BCP（事業継続計画）
びーしーぴー ／ Business Continuity Plan ／ 計画と準備
BCPとは、災害、感染症、システム障害などで通常の業務ができなくなったときに、優先する業務を継続し、または早期に再開するための計画です。
正式名称：Business Continuity Plan（事業継続計画）
「BCP」の概要
災害やシステム障害などで普段どおりの業務ができなくなったときでも、重要な業務を続ける、またはできるだけ早く再開するための計画です。
日本では地震などの自然災害を想定したBCPが広く作られてきました。しかしランサムウェアでは、建物や人は無事でも、電子カルテや受注システムなどがいっせいに使えなくなります。紙での運用への切り替えや、システムに頼らない連絡手段など、サイバー攻撃を想定した備えが別に必要になります。
要点
- 従来は自然災害を想定したものが中心でしたが、サイバー攻撃を想定したBCPの整備が求められています。
- ランサムウェアでは、建物や人員は無事でも、システムが一斉に使えなくなります。
- 医療機関については、厚生労働省がサイバー攻撃を想定したBCPの整備を求めています。
サイバー攻撃を想定したBCPの特徴
| 観点 | 自然災害 | サイバー攻撃 |
|---|---|---|
| 被害の対象 | 建物、設備、人員 | システム、データ、通信手段 |
| 復旧の期間 | 設備の修理による | 安全確認を伴うため、数週間から数か月かかる例がある |
| 代替手段 | 代替拠点 | 紙での運用、システムと切り離した連絡手段 |
インシデント対応計画との違い
BCPは業務をどう続けるかを定め、インシデント対応計画は事故そのものにどう対応するかを定めます。実際の事故では両方が同時に発動するため、どちらの責任者が何を判断するかを整理しておく必要があります。
医療機関での位置づけ
厚生労働省の「医療情報システムの安全管理に関するガイドライン」は、サイバー攻撃を想定したBCPの整備を求めています。医療機関への立入検査でも、整備状況が確認されています。
実務のポイント
- 優先業務と、許容できる停止期間を業務部門と決めます。
- 紙の様式や、システムに依存しない連絡手段を準備します。
- 机上演習で、BCPとインシデント対応計画を同時に試します。
GuardPlanでできること
GuardPlanは、事故対応のタスクと判断を一つの記録で管理し、対策本部が業務継続の判断を行うための状況把握を支援します。BCPの発動や代替業務の管理に特化した機能は、今後の対応を予定しています。
関連用語
参考資料
執筆：GuardPlan編集部 最終更新日：2026年11月4日