セキュリティは技術課題ではなく経営課題

ITリテラシーがけっして低くないと思われる上場企業でも毎年サイバーセキュリティインシデントが発生。セキュリティの枠組みを強化すべく、昨年から制度やガイドラインの改訂が続いています。金融庁のJ-SOX改訂について以前に触れましたが、今回はNIST（米国国立標準研究所）のサイバーセキュリティフレームワーク2.0を紹介します。

2025/05/21

BCPを次のステージへ引き上げるために

企業は大規模災害時、対策本部内の情報共有、経営陣への報告、社内外の広報など多方面のコミュニケーションが必要です。この「BCPリスクコミュニケーション」の視点で、自社のBCPを見直しましょう。機能する「BCPリスコミ」とは何か、発災から初動、復旧／事業継続の各フェーズを精査し課題を改善することでBCPの実効性向上につながります。

2025/04/11

かくして業務システムリスクは増大し続ける

業務システムトラブルの原因は多くの場合、委託先ITベンダーの能力不足に帰せられます。それもあると思いますが、筆者はむしろ、ユーザー企業の問題が十分に議論されていないことに危機感を抱きます。ユーザーが自らの問題を直視しない限り、今後も同じことが繰り返されるでしょう。業務システムリスクにおけるユーザー企業側の問題を考えます。

2025/01/15

自社開発できるAI活用の対策本部支援システム

災害対応に従事する人材の確保とスキルの向上が叫ばれるも、現実的に余裕がないなかで、担当者の負荷は増す一方です。そこで脚光を浴びているのが、人の代わりに働くAIの活用。最終的な判断は人間が行うとしても、前段階でAIに働いてもらえばかなり助かります。今回は生成AIを活用した対策本部支援システムを自社で開発する可能性を考えます。

2024/10/18

一斉帰宅抑制後の帰宅許可をいつ誰がどう出す？

南海トラフ地震臨時情報による巨大地震注意の呼びかけが終了しました。とはいえ、リスクが去ったわけではありません。首都直下地震も含め、次の巨大地震への備えを根本から見直す必要があると考えます。７月には、内閣府の帰宅困難者対策ガイドラインも改定されたところ。企業BCPの視点から、いま一度、企業の帰宅困難者対策を考えます。

2024/08/26

サイバーセキュリティの統制が甘すぎる

企業や組織にとってサイバー攻撃は、外から突然やってきて事業に打撃を与える点でまさに「災害」です。ただ、そこにBCPで対応するという表現にやや違和感を覚えるのは、サイバー攻撃には災害などとは別の内部統制が必須だと思うからです。厳しいサイバーセキュリティ統制が求められる欧米と比較しながら、日本企業に求められる対応を解説します。

2024/08/09

東京本社機能移転の現実解を考える

東京に本社機能を有する企業が、首都直下地震と南海トラフ地震に対する理想的なBCP対策をこれから実現しようとしたら、非常に困難だといわざるを得ません。長周期地震動対策まで考慮するなら、予算的に莫大です。そこで、もう一度考えるべき視点が、本社機能の移転。今回は、いわゆる「疎開」的な対応として、本社機能移転の現実解を考えます。

2024/07/17

日米で異なるセキュリティ統制への要求

企業ガバナンスとしてITセキュリティの統制が求められているのは周知のとおりです。が、その取り組みについては米国と日本で大きな違いがあり、それは言葉の使い方にもあらわれています。米・証券取引委員会の「サイバーセキュリティ」に対し、日本の金融庁の「情報セキュリティ」。両者の違いから、日本の取り組みの問題点を考察します。

2024/01/22

経営視点でBCPに３線モデルを適用せよ

来年度から適用されるJ-SOX制度の改訂は、上場企業に向けたものとはいえ、非上場企業にも大きな影響を与えそうです。注目されるのは「3線モデル」というキーワード。これをBCPにどう反映させるかは、上場、非上場に関わらず多くの企業に共通の経営テーマです。今回は構築済みのBCPに3線モデルどう反映させるかについて解説します。

2023/12/14

あなたのオフィスは大地震のときどうなる？

首都直下地震や南海トラフ地震の際、オフィスビルの構造、あるいはビル管理の行動は、BCPの初動に大きく影響します。東京や大阪、名古屋などにオフィスを構える企業にとって、自分たちが働くビルは巨大地震を受けてどうなるのか、何ができて何ができなくなるのかを知ることは非常に重要。そのための17の確認事項を解説します。

2023/10/20

上場企業に迫られるIT統制の高い壁

上場企業の財務報告の信頼性確保を目的とした内部統制報告制度、いわゆるJ-SOXが改訂され、2024年度から適用されます。ポイントとなるのが「IT統制」。クラウド利用環境のリスクチェックと情報セキュリティの確保に重点が置かれていますが、本質的なIT管理が不十分な企業は根本的な見直しに迫られます。J-SOX改訂の影響と対応策を解説します。

2023/09/06

代替地に”逃げる”というBCPの視点

南海トラフの3連動あるいは4連動地震で、南海地震が起きた際、大阪は大都市として初めて巨大津波に襲われる可能性があります。そのため、単発地震のBCPをそのまま適用したのでは不十分。大阪の企業は揺れと津波の被害をしっかりシナリオ化したうえで、業務継続のため代替地に「逃げる」という視点も持っておく必要があるでしょう。

2023/07/06

BCP事務局の個人スキルを高める訓練とは？

経営層の期待と裏腹に、危機管理担当者の多くがBCP 訓練の効果に不安を抱いています。災害時の状況を組織的に確認し、足りない点を明確にするのには役立っても、担当者自身の個人スキルを上げるものではないと感じるからでしょう。実は、この部分に焦点をあてたのがいわゆるモックディザスタ訓練です。今回はその進め方を説明します。

