IT-BCPとは？BCPとの違いと策定9ステップ・復旧優先度の決め方

IT-BCPとは、災害やサイバー攻撃、感染症の流行で情報システムが止まったときに、システムを継続または復旧させて業務への影響を最小限に抑えるための計画です。政府の文書では「情報システム運用継続計画」と呼ばれ、内閣官房 国家サイバー統括室が政府機関等における情報システム運用継続計画ガイドライン（第3版）を公開しています。初版は平成23年3月で、令和3年4月に内容を改定した第3版が、令和7年7月の組織変更に伴う一部改定を経て現行版です。この記事では、このガイドラインを軸に、BCPとの違い、策定の9ステップ、復旧優先度とRTOの決め方、計画書の章立て、訓練の種類を順に整理します。会社全体のBCPの意味から確認したい場合はBCPとは？事業継続計画の意味と防災計画との違い、RTO・RLOの決め方を先に読んでください。

まとめ：IT-BCPの要点

• IT-BCPは、BCPのうち情報システムの部分を詳しくした計画です。国家サイバー統括室のガイドラインでは、不正プログラム感染やサービス不能攻撃のようなシステム特有の事象も対象に含めます
• 策定は「基本方針の決定」から「教育訓練・維持改善」までの9ステップ。政府機関向けのガイドラインですが、検討手法は汎用的でどの情報システムにも使えると明記されており、民間企業も手順の型として借りられます
• システムのRTOは、そのシステムを使う業務のうち最も短いRTOに合わせます。認証基盤などの基盤系はさらに短くします
• 復旧優先度はS（3時間以内）からE（2週間超の停止を許容）までの6段階が例示されています。Sに入れるシステムはできるだけ絞ります
• ガイドラインは「バックアップからデータを復旧できるか否かを検証していないケースが多い」と指摘しています。計画書を作ったら、実機での復旧訓練まで行って初めて機能します

IT-BCPの定義と、会社全体のBCPとの違い

国家サイバー統括室のガイドラインは、情報システム運用継続計画を「大規模災害、情報セキュリティインシデント及び感染症の流行」で情報システムの運用が中断・途絶するときに、システムを継続または復旧させて影響を最小限に抑えるための「計画群の総称」と定義しています。位置づけは「業務継続計画における情報システムの検討部分をより詳細化したもの」です。

見落とされやすいのは、同じガイドラインの脚注にある次の一文です。IT-BCPは、政府機関等の業務継続計画が扱っていない「情報システム特有の危機的事象（不正プログラム感染やサービス不能攻撃による情報セキュリティインシデント）への計画も含むものであり、政府機関等の業務継続計画より広い範囲を対象としたものとなる」とされています。民間企業の場合、全社BCPがサイバー攻撃をどこまで扱うかは会社ごとに違います。IT-BCPを作るときは全社BCPの対象事象と突き合わせ、全社BCPで扱わないシステム特有の事象をIT-BCP側で補うと、抜けと重複を防げます。

業務のRTOからシステムのRTOを導く規則

BCPとIT-BCPは、RTO（目標復旧時間）でつながります。ガイドライン2.5.2は、業務側で決めたRTOをシステム側へ渡すときの規則を次のように定めています。

• 一つのシステムを複数の業務が使う場合は、各業務のRTOを一覧にし、最も短いRTOに合わせてシステムのRTOを設定する
• 業務に複数のシステムが関わる場合は、復旧の順序と所要時間を考慮して業務のRTOに間に合うようにする
• 認証基盤やネットワークなどの基盤系システムのRTOは、原則として業務システムより短くする
• RTOを短くするほど対策費用は高くなるため、システム停止中に業務側で手作業などの代替手段がとれるかを先に確認する

3つ目は特に抜けやすい点です。業務システムを3時間で戻しても、ログインに使う認証基盤が翌日まで戻らなければ業務は再開できません。目標値の意味そのものはDR対策とは？構成4パターンのRPO・RTO目安とDR計画の作り方で解説しています。

「IT-BCP」という呼び方と、組織ごとに参照する公的文書

「IT-BCP」は日本で広く使われる通称で、文書によって呼び方が違います。事業継続の国際規格ISO 22301（JIS Q 22301）は、事業継続を「製品及びサービス」を提供し続ける能力として定義し、ICTシステムは人や施設と並ぶ「資源」の一つとして扱います。この定義に沿って、Office SRC代表の田代邦幸氏は「IT-BCP」という言い方を使わないよう勧めています（2021年9月）。用語の厳密さを求められる場面（ISO 22301の審査対応や規程の文言）では、「情報システム運用継続計画」や「ICT部門の業務継続計画」のように、文書ごとの正式名称を使うほうが混乱しません。

