評価基準 No.7-1-1-1
事業継続要件に沿った復旧準備

どのような観点で目標復旧レベルを定めればよいか？

・目標復旧レベルは、少なくとも次の観点を含めることが考えられる。

-目標復旧時間（RTO）：業務を何時間以内に再開するか

-目標復旧時点（RPO）：どの時点のデータまで復元するか

-復旧対象業務：優先して復旧する業務

-復旧方法：待機系、人手による代替、バックアップからの復元

システムによる業務継続として、どのような対策を実施すればよいか？

・ランサムウェアに代表されるように、昨今ではデータの暗号化等によりシステムを使用不可能にさせるようなサイバー攻撃が増加しており、このようなサイバー攻撃を想定したシステムの可用性を担保した対策を講じることが重要である。具体的には、例えば例示にあるとおり、メインで使用しているシステム（主系）に加えて、予備機、クラウド環境等により主系が使用できなかった場合に稼働させる予備のシステム（待機系）を整備することが考えられる。

人手による業務継続として、どのような対策を実施すればよいか？

・上記のとおりサイバー攻撃によりシステムが使用できなくなった場合は、復旧までの間人手による連絡又は業務の実施が必要となる場合も考えられる。そのような場合を想定し、あらかじめシステムを使用しない人手による手段を整備しておくことが重要である。具体的には、例えば例示にあるとおり、メールやチャットといったシステムを使用した手段ではなく、電話や FAX などのシステムによらない連絡手段を整備しておくことや、システムによる作業指示等を紙の帳票に切り替えて業務の運用を継続することなどが考えられる。

システムによる業務継続及び人手による業務継続のいずれの対策も整備しなければならないか？

・システムや業務の性質により、システムによる業務継続又は人手による業務継続を整備することが困難な場合も想定されるため、必ずしもすべての対策を整備する必要はない。ただし、システムの事業継続上の重要度、代替手段の有無、目標復旧レベル等の観点を考慮したうえで、どのような対策を整備すべきかを検討する必要がある。

サイバー保険は、事業継続対策として活用できるか？

・サイバー保険は、サイバー攻撃によるシステム停止や情報漏えい等が発生した場合に、事故対応費用、損害賠償費用、営業継続費用等を補償するほか、保険会社によっては事故発生時の専門事業者の紹介、脆弱性情報/脅威情報の提供、教育・訓練等の付帯サービスが提供される場合もある。これらは事業継続に向けた取組を支援する手段として有効であると考えられる。

-[参考]

サイバー保険｜企業のための保険ナビ｜日本損害保険協会(https://www.sonpo.or.jp/sme_insurance/cyber-hoken/)