【具体例】情報システム業務継続計画 - 試験と更新
情報システム事業継続計画書を作成しただけでは、それは絵に描いた餅と同じでしかありません。
もちろん、何も作成していないよりは、はるかに良いことです。
しかしながら、その精度を高め、活きた計画書にするためには、定期的な試験、および必要に応じて、計画書を更新していく必要があります。
【試験】
情報システム事業継続計画を常に確実な状態で実施できるよう、定期的に試験を行う必要があります。
試験のスケジュールは、事業計画書をあらかじめ作成し、これに基づいて行うと良いでしょう。しかし、すべての事態を想定したシナリオや試験の実施は現実問題として難しいでしょう。原則として、1年間に1項目以上の情報システム事業継続計画の試験を行うことが現実的と考えます。
情報システム事業計画書は、情報システム部門内スタッフが作成提案し、管理責任者（部門長）が承認し、実施されるよう年間スケジュールに組み入れておくと良いでしょう。
【試験結果と計画の更新】
試験実施後には、担当者が、情報システム事業継続計画試験結果記録に記入していく必要があります。
また、試験実施において、改善点が発覚・指摘された場合は、管理部門長を含めた、情報システム部門内で審査し、必要であれば、情報システム事業継続計画を変更することが重要です。
指摘事項があっても、決してそれをネガティブに捉えてはいけません。指摘された事項は、実際に問題が起こってしまった際に、更なる不具合が起きることをあらかじめ予測、防止させるための反面教師だと考えてください。
後で、あぁ、予行演習で良かった・・・と思えるような事態に遭遇すれば、それは決して無駄ではありません。
【具体例】情報システム業務継続計画 - 緊急時の行動手順と対策⑤
【災害（地震・火災）】
こ の項目については、ここには記載しません。
基本的に、危機が起こった際に取るべき行動指針の最重要優先事項は、安全の確保です。
組織の情報システム云々は、それに優先されるべき事項ではないはずです。
そのような意味で、地震や火災等の危機が発生した場合は、その対応手順は、組織が定める「大規模災害対応マニュアル」等に準拠するものとすべきです。
【コンプライアンス違反】
コンプライアンス違反が発生した時も同様です。
法制遵守が組織としての透明度を高める行動であり、その場合は優先事項として法制を遵守しなければなりません。組織内の情報システム云々は、やはりそれを上回るものではあり得ません。
そのような観点から、組織が定める「コンプライアンス・マニュアル」に記載された手順に準拠するべきでしょう。
【具体例】情報システム業務継続計画 - 緊急時の行動手順と対策④
【サーバ、ネットワーク障害】
【暫定対応手順】
【本格復旧手順】
情報システムにまつわる障害で一番多いのが、サーバやネットワークの障害によるサービスダウンではないでしょうか？
組織の業務プロセスが情報化されればされるほど、サーバやネットワークへの依存度は高まり、そのサービスダウンは業務遂行上の大きな問題となり得ます。
すべてのサーバやネットワークを二重構成にして、常にホットスタンバイ状態にすれば良いのかもしれませんが、実際にそこまで費用をかけるシステムであるのかどうか、当然考慮しなければなりません。
組織によっては、二重化も費用的に難しいところもあるでしょう。
そのためには、常に、危機が起こった際のレベル分けと、その場合に許容できる復旧までの時間の把握と理解、さらには次に行う行動指針を明確に打ち出すための体制づくりが必要です。
費用を捻出することが難しい小さな組織の場合、上記に掲げた行動指針の打ち出しや体制（連絡網も含め）づくりは、小回りが効いて、声がよく通る環境が多いです。
小さな組織であることのメリットもあるわけです。
代替サイト等の話になると、大げさに聞こえるかもしれません。
しかし、それは組織の長（社長とか）の自宅でも良いのです。要は、組織としての事業継続が行えれば良いわけですから。
そのような感覚で、常に想定しておくと、いざ事が起こってしまった場合、冷静（完全に冷静ではないでしょうが、一度考えておいたことを思い出すことはできます）に対応できるのではないでしょうか？
ぜひ一度考えてみてください。
【具体例】情報システム業務継続計画 - 緊急時の行動手順と対策③
【空調障害】
最近のコンピュータ機器は、その稼働適正温度の許容がずいぶん高くなり、熱が原因で暴走したり、停止したりすることは一昔前と比べて減ってきてはいます。
しかしながら、やはり依然として、あまりの高温や多湿環境におかれていると、その故障率は格段に高まります。
けんぢの例ではサーバルームがあることを前提に書いていますが、それ以外にも、オフィスフロアにそのまま置かれているサーバやPC類も、適切な空調環境で運用されていることが理想です。