実務上は、名前より「自組織がどの文書に沿うべきか」が重要です。主な文書を組織の種類で並べます。

サイバー攻撃をIT-BCPに含めるかどうかも、文書によって線引きが違います。国家サイバー統括室のガイドラインは情報セキュリティインシデントを対象に含めます。一方、総務省のICT-BCPガイドラインは表1-2で、サイバー攻撃を「周辺のリソースは平常どおり使用できる状況」を想定する情報セキュリティ対策（防犯領域）に、地震・水害などの「周辺のリソースに被害がある状況」をICT部門の業務継続計画（防災・危機管理領域）に振り分けています。そのうえで両者には共通する部分があるとして、できるだけ同じ要員が担当して管理するよう求めています。自組織でどちらの計画に置くかを先に決めておかないと、ランサムウェアの復旧手順がインシデント対応計画にもIT-BCPにも書かれていない、という抜けが生じます。

民間企業向けの内閣府ガイドラインは、4.2.3「情報及び情報システムの維持」で、重要な情報のバックアップを「同じ発生事象（インシデント）で同時に被災しない場所に保存すること」や、データ損失をどれくらいの期間まで許容するかを決めてバックアップの取得頻度を決めることを求めています。ただし、システムごとの復旧優先度の付け方や計画書の書き方までは示していません。そこで民間企業でも、手順の型は国家サイバー統括室のガイドラインを借りるのが近道です。同ガイドラインは1.1.3で「記載している検討手法は汎用的なものであり、どのような情報システムを対象とする場合も、本書を利用することができる」と明記しています。医療機関は医療情報システムの安全管理に関するガイドライン第7.0版の読み方｜5編の担当と規程・技術対策の対応表、業種横断のBCPガイドラインの選び方はBCP策定ガイドラインの選び方｜内閣府 事業継続ガイドラインと省庁別の使い分けで扱っています。

IT-BCP策定の9ステップ

ガイドラインの表1.2-1は、策定段階の作業を9つに分けています。ステップ1〜4で前提を固め、5〜6で目標を決め、7〜9で対策と運用を計画する流れです。

既に同種の計画がある組織は、作り直す必要はありません。ガイドラインは、既存計画の不足点や改善点を追加修正すればよいとしています。対象システムが多い場合も、まず復旧優先度の高いグループに限定して進めてかまいません。

危機的事象の特定と被害想定：災害とサイバー攻撃の被害の違い

ステップ3〜4では、大規模災害・情報セキュリティインシデント・感染症・その他の事象ごとに、システムの被害を想定します。同じ「システム停止」でも、壊れるものが違うためです。ガイドラインの被害想定例（表2.4-1・表2.4-2）を比べると差がはっきりします。

サイバー攻撃では電源や建物が無事でも、データとバックアップが同時に使えなくなる場合があります。ガイドラインは、インシデントの被害を「ある程度重大な被害を受ける前提で想定する」よう求めています。一方で「細かすぎる被害想定を避ける」ともしており、事象の数だけ詳細なシナリオを書く必要はありません。ランサムウェアを想定したバックアップの置き方はサーバーのBCP対策｜サーバーダウンに備えるRTO・RPOの決め方と構成・バックアップで扱っています。

復旧優先度S〜EとRTO・RLOの決め方

ステップ5では、非常時優先業務に使うシステムごとにRTOとRLO（目標復旧レベル）を決め、復旧優先度のグループに分けます。ガイドラインの表2.5-1が示す例は次の6段階です。

この表を運用するうえでの難所は、Sに入れるシステムを絞ることです。各部署に聞くと、どのシステムも早期復旧を求められがちです。ガイドラインはこの状態を「復旧優先度の要求が高止まり」すると表現し、真に必要な対策の遅れや費用の増大を招くと警告しています。優先度が高いシステムが多いと効率的な運用継続ができないため、対象数は「できるだけ厳選する」とされています。

RLOは「通常時の処理能力の50%」のように平常時を100%とした割合で示すほか、「利用者数500人」のように業務の性質に合わせた単位でも示せます。全機能を一度に戻すのではなく、段階的な復旧を前提に決めます。

