「地震や水害でオフィスに入れなくなったら、明日から仕事ができるだろうか」「ランサムウェアでデータが暗号化されたら、何日止まるのか」。BCP（事業継続計画）という言葉は知っていても、「分厚い計画書を作る余裕はない」「大企業の話だと思っていた」と、手つかずの中小企業は少なくありません。しかし、災害だけでなく、サイバー攻撃、システム障害、感染症など、事業を止める原因は身近にあります。
実は、BCPの中核は、立派な計画書ではなく、「止まったとき、何を、どの順番で、どこから復旧するか」を決めておくことです。その土台になるのが、データのバックアップと、クラウドを活用した「どこからでも仕事ができる」状態です。本記事では、中小企業が無理なく進められるBCPとクラウド活用の考え方と、具体的な進め方を解説します。
BCPとデジタル化の基本
BCPとは何か
BCPとは、災害、事故、サイバー攻撃などの緊急事態が起きても、重要な事業を中断させない、または中断しても早く復旧させるための計画です。中小企業の場合、次の3つが決まっていれば、実用的な第一歩になります。
- 守るべき重要業務（これが止まると事業が成り立たない業務）
- 復旧の目標時間（何時間・何日以内に再開するか）
- 復旧に必要な資源（データ、システム、人、場所、取引先）
事業を止める代表的な原因
中小企業の事業を止める原因は、大きく次のように整理できます。
| 原因 | 主な影響 | デジタルでの備え |
|---|---|---|
| 地震・水害などの自然災害 | オフィスや設備に入れない、サーバー・パソコンの損壊 | データのクラウド保管、遠隔地への複製、在宅でも使える環境 |
| ランサムウェアなどのサイバー攻撃 | データの暗号化、システム停止、情報漏洩 | バックアップ（攻撃から隔離）、アクセス権限の管理、早期の検知 |
| 機器の故障・システム障害 | 業務の停止、データの喪失 | 定期バックアップ、冗長化、保守契約 |
| 人的ミス・内部不正 | 誤削除、情報の持ち出し | 権限設定、操作ログ、削除データの復元機能 |
| 感染症などによる出社制限 | 人が集まれない | リモートで使える環境、紙に依存しない業務 |
IPA（情報処理推進機構）の「情報セキュリティ10大脅威」でも、ランサムウェアによる被害が、組織向けの脅威として上位に挙がり続けています。最新の順位や内容は、IPAの公式サイトでご確認ください。
国の「事業継続力強化計画」認定制度
中小企業庁は、中小企業が防災・減災の取り組みをまとめた「事業継続力強化計画」を国が認定する制度を設けています。認定を受けると、税制優遇、金融支援、補助金の審査での加点といった支援が受けられる場合があります。計画書は、簡易な様式で作成できる設計になっており、BCP策定の入口として使えます。ただし、制度の内容・要件は変更されることがあるため、最新情報は必ず中小企業庁の公式サイトをご確認ください。
バックアップとクラウドの設計
「3-2-1ルール」でバックアップを考える
バックアップの基本の考え方として、広く知られているのが「3-2-1ルール」です。
- 3：データのコピーを、3つ持つ（本番データ＋バックアップ2つ）
- 2：2種類以上の異なる媒体・場所に保存する（例：クラウドと外付けディスク）
- 1：うち1つは、離れた場所（遠隔地・別のクラウド）に置く
最近は、ランサムウェア対策として、「攻撃を受けても書き換え・削除できないバックアップ（ネットワークから切り離す、または変更不可にする）」を持つことも重要とされています。バックアップも同じネットワークにつながっていると、一緒に暗号化されるリスクがあるためです。
復旧の目標を決める：RTOとRPO
バックアップの設計では、次の2つの目標を決めます。
| 用語 | 意味 | 考え方の例 |
|---|---|---|
| RTO（目標復旧時間） | 障害が起きてから、何時間（何日）以内に業務を再開するか | 受発注システムは1日以内、会計は3日以内 |
| RPO（目標復旧時点） | どの時点のデータまで戻せればよいか（何時間前までの損失を許容するか） | 受注データは前日分まで、メールは直近まで |
目標が厳しいほど、費用がかかります。すべてを最短で復旧するのではなく、重要業務ごとに、現実的な目標を決めてください。
クラウド活用が、BCPに効く理由
クラウドサービス（Google Workspace や Microsoft 365 など）は、データが事業者のデータセンターに保管され、インターネットがあれば、どの場所・端末からでもアクセスできます。オフィスが使えなくなっても、自宅や別の場所のパソコンから、メール、ドキュメント、共有ファイルを使って仕事を続けられます。
一方で、クラウドを使っていれば安心というわけではありません。誤って削除したデータの復元期間、アカウントの乗っ取り、管理者権限の設定ミスなど、利用者側で対策が必要な部分があります。各サービスの保持期間や復元の仕様は、公式の情報で確認してください。
BCP策定の進め方（Step 1〜6）
Step 1：重要業務を絞り込む
すべての業務を守ろうとせず、「これが止まると売上や信用に大きく影響する」業務を3〜5つに絞ります。たとえば、受注・出荷、請求・入金管理、顧客対応、給与支払いなどです。
Step 2：重要業務に必要な資源を洗い出す
各業務が、どのデータ、システム、機器、人、取引先に依存しているかを書き出します。「このパソコンにしかないファイルがある」「担当者しか知らないパスワードがある」といった、単一の依存先（1か所に集中しているもの）を見つけることが目的です。
