中小企業のサイバーBCPは、重要業務、復旧の目標、代替手段、判断者、訓練方法を決めるところから始めます。受注や出荷のシステムが止まっても、必要な仕事を続け、安全を確認して再開できる状態を目指します。
IT業者がシステムを復旧している間、誰が顧客へ連絡し、どの注文を優先し、何を使って業務を続けるのか。その判断まで準備することが、経営者にとってのBCPです。
この記事で決めること
情報基準日：2026年9月7日
BCPは、緊急事態に重要事業を継続し、停止した場合に早期の復旧を図る計画です。サイバーBCPでは、ランサムウェア、不正ログイン、委託先の被害などによる業務停止を想定します。
災害と違い、建物や社員が無事でも、注文データや社内メール、バックアップまで改ざん・暗号化されている可能性があります。復旧には、使える設備の確認に加え、データと接続先を信頼できるかの確認が必要です。
予防のための多要素認証、更新、権限管理、バックアップと、停止後の業務継続を組み合わせます。IPAも、既存のBCPとの連携、復旧判断の基準、実践的な演習を示しています。IPA「事業継続・復旧体制の整備」
最初に、受注、製造、出荷、請求、入金、顧客連絡などの業務を挙げます。各業務が1時間、1日、3日止まった場合の、納期、顧客、売上、支払いへの影響を確認します。これが業務影響度分析（BIA）の出発点です。
例えば、受注画面だけが戻っても、在庫を確認できず配送の手配もできなければ出荷は再開できません。システム同士の接続に加え、業務の前後関係から復旧順位を決めます。
設定例：受発注業務のRTOが8時間、RPOが1時間の場合
必要な水準の業務を8時間以内に再開し、失うデータを直近1時間分以内に抑える目標です。全業務を完全に復旧する時間とは分けて考えます。
1日1回のバックアップしかなく、追加の記録や復元手段もなければ、このRPOは満たせません。実際の復元テストと代替処理の所要時間をもとに、IT業者と実現性を確かめます。
上記の数値は説明用の例です。目標は業種、業務量、顧客との約束、費用に応じて決めます。復旧目標の考え方：IPA「事業／ITサービス継続」
ここでは、サイバー攻撃や障害によって、普段のシステムが使えなくなった状況を想定します。復旧を待つ間は、電話や紙など別の方法で必要な仕事を続けます。復旧したら、そのシステムを使って通常の処理へ戻る前に、安全性やデータの食い違いを確認します。
次の例から、自社で使っているシステムを選んで点検してください。技術的な安全確認はIT業者・専門家と行い、会社側は手作業で処理した内容と復旧したデータを照合します。代替手段には、被害を受けたメールや共有フォルダーへ依存しない連絡先・帳票を準備します。
代替業務にも、担当者と処理能力の限界があります。
紙の帳票があっても、必要な情報を取り出せなければ使えません。保管場所、閲覧権限、更新日、持ち出し時の管理まで決め、実際に取り出せるか試してください。
事故発生時は、社内責任者と代理者、IT業者、セキュリティ専門家への連絡経路を使います。製造設備など人の安全に関わる機器は、安全確保の手順を優先します。
「画面が動いた」だけで再開を判断しないことが大切です。
技術的な安全確認と、業務データの照合を再開条件にします。警察、所管機関、契約先等への報告・相談の要否も、担当者や専門家と確認してください。JPCERT/CC「侵入型ランサムウェア攻撃を受けたら読むFAQ」
最初は重要業務を一つ選び、次の項目を埋めてください。これは社内共有用の要約です。連絡先一覧、技術手順、代替帳票は別に管理します。
架空の記入例：受注から出荷まで
復旧目標を達成できない場合は、代替手段を増やす、対象業務を絞る、追加費用を検討するなど、計画と実態の差を埋めます。目標を書いただけで、復旧能力を確保したことにはなりません。
以下は計画作成の進行例です。緊急性の高い脆弱性や未保護アカウントは、日程を待たずに対応します。
月曜日の午前8時、受発注・顧客管理・在庫管理が利用不能になりました。画面には身代金要求があり、午前中に出荷予定の注文は80件。保守会社からは「復旧時期は未定」と連絡がありました。これは訓練用の架空の想定です。
誰が指揮するか、どの出荷を優先するか、代替手段で何件処理できるか、顧客へ何を説明するかを、経営者と担当者で確認します。回答が曖昧だった項目を計画へ戻し、担当者変更やシステム更新後にも見直してください。
画面右下の「AI経営参謀に聞く（無料）」から、次の文章の［ ］を自社の状況に置き換えて相談できます。
準備する情報：自社の業種、重要業務、使えなくなると困るシステム、代替手段の概要。添付は不要です。顧客・取引先の資料、個人情報、パスワードは入力しないでください。
当社は［業種］、従業員［人数］名の会社です。重要業務は［業務］で、［システム］を使っています。停止時の代替手段は［方法・未準備］です。
このシステムが朝から使えない状況を想定し、経営者と担当者が30分で行う机上訓練の進行案を作ってください。判断が必要な場面、確認する情報、訓練後の見直し項目を示してください。不足情報は質問し、復旧時間や安全性を推測で断定しないでください。
AIは論点整理と訓練案の作成を補助します。技術的な安全性や復旧能力の確認は、IT業者・専門家と実施してください。AI経営参謀の使い方と相談例を見る
重要業務を決め、復旧目標を置き、代替手段を試す。
サイバーBCPでは、経営者の判断と技術専門家の確認をつなぎ、訓練で見つかった課題を改善し続けることが大切です。
サイバーBCPを経営・財務面から整理したい方へ
和田経営相談事務所では、重要業務、停止時の売上・入金への影響、復旧の優先順位、対策予算、IT業者との役割分担など、経営者が判断するための論点整理を支援します。技術的な調査・復旧はIT業者やセキュリティ専門家と役割を分けて進めます。
IPA「中小企業の情報セキュリティ対策ガイドライン」。本文中の復旧目標・初動対応の資料と合わせて、自社の手順を確認する際にご活用ください。
数字を読み、現場を知り、経営の次の一手をともに考える。
愛媛県松山市を拠点に全国の中小企業を支援する、中小企業診断士・FP1級技能士。銀行員17年、経営コンサルタント15年の経験と、100社以上の支援実績をもとに、銀行融資・資金繰りから、収益改善、人材・組織づくり、事業承継まで、会社全体を見渡した経営支援に取り組んでいます。
大切にするのは、経営者の思いを、数字と実行できる計画につなげること。相談から分析・提案・実行支援まで、代表の和田が直接担当します。必要に応じて外部専門家とも連携し、貴社の利益を優先して、取り組む課題と順番をともに考えます。
自ら実践するWeb運用や、情報管理に配慮したAI活用の知見も支援に生かします。目指すのは、自社で判断し、改善を続けられる会社づくりです。
和田経営相談事務所
代表 和田健一
中小企業診断士・FP1級技能士
認定経営革新等支援機関