なお、このガイドラインの本文と付録にはRPO（目標復旧時点）という語が出てきません。どの時点のデータまで戻すかは、内閣府ガイドライン4.2.3の「どれくらいの期間のデータ損失を許容するか」に当たる値として、バックアップの取得頻度とあわせて自組織で決める必要があります。バックアップ方式ごとの違いはシステムバックアップとは？フル・差分・増分の違いと取得手順・方式の選び方を解説を参照してください。

構成要素ごとの目標対策レベル：ホット・ウォーム・コールドの割り当て

ステップ6では、システムを動かすのに必要な要素を洗い出します。表2.6-1が挙げるのは、運用要員と運用体制、施設、通信ネットワーク、周辺機器、ハードウェア、ソフトウェアのライセンス、システム領域とデータ領域、委託先です。ガイドラインは、利用者の端末からサーバーまで「エンドツーエンドでの稼働」が必要であることを踏まえ、単一障害点を明確にして代替を確保するよう求めています。サーバーを二重化しても、回線が1本ならそこで止まります。冗長化の考え方は冗長化とは？二重化との違い・種類と構成、企業の設計判断まで解説【2026年版】で解説しています。

そのうえで、復旧優先度に応じて要素ごとの対策レベルを決めます。ハードウェアの例（表2.6-2）では、Sにホットスタンバイ（同じ構成で常時同期し即座に引き継ぐ）、Aにウォームスタンバイ（予備機のOSとアプリケーションを起動して待機）、Cにコールドスタンバイ（OSやアプリケーションを入れない予備機）を当てています。いずれも現在の拠点と同時に被害を受けない拠点に置くことが条件です。

クラウドや外部委託を使うシステムも、自前のシステムと同じように要素を洗い出します。ガイドラインは、非常時に委託先が提供できるサービス内容を事前に確認してSLA（サービス品質保証）として合意すること、クラウドサービス事業者との責任分界点を明確にすることを挙げています。クラウドとオンプレミスのどちらに置くかの判断はBCP対策はクラウドとオンプレミスどちらに置くか｜責任分界とSLAで決める判断基準で扱っています。

計画書のひな形（付録）の章立てと保管のルール

計画書を一から書く必要はありません。ガイドラインには別冊の付録があり、計画書にそのまま使える構成とサンプルの図表が収められています（付録の表紙は令和3年4月の第2版）。付録の章立ては、緊急時に開くことを考えて、発生時の対応計画を前に置いています。

付録では、組織名や期間などの設定値が「［・・・］」形式で示されており、自組織の値に置き換えて使います。政府機関向けの記述（中央省庁業務継続ガイドラインへの参照など）は、民間企業なら自社のBCPや情報セキュリティポリシーに読み替えます。

保管にもルールがあります。ガイドライン1.1.5は、計画書自体が被災して参照できなくなる可能性があるとして、電子媒体と紙媒体の両方、複数箇所、クラウドなど外部サービスでの保管を検討するよう求めています。計画書をファイルサーバーにだけ置くと、そのサーバーが止まったときに手順が読めません。また、設置拠点や代替環境の所在地、脆弱性などは攻撃の標的になりうるため、計画は原則として外部に公表しない機密情報として扱います。

IT-BCP訓練の種類と、段階的に高度化する年間計画

ガイドライン2.9.1は、年間の教育訓練計画を作り、手順書の確認を優先しつつ、システム復旧訓練も計画に入れるよう求めています。理由として「取得したバックアップからデータを復旧できるか否かを検証していないケースが多い」と明記しています。訓練の例は目的別に4種類です。

復旧訓練が欠かせないのは、導入時に一度確認したシステムでも、運用中にデータ量や構成が変わると復旧の条件が変わるからです。ガイドラインは、データ量が増えて想定時間内にリカバリできなくなるケースや、OSや機器構成の変更でリカバリできなくなるケースを挙げています。復旧訓練は本番に影響しないよう開発機や訓練機を使い、切り替え訓練は切り戻しの時間も見込んで休日に設定するなどの工夫が示されています。

進め方は段階的です。最初は対応体制の担当者による読み合わせから始め、次に担当者の不在を想定して体制外の職員も参加させ、最終的には業務部門や委託先と組み合わせて、人の移動とシステムの切り替えを同時に行う総合訓練へ進みます。訓練ごとに評価指標と完了条件を先に決めておくと、結果を計画の見直しにつなげられます。DR環境の切替訓練の頻度はDR対策とは？構成4パターンのRPO・RTO目安とDR計画の作り方でも扱っています。