Step 3：想定するリスクと、復旧の目標を決める
地震、水害、サイバー攻撃、機器故障のうち、自社の立地や業務に合ったものを想定し、RTO・RPOを重要業務ごとに決めます。
Step 4：バックアップとクラウドの環境を整える
3-2-1ルールに沿って、バックアップの方法と場所を決めます。あわせて、重要な書類・データをクラウドに移し、複数の担当者がアクセスできるようにします。アカウントの管理（多要素認証、管理者権限の限定）も同時に行います。
Step 5：緊急時の連絡と判断のルールを決める
誰が、何を基準に、どのように判断・連絡するのかを、1枚の紙にまとめます。社員、取引先、顧客、金融機関、保険会社、支援機関の連絡先リストも用意します。連絡先リストは、パソコンが使えない場合に備え、紙やスマートフォンにも保存します。
Step 6：訓練し、見直す
作っただけでは機能しません。年に1回は、「バックアップから実際にデータを復元してみる」「在宅でログインして仕事ができるか確認する」といった訓練を行い、問題点を見直します。バックアップが取れていても、復元できなければ意味がありません。
活用事例
当協会の支援現場の相談を、守秘義務に配慮して一般化し、業種・規模のみを示す形で紹介します。
事例1：製造業（従業員35名）— 受注データの保管先を分散
受注・図面データが、事務所の1台のサーバーにだけ保管されていた会社の例です。重要データをクラウドに複製し、定期的な自動バックアップを設定しました。さらに、年に1回、バックアップからの復元テストを行う運用にしました。機器が故障した際の復旧に要する時間の見通しが立ち、取引先への説明もしやすくなりました。
事例2：サービス業（従業員18名）— 在宅でも仕事ができる環境を整備
出社しないと業務ができない状態だった会社です。ファイルの保管をクラウドに移行し、多要素認証を設定して、自宅からも安全に使える環境にしました。台風などで出社が難しい日にも、業務を続けられるようになりました。
事例3：小売・卸売業（従業員22名）— 事業継続力強化計画の作成をきっかけに、見直しを実施
取引先から、災害時の対応について質問された会社の例です。国の事業継続力強化計画の様式に沿って、想定リスクと対策を整理したところ、「特定の担当者しか分からない作業」が複数見つかりました。手順書の作成と、副担当者の設定を行い、計画書をもとに取引先にも説明できるようになりました。
デメリット・注意点
バックアップの費用と管理の手間がかかる
クラウドや外部媒体へのバックアップには、月額費用と、定期的な確認の手間がかかります。対策は、重要度に応じて、バックアップの頻度・範囲を変えることです。すべてを同じ水準で守る必要はありません。
「取っているつもり」で復元できないリスクがある
バックアップが失敗していたり、復元の手順が分からなかったりして、いざというときに使えない例があります。対策は、定期的に復元のテストを行い、手順書を残すことです。
クラウドは万能ではない
クラウドの障害、アカウントの乗っ取り、設定ミスによる情報漏洩のリスクがあります。対策は、多要素認証、権限の最小化、定期的な設定の見直しです。
計画が「書いただけ」で終わりやすい
BCPは、作ることが目的になりがちです。社内で共有されず、訓練もされない計画は、緊急時に使えません。対策は、年に1回の見直しの日を、カレンダーに入れておくことです。
取引先・外部との連携が必要
自社だけが備えても、取引先や物流が止まれば、事業は止まります。対策は、主要な取引先の事業継続の状況を確認し、緊急時の連絡方法を共有しておくことです。
よくある失敗パターンと対策
失敗1：最初から完璧な計画書を作ろうとする
分厚い計画書を目指して、途中で挫折する例です。対策は、まず、重要業務3つ、復旧目標、連絡先リストの1枚から始め、毎年少しずつ充実させることです。
失敗2：バックアップを本番と同じ環境に置く
同じネットワーク・同じ建物にあるバックアップは、災害や攻撃で、一緒に失われます。対策は、離れた場所・隔離された環境に、1つはコピーを持つことです。
失敗3：担当者1人に任せて、他の人が分からない
担当者が不在・退職すると、誰も復旧できません。対策は、手順書を作り、副担当者を決め、定期的に全員で確認することです。
失敗4：パスワードや管理者権限が個人に集中している
担当者しか管理者のアカウントを知らない例です。対策は、管理者アカウントの管理ルールを決め、緊急時に使える仕組み（複数管理者、金庫での保管など）を整えることです。
まとめ
中小企業のBCPは、大がかりな計画書ではなく、「重要業務を決め、復旧の目標を決め、データのバックアップとクラウドの環境を整え、訓練する」というシンプルなサイクルから始められます。バックアップは3-2-1ルール、目標はRTO・RPOで考え、重要業務ごとに現実的な水準を決めてください。国の事業継続力強化計画の認定制度は、計画づくりの入口として活用できます。
まずは、自社の重要業務を3つ書き出し、そのデータがどこに保管されているかを確認することから始めてください。当協会のDX・AI情報サイト（https://dx-ai.seed.or.jp/）では、情報セキュリティやクラウド活用など、関連するテーマを継続的に取り上げています。制度・支援策の内容は変更されることがあるため、最新情報は必ず公式サイトをご確認ください。