どうしても、保守等は、本業から見れば予防的な措置のため、低優先と見られがちですが、サーバが停止してしまった場合の機会損失を考えれば、決して高いものではないはずです。
そのような予防措置的な情報システム運用費の経営陣からの承認は絶対に行なっておくべきことです。
もちろん、単純に業者からの提示金額をそのまま受け入れるのではなく、どの程度の保守が必要なのか、機会損失とその発生確率等勘案し、適切な保守を適正価格で導入することが好ましいでしょう。
【具体例】情報システム業務継続計画 - 緊急時の行動手順と対策②
【電源障害】
【暫定対応手順】
【本格復旧手順】
電源障害は、日常業務を何気なく行なっている場合、あまり気にしていない事項ではないでしょうか？
日本は比較的安定して電力が供給されています。しかし、一度電源障害が起こってしまうと、その復旧および暫定対策に移行する際に大混乱が起こることも事実です。
まず、地域インフラの障害なのか、建物およびフロア等の障害なのか、その切り分けを行わなければなりません。
何かを調べる場合、現在ではインターネット等を使用しますが、電源障害が起こっている、ということは、PC系（ラップトップPC等であれば、バッテリーでいくばくかは接続が可能でしょう）やネットワーク機器等がダウンしていることも考えられます。
また、電話をかけようにもPBXがダウンしていたり、通話が殺到してパンクしていたりと、事実の把握に時間がかかります。
現状をできる限り適切に把握し、暫定対応を行い、その後本格復旧へと歩を進める必要があります。
【具体例】情報システム業務継続計画 - 緊急時の行動手順と対策①
対策本部設置後の緊急時行動計画は、各危機とそのレベルごとに定義する必要があります。
これから数回にわたり、事業継続を中断させる重大な事業危機ごとに、それが発生した場合の行動手順と行うべき対策について書いていきます。
これはあくまで、けんぢが作成したものであって、実際に各組織に導入する場合、何らかのカスタマイズを行うことが必要でしょう。
【PCや可搬媒体の紛失や盗難】
紛失や盗難については、その事実の発覚が、実際に事実が起ってからしばらくたってから起こってきます。
誰しも、何らかの形でモノを紛失した経験はあるでしょう。
また、それが会社等の組織のものであれば、その後の対応も通常より多くの手続きを必要とします。
もちろん、電車やタクシーに置き忘れた可能性が高い場合、その管理会社に連絡を取り所在確認を行うことも重要です。
しかし、まず行うべきことは、それを組織の適切な管理者に報告し、適切な対応方法を仰ぐことがさらに重要ですし、優先されるべきことです。
叱咤や始末書等、あまり歓迎したくない手続きもありますが、まず事実を伝え、外部の関係者も交え、適切な対応を取るよう、心がけてください。
【情報の漏洩や紛失】
上記に記した、PCや可搬媒体などの物理的なハードウェアだけでなく、情報資産についても同様のことが言えます。
メールや印刷物などの場合も同様に、その紛失については細心の注意を払い、適切に対応しなければなりません。
【具体例】情報システム業務継続計画 - 対策本部の設置
事業継続計画では、これまでに掲げた組織に対する危機が発生した場合、適切に対策本部を設置し、事態の収拾を図ることができるよう、その体制について事前に明記しておく必要があります。
1. メンバー
対策本部は、経営陣、対策本部長、コンプライアンス委員長、情報セキュリティ管理責任者、および、発生した危機ごとの関係者によって構成し、総務本部長が対策本部長を務める。
2. 設置場所
本社会議室とする。
3. 必要資源
飲料水、食料、医薬品、携帯電話、ラジオ、メガホン、懐中電灯、照明器具、現金、利害関係者リスト、記録用紙、電池および携帯電話充電器、ラップトップPC数台、文房具、データ通信カード、ヘルメット、地図、鍵、自社の銀行口座通帳および印鑑。
補足事項：利害関係者リストは、連絡の必要があるもの（重要顧客や、サプライヤ、サービスプロバイダ等）とします。また、上記資源の一部は、各オフィスごとに準備しておく必要があります。
4. 業務内容
従業員、およびその家族の安否確認
生活物資の確保、搬送
被害状況の確認
情報収集
特別措置、臨時措置の決定と実施
業務の開始、停止、再開等の決定と管理
外部の利害関係者への連絡・報告
5. 対策本部設置までの手順
以下に対策本部設置までの手順を記します。
実際に、上記で掲げた5分以内に行動を開始することは難しいかもしれません。しかしながら、その危機を放置しておくほうが、後々問題の収束に時間がかかったり、CSRの欠如として見られてしまうことが多々あります。
組織としての正義を論じるのであれば、発見し次第、すぐ報告し、適切な対応を取ることが内部統制を高め、組織としての透明性を確保することになります。