IT-BCPが機能しない典型パターン

計画書があっても、非常時に使えない計画には共通点があります。ガイドラインの留意事項から逆算すると、次の5つは特に避けるべきです。

• 復旧優先度Sが多すぎる：Sのシステムが増えるほど、ホットスタンバイの費用と、発生直後に並行して復旧に当たる要員が増えます。予算や参集できる要員を超えた時点で、計画どおりには戻せません。Sに置くのは、停止の影響が大きく、業務側の代替手段では必要な処理量や期間をまかなえないシステムに限ります
• 基盤系のRTOが業務システムより長い：認証基盤、DNS、ネットワーク機器の復旧が後回しだと、業務システムを戻しても使えません
• 業務側の代替手段が決まっていない：システムがRTOどおりに戻らない場合の手作業を業務部門が用意していないと、IT部門だけでは業務を止めずに済ませられません
• 委託先との合意が無い：非常時にベンダーが通常どおり動ける保証はありません。提供可能なサービス内容をSLAとして事前に合意しておきます
• 復元を試していない：バックアップを取っているだけでは、戻せるかどうかも、何時間かかるかも分かりません

なかでも最後の点は、サイバー攻撃で被害が大きくなる原因です。ランサムウェア被害から業務を再開した事例は佐賀大学のランサムウェア被害と事務NASの暗号化｜4日で業務再開した初動と戻せるバックアップの条件で検証しています。

小さく始める場合の最小セット：総務省ICT-BCPチェックリストの6項目

9ステップを一度に回す余力が無い組織は、総務省が令和6年3月29日に公表したICT-BCPチェックリストから始める方法があります。地方公共団体向けの資料ですが、策定が進まない団体が「スモールスタート」できるよう最低限の項目に絞ったもので、民間の情報システム部門にも当てはめやすい内容です。同資料によると、ICT-BCPを策定済みの団体は都道府県の46団体（97.9%）に対し、市区町村では870団体（50.0%）にとどまっています。

チェックが付かなかった項目から、ガイドラインの様式集を参考に足りない部分を埋めていき、その後に計画全体を拡充します。中小企業がBCP全体をどう進めるかは中小企業のBCP策定手順｜策定率18.3%の現状と中小企業庁指針・事業継続力強化計画の使い分けで解説しています。

よくある質問

IT-BCPとBCPの違いは何ですか？

BCPは重要業務を継続するための計画で、IT-BCPはその業務を支える情報システムの継続・復旧に絞った計画です。国家サイバー統括室のガイドラインでは、不正プログラム感染やサービス不能攻撃のようなシステム特有の事象も対象に含めます。

IT-BCPのテンプレート（ひな形）はどこで入手できますか？

内閣官房 国家サイバー統括室が公開している「政府機関等における情報システム運用継続計画ガイドライン」の付録が、計画書の章立てとサンプル図表をまとめたひな形として使えます。地方公共団体向けには総務省のICT-BCPガイドライン（令和6年3月29日）の様式集と初動版サンプルがあります。

IT-BCPで決めるRTOとRPOの違いは何ですか？

RTOは停止からどれくらいの時間で復旧させるか、RPOはどの時点までのデータを復旧させるかを示す目標値です。国家サイバー統括室のガイドラインはRTOとRLOで復旧優先度を決める構成で、RPOはバックアップの取得頻度とあわせて自組織で決めます。

IT-BCPのガイドラインは何を参照すればよいですか？

手順と計画書の型には、9ステップと付録のひな形を備えた国家サイバー統括室のガイドライン（第3版）が使えます。民間企業は内閣府の事業継続ガイドライン（令和5年3月）と整合させ、地方公共団体は総務省のICT-BCPガイドラインとチェックリストを参照します。

IT-BCPの訓練は何から始めればよいですか？

国家サイバー統括室のガイドライン2.9.1は、年間の教育訓練計画で手順書の確認を優先し、あわせて実機でバックアップから戻す情報システム復旧訓練を計画に入れるよう求めています。読み合わせから始め、担当者不在の想定や業務部門・委託先を交えた総合訓練へ段階的に高度化します。

関連記事

• BCPとは？事業継続計画の意味と防災計画との違い、RTO・RLOの決め方
• DR対策とは？構成4パターンのRPO・RTO目安とDR計画の作り方
• サーバーのBCP対策｜サーバーダウンに備えるRTO・RPOの決め方と構成・バックアップ
• BCP策定ガイドラインの選び方｜内閣府 事業継続ガイドラインと省庁別の使い分け
• BCP対策はクラウドとオンプレミスどちらに置くか｜責任分界とSLAで決める判断基準