停電は結果事象であると同時に原因事象でもある（写真：写真AC）

■タマゴが先かニワトリが先か？

ハザード（リスク・災害と呼んでもよい）を「原因事象」と「結果事象」の2つに分ける考え方があります。例えば「地震の発生」は原因事象であり、その結果起こる建物が半壊して「社内に立ち入りできない」とか、公共交通機関の寸断による「通勤困難」など、人的・物的経営資源への影響は結果事象とみなされます。

近年はオールハザード型BCPのアプローチとして、どんなリスクかによらず結果事象ベースでBCPを組み立てることの重要性が指摘されています。

実は筆者もまた、結果事象という言葉は用いていないものの『新版 実践BCP策定マニュアル』（オーム社：2009年2月初版発行）の「リスク評価シート」の記入例で、同様のアプローチを解説しました。

また本連載の「第4回：新しいBCPに移行するためのヒント」でも、「対策の共通化」という見出しで、企業への被害や影響は経営資源に収れんする（つまり結果事象化する）という意味で、同じような意味合いのことを述べています。

しかしこれは「BCPでは結果事象による評価・対策・対応がすべてであり、原因事象による検討や対策は不要」という意味ではありません。というのは、ハザードには"因果性のジレンマ"、つまりタマゴが先かニワトリが先か？という性質があるからです。

「コンピューターシステムが使えない」という結果事象から見ると、停電は原因事象となる（写真：写真AC）

例えば、自然災害を原因事象として起こる「停電」は結果事象の一つとみなされますが、「コンピュータシステムが（停電により）使えない」という結果事象から見れば、停電は「原因事象」になります。

また、リスク低減対策（防災・減災対策など）を講じる際にはリスクの特性を知る必要がありますから、どうしても「原因事象」に遡らなくてはならない。停電の原因が「送電塔の倒壊」「漏電」「電気設備の浸水被害」のいずれの原因であるかによって、取るべき対策の中身が異なってくるということです。

このような理由から、筆者が提案する緊急対応プランのつくり方やリスク低減対策については、原因事象と結果事象を区別しない内容となっています。あえて結果事象を意識するなら、経営資源の代替戦略等を検討する際のアプローチであることを覚えておきましょう。

 

■リスクアセスメントの「大局的視点」をベースとする

工場のサイバー攻撃に対するリスクアセスメントシートは？（写真：写真AC）

ERPに記載する「緊急対応手順」や「リスク低減対策」のもとになる情報は、リスクアセスメントシートにまとめたラフスケッチであることはすでに述べました。これに、必要に応じて被害想定や緊急対応方針等を肉付けしてERP文書をつくるわけです。例えば「工場のサイバー攻撃」を例に、シートの中身を確認してみましょう。

（1）インシデントの名称：スマート工場のサイバー攻撃
（2）インシデントの概要：標的型攻撃メールによる制御システムのデータ消去
（3）被害想定：操業停止5日間、賠償損害500万円、費用損害800万円
（4）リスク低減対策：IoTセキュリティ委員会の設置、重要アップデート、ITポリシーを強化
（5）緊急対応（ERP）：制御システムの動作異常を察知→直ちにネットワークを遮断

実際のリスクアセスメントシートは、上記（1）～（5）は左列→右列の横並びのマトリックスで表現されます。これらの検討には、リスクの影響を受ける各部門（工場のライン及び設備担当者等）、リスク対応に当たる部門（システム管理者等）、損害や損失を見積もる部門（経理・財務など）に参加してもらい、ブレーンストーミングなどを活用してどしどしシートの空欄を埋めていくとよいでしょう（検証も忘れずに）。

また、（4）のリスク低減策の一環として「IoTセキュリティ委員会の設置」とありますが、あらかじめこのような委員会を立ち上げておき、そこが中心となってリスクアセスメントを行えば、よりスピーディーに対策や対応の検討も進むものと思います。

 

■シートからERPへの落とし込み

リスクアセスメントシートが一通り完成し、各項目に記入した内容に間違いがないことを確認のうえ、緊急対応プランの作成へと進みます。なお、リスクアセスメントシートはいわばBCPのダイジェスト版のようなものです。小規模な会社では、形式にこだわらなければこのシートをそのままBCPの一部として使用することもできるでしょう。

緊急対応プラン（ERP）については、欧米のサンプルを見るといろいろな書き方、いろいろな項目や見出しが並んでいますが、ここではリスクアセスメントシートの項目と内容を、ほぼそのまま踏襲する形でご紹介します。

（1）インシデントの名称：工場のサイバー攻撃
（2）インシデントの概要：標的型攻撃メールによる制御システムのデータ消去
（3）被害想定：操業停止５日間、賠償損害500万円、費用損害800万円
（4）リスク低減対策：IoTセキュリティ委員会の設置、重要アップデート、ITポリシーの設定
（5）緊急対応手順：制御システムの動作異常を察知→直ちにネットワークを遮断

リスクアセスメントシートをBCPの一部としてほぼそのまま活用することも、肉付けをして活用することも可能（写真：写真AC）

こうしてみると、ほとんどリスクアセスメントシートの並びそのままであることが分かると思います。ただし加筆修正してもう少し肉付けするのが望ましい箇所もあります。例えば（4）については「従業員のITリテラシー教育」や「サイバー保険への加入」などを追加したいところです。また（5）には、「被害の程度と復旧手順の確認」「影響を受ける顧客・取引先への連絡」などもERPの手順として明記するとよいでしょう。