「サイバー攻撃とデータ漏えい」懸念続く

一方、図1は今後12カ月間に懸念される脅威を、それらが発生する可能性の高さ（Likelihood）を横軸に、発生した場合の影響の大きさ（Impact）を縦軸にとって整理したものである。「サイバー攻撃とデータ漏えい」（Cyber-attack & data breach）が図の最も右上の突出した位置にプロットされている状況は、2019年と変わらない。

写真を拡大 図1. 今後12カ月間に懸念される脅威（出典：BCI / Horizon Scan Report 2020）

本報告書では、この図とは別に今後12カ月間に懸念される脅威のリストも示されているが、ここでも上位4位までは（1）サイバー攻撃とデータ漏えい、（2）IT・通信の途絶、（3）異常気象（Extreme weather events）、（4）インフラにおける重大な障害（Critical infrastructure failure）となっており、2019年と同じである（注5）。

なお、本報告書はBSIとの共同調査ということもあり、BCMに関する国際規格であるISO 22301の活用状況が毎年の調査項目に含まれている。この項目はHorizon Scanの趣旨とは直接的なつながりがないように思われるが、ISO 22301の活用状況の経年変化が見られる興味深いデータとなっている。図2はその調査結果であり、回答者の約半数は「ISO 22301を自組織の事業継続プログラムのフレームワークとして使っているが、認証は取得していない」という状況である。認証を取得した組織と合わせると、回答者の約7割がISO 22301を活用していることが分かる。

写真を拡大 図2. 組織における事業継続プログラムとISO 22301との関係（出典：BCI / Horizon Scan Report 2020）

2019年版においては、ISO 22301を「フレームワークとして使っているが、認証は取得していない」が55％で、認証を取得したという回答が14％であった。従って、ISO 22301を利用しているという回答全体の数は約7割でほとんど変わらないが、認証を取得した組織が若干増えたことになる。

前述の通り回答者の半数近くが欧州からのものであるため、この調査結果も欧州の組織における状況から大きく影響を受けていると思われるが、日本においてISO 22301（実際にはJIS Q 22301）の利用が認証取得にほぼ限定されている状況とは大きく異なる。このため日本企業が外国（特に欧州）の企業との間で、BCMに関する報告や情報交換を行う場合には、相手がISO 22301をこのように活用している可能性があることを考慮して臨む必要があるであろう。

このHorizon Scan Reportは、過去数年の調査経験を踏まえて、調査項目や選択肢が少しずつブラッシュアップされてきたという印象がある。また、過去の報告書と比較して経年変化が分かるというメリットもあり、BCI による他の調査報告書と同様、長期間にわたって続けることによる価値が高くなってきていると言えよう。今後もこのような調査活動が継続されることを期待したい。


■ 報告書本文の入手先（PDF 56ページ／約1.6MB）
https://www.thebci.org/resource/bci-horizon-scan-report-2020.html

注1）BCIとはThe Business Continuity Institute の略で、BCMの普及啓発を推進している国際的な非営利団体。1994年に設立され、英国を本拠地として、世界100カ国以上に9000名以上の会員を擁する。https://www.thebci.org/

注2）Horizon Scanについて、BSIは危機管理に関する「PAS200」という公開仕様書で「新たなリスクを創出したり、既知のリスクの特性を変化させる可能性のある、潜在的な脅威、機会、および将来の変化に対する、系統的な調査」と定義している（和訳は筆者）。もともとはヨーロッパの医学界や食品安全等の分野で用いられ、近年では政府や企業にも採用されつつある手法のようである。

注3）本連載では2019年3月12日に2019年版（https://www.risktaisaku.com/articles/-/15890）、2018年3月13日に2018年版（https://www.risktaisaku.com/articles/-/5276）、2017年2月27日に2017年版を紹介させていただいた（https://www.risktaisaku.com/articles/-/2435）。また、かつて紙媒体の『リスク対策.com』2014年9月発行vol.45で、2014年4月に公開された2014年版を紹介させていただいた。

注4）具体的にどのような規制などがあったのかは特に記載されていない。

注5）ちなみに2019年版の5位は「レピュテーションに関するインシデント」（Reputation incident）であったが、2020年版ではこの選択肢が削除されている。