セキュリティ・法務・リスクマネジメント
午前II午後I午後II論文
重要度:
BCP / BCM
よみがな: びーしーぴー / びーしーえむ
英語名称・略称: Business Continuity Plan / Management
1行要約（本質）
自然災害やサイバー攻撃等の有事において、中核事業を早期復旧・継続するための計画（BCP）と継続的運用体制（BCM）。
3つの重要ポイント
1
BCP（計画書）を一回作って終わりにせず、BCM（訓練・評価・改善のマネジメント活動）としてPDCAを恒久的に回す。
2
BIA（ビジネスインパクト分析）に基づき、目標復旧時間（RTO）と目標復旧時点（RPO）を合意する。
3
ITストラテジストは、データセンターの遠隔地二重化やクラウドDR（ディザスタリカバリ）構成を設計する。
構造・プロセスの図解
図BCP/BCMにおける有事の復旧曲線（RTOとRPO）
業務停止から中核機能復旧までのタイムライン指標1有事発生（障害・被災）
業務レベルが瞬時にゼロへ
地震、ランサムウェア感染でシステム完全停止。
2RPO (目標復旧時点)
データ消失許容限界
バックアップ時点までデータ巻き戻り。許容損失時間（例: 30分前）。
3RTO (目標復旧時間)
業務再開目標リミット
最低限の中核業務を復旧させるまでの許容停止時間（例: 4時間以内）。
4通常操業への全面復帰
平常運転へのリカバリ
代替機から本番機へ切り戻し、全業務の完全復旧を達成。
概要・背景・本質
地震・水害や大規模ランサムウェア感染によって基幹システムが全面停止した際、何日も業務が止まれば企業は破綻します。BCP/BCMは、中核事業を特定し、限られた経営資源（代替オフィス、予備サーバー、要員）で最低限のサービスを許容停止時間内に再開させるための経営戦略です。
コア概念と着眼点
- BIA（ビジネスインパクト分析）：業務停止に伴う金銭的・社会的損失を時間経過とともに試算
- RTO（目標復旧時間）：業務をいつまでに再開させるか（例：24時間以内）
- RPO（目標復旧時点）：障害発生時から過去何時間前までのデータ消失を許容するか（例：1時間前）
- DR（Disaster Recovery）：遠隔地クラウドへのリアルタイムデータレプリケーションと切替訓練の実施
ITストラテジスト試験（午後I記述・午後II論文）での論述ポイント
午後I記述問題で「RTOとRPOの計算」「バックアップ方式（フル・差分・増分）と復旧手順の選定」が超頻出。午後II論文では、災害対策やランサムウェア対策において『オフラインのイミュータブル（改ざん不能）バックアップを遠隔地に確保し、年2回の切り替え訓練をBCMサイクルに組み込んだ』と書くと高得点。