2023/05/08

「ヒト」に求められるBCP的素養とは？

災害時にいざ避難する、行動するとなった時、健康状態などによって状況に対応できない従業員は思いのほか多いのではないでしょうか。「ヒト」が有事に際して正しく行動できるかは、BCPにおいて非常に重要。しかし一方で、あまりスポットライトがあたってこなかった分野でもあります。今回は従業員に求められるBCP的素養について考えます。

2023/02/17

属人型BCP構造からの脱却を目指せ

個人の能力や意識のバラツキ、スキル継承の困難化がBCPの実効性に影を落とすなか、属人化からの脱却が危機管理事務局と経営陣の共通課題となっています。既存のBCP構造を変えるための参考として前回はBCPポートフォリオについて説明しました。今回はその応用となるBCPプロセスの標準化、その先に展開されるBCP-DXをテーマに解説します。

2023/01/19

全体図を見ずしてBCP判断はできるのか

前回、BCP情報の可視化が経営判断を早めるとお話しました。事業継続の方向性を判断するには各拠点や各事業部、各部門の状況を総合的に把握する必要があり、それは災害時ポータルでもできますが、経営陣には極めて難解です。そのためまずは、全社の被災状況を可視化した全体図が必要。今回は経営陣のためのBCPポートフォリオについて説明します。

2022/12/19

BCP-DX／AIの入り口としての視覚化

BCPフェーズに入ると意思決定にかかる要素はより複雑化し、情報量も膨大になります。何を優先しどう動かすか、素早く適切に判断するのは至難。DX／AIが求められるのはそのためですが、ハードルが高すぎるとの声も多く聞きます。そこで役立つのがビジュアライゼーション、すなわち視覚化。BCP-DX／AIへの入り口として、視覚化の効果を考えます。

2022/11/22

３連動地震のBCP発動はそれぞれの被災後か？

BCP対策本部活動の基本は「”単発”地震からの事業継続」です。南海トラフ地震のように3つの大きな地震が連続発生する可能性があっても、時間軸・空間軸を特定できないゆえに各3連動地震を「単発地震」として取り扱わざるを得ません。その際、企業BCPは何をもって発動するのか。今回は気象庁が発表する情報と、予測精度の進化に再度注目します。

2022/08/12

BCP対策本部を例に考える備蓄品の見直し方

今回は東京都による首都直下地震の新被害想定の生かし方として、備蓄品について考えてみます。現在、企業においては全従業員用の帰宅用防災セットのほかオフィス常備用、帰宅困難者用の備蓄品を配備していると思いますが、実際、備蓄品の種類と量をどう決めていけばいいのか。一つの参考例として、BCP（対策本部）備蓄品の考え方を紹介します。

2022/07/14

いまこそDXを使った事業影響度分析を

東京都はこのほど、首都直下地震等の被害想定を見直しました。大きく内容が変わったわけではないにしろ、具体的なシナリオにより被害予測が分かりやすくなっています。これは企業が「事業影響度分析」を実施する格好の機会、というより必須の機会でしょう。もし面倒な作業としてこれを棚上げしてきたのであれば、いまこそDXの出番です。

2022/06/24

実効性もスキル継承もかなりヤバイ

南海トラフ地震のような脅威への対応能力に関し、大企業の危機管理部門の自己評価は経営陣が思っているほど高くありません。これは有事発生時、社長以外は当事者意識の低い経営陣と、危機意識は高いが能力に不安を持つ現場組織とで対策本部が構成されるということですから、重大な懸念事項です。大企業のBCPの構造的問題を分析し、改善策を考えます。

2022/06/05

IT-BCPを妨げる総務と情シスの仲の悪さ

総務が管轄するBCPと情シスが管轄するIT-BCP/DRは、同じ目的ながら交わらない仕組みとして成立してきました。有事の際、総務はITを動かせていないと怒り、情シスは復旧に時間と人が必要と言う。どちらかが悪いという話ではありません。被害に関して「IT」は複雑。BCPに取り込むには総務がITを知り、情シスがBCPを知る必要があります。双方のコミュニケーションと理解を深めることからはじめましょう。

2022/05/13

５連動大災害という最悪シナリオに備える

前回は南海トラフ地震の影響を西日本目線で考えましたが、東京本社企業はその前後に首都直下地震、富士山噴火が起きる最悪のケースも想定しておかなければなりません。特に問題なのは富士山噴火で、ライフラインの停止が長期化し、半年から１年程度の移転を余儀なくされる可能性もあります。カウントダウンを14年と仮定し、限られたリソースで何ができるかを考えます。

2022/04/13

大災害まであと８年と仮定した準備シナリオ

南海トラフ地震の30年以内の発生確率は実に70～80%、さらに首都直下地震や富士山噴火の危機も叫ばれ、未曾有の５連動災害が絵空事ではなくなっています。2020年代に首都直下地震、30年代に南海トラフ地震、その後に富士山噴火が起きるとしたら、そのカウントダウンに際して企業は何をすべきか。今回は南海トラフ地震と大阪に焦点をあてて考えます。

2022/03/11

災対本部ポータルは１時間でつくれる

10月7日に関東で震度5強を観測した地震は、リモート環境下における情報共有の仕組みをあらためて考える機会となりました。大規模地震の際は感染症のまん延にかかわらず、従業員が集まれない事態が予想されます。大部屋対策本部での作業と違い、リモート環境では、やはりインターネットにリンクしている災害ポータルサイトが有用。その簡易なつくり方を再度紹介します。

2021/10/14