2)鈴木 宏幸 新原 功一 原田 要之助「大規模個人情報漏えい事故の特性を考慮した事業継続対策」システム監査学会論文誌2016年、Vol29,No.1

(3)原田要之助「東日本大震災に学ぶ事業継続計画とITの在り方 組織におけるITリスク管理」情報セキュリティ総合科学、第3号2011年11月 

(4)「IT サービス継続ガイドライン」改訂版、2012年 

(5)「IT-BCP 策定モデル」内閣サイバーセキュリティセンター(NISC) 

情報セキュリティ大学院大学客員教授:原田 要之助

1954年京都生まれ。1979年京都大学大学院工学部数理工学専攻修了。電信電話公社(現NTT)の研究所で通信ネットワークの監視、制御システムを開発。1999年から情報通信総合研究所にてセキュリティのコンサルや監査に従事、大阪大学工学部大学院工学研究科の特任教授を経て2010年から2019年まで情報セキュリティ大学院大学教授。マネジメントと事業継続を講義。2019年より客員教授。経産省のIT関連の委員会の委員、2008年から2010年までISACA(情報システムコントロール協会)国際本部副会長、セキュリティマネジメント学会会長、日本ITガバナンス協会理事などを歴任。


第9回/Coming soon