「地震や台風に備えて、BCPは作ってある」。そう答える企業は年々増えています。内閣府の最新調査では、大企業のおよそ4社に3社がBCPを策定済みです。
一方で、2025年秋には大手飲料メーカーがランサムウェアの被害を受け、受注・出荷のシステムが止まりました。物流が正常に戻るまでには、約5か月かかっています。
BCPは「災害対策の書類」ではありません。「何が起きても、止めてはいけない業務を続け、止まった業務を決めた時間内に戻すための計画」です。
この記事では、BCPの意味と策定手順を押さえたうえで、地震を想定したBCPがサイバー攻撃では機能しにくい理由と、その備え方を解説します。
目次
BCP（事業継続計画）とは
BCPは「Business Continuity Plan」の略で、日本語では「事業継続計画」と呼ばれます。
自然災害、感染症、システム障害、サイバー攻撃などの緊急事態が起きたときに、次の2つを実現するための方針・体制・手順をまとめた計画です。
- 止めてはいけない中核業務を、できるだけ続ける
- 止まってしまった業務を、あらかじめ決めた時間内に元に戻す
一言でいうと「止まる前提で、戻し方を決めておく計画」
BCPは、被害をゼロにするための計画ではありません。「ある程度は止まる」ことを前提に、落ち込みをどこまで小さくし、どれだけ早く戻すかを決めておく計画です。
何も準備していない企業は、事故の直後に業務が大きく落ち込み、元に戻るまでに長い時間がかかります。その間に取引先が離れ、売上と信用を失えば、事業そのものが続けられなくなることもあります。
BCPを持つ企業は、優先する業務を絞り込み、代わりの手段を用意しておくことで、落ち込みを小さく抑えます。そして「この時間を超えると致命的になる」という限界より前に、業務を戻すことを目指します。
防災計画との違い
BCPとよく混同されるのが防災計画です。両者は重なる部分も多いですが、守る対象が違います。
| 防災計画 | BCP | |
|---|---|---|
| 守るもの | 人命、建物、設備 | 事業（中核業務、取引、信用） |
| 主な問い | どう避難するか、何を備蓄するか | どの業務を、いつまでに、何で代替して戻すか |
| 想定する事象 | 主に自然災害 | 自然災害、感染症、システム障害、サイバー攻撃など |
防災計画で人と設備を守ることは、BCPの土台です。そのうえで「では事業をどう続けるか」を決めるのがBCPです。
BCM（事業継続マネジメント）との違い
BCM（Business Continuity Management）は、BCPを作り、訓練し、点検し、改善し続ける取り組み全体を指します。
BCPが「計画書」だとすると、BCMは「計画書を使える状態に保ち続ける運用」です。作って棚にしまったままのBCPが、いざというときに役に立たないのはこのためです。組織変更やシステムの入れ替えがあれば、計画の前提も変わります。
BCPを策定している企業はどのくらいか
大企業は約76%、中堅企業は約55%
内閣府が2026年3月に公表した「令和7年度 企業の事業継続及び防災の取組に関する実態調査」によると、BCPの策定率は次のとおりです。
- 大企業：75.8%（前回調査から0.6ポイント減）
- 中堅企業：54.8%（前回調査から9.3ポイント増）
大企業は横ばいですが、中堅企業は大きく伸びました。業種別では金融・保険業が82.2%で最も高い一方、運輸業・郵便業、サービス業、不動産業・物品賃貸業は50%を下回っています。
中小企業を含めると約2割にとどまる
帝国データバンクが2026年5月に実施した調査（有効回答1万521社）では、BCPを「策定している」企業は21.4%でした。調査開始以来の最高値ですが、「策定していない」企業も40.7%あります。
規模別では、大企業の39.9%に対し、中小企業は18.3%です。
内閣府の調査と数字が大きく違うのは、調査の対象が違うためです。内閣府は資本金の大きい大企業・中堅企業を中心に調べており、帝国データバンクは中小企業を多く含みます。自社の立ち位置を考えるときは、近い規模の数字を見てください。
策定しない理由は「やり方が分からない」
同じ帝国データバンクの調査で、BCPを策定していない理由として多かったのは次の3つです。
- 策定に必要なスキル・ノウハウがない（42.2%）
- 策定する人材を確保できない（33.5%）
- 策定する時間を確保できない（28.1%）
「必要なのは分かっているが、手が回らない」というのが実態です。最初から完璧な計画を目指す必要はありません。後述の手順で、優先度の高い業務とリスクから順に備えていくのが現実的です。
BCPで想定するリスクは、地震だけではなくなった
半数の企業がサイバー攻撃などを脅威と考えている
帝国データバンクの2026年調査で、事業継続を脅かすリスクとして挙がったものは次のとおりです。
| リスク | 割合 |
|---|---|
| 自然災害 | 67.8% |
| 情報セキュリティ上のリスク | 50.2% |
| 設備の故障 | 37.9% |
| 感染症 | 37.3% |
| インフラの寸断 | 36.8% |
| 物流の混乱 | 36.5% |
自然災害に次いで、サイバー攻撃などの情報セキュリティ上のリスクが半数を超えています。
事業の中断に備えて実施・検討している施策でも、「従業員の安否確認手段の整備」（65.3%）に次いで「情報システムのバックアップ」（59.5%）が上位に入りました。BCPの中で、データとシステムの備えが大きな位置を占めていることが分かります。
国のガイドラインも見直しが進んでいる
内閣府の「事業継続ガイドライン」は2005年に初版が公表され、改定を重ねてきました。2023年3月の改定では、テレワークの活用とあわせて、情報セキュリティの強化にも言及しています。
さらに2026年7月には「事業継続ガイドライン改定等に関する検討会」が始まり、本社機能の代替戦略やサプライチェーン対策の強化などをふまえた見直しが議論されています。
介護・障害福祉では策定が義務になっている
業種によっては、BCPはもはや任意の備えではありません。介護サービス事業所と障害福祉サービス事業所では、2024年4月からBCPの策定が義務化されました。自然災害と感染症の2つを想定したBCPが求められ、策定していない場合は報酬が減算されます。
地震を想定したBCPが、サイバー攻撃では機能しにくい理由
内閣府の調査では、企業が重視するリスクとして最も多く挙がったのは「地震」でした。多くの企業のBCPは、地震を起点に作られています。
しかし、地震用に作ったBCPを、そのままサイバー攻撃に当てはめられるとは限りません。前提が3つ違うためです。
違い1：壊れる範囲が「場所」ではなく「つながっているもの全部」
地震の被害は、場所ごとに起きます。東京の本社が使えなければ、大阪の拠点で業務を引き継ぐ。地震を想定したBCPは、この「拠点の切り替え」を軸にしていることが多くあります。
サイバー攻撃の被害は、ネットワークでつながったシステム全体に広がります。本社も支社も、同じ社内ネットワークや同じ認証の仕組みでつながっていれば、同時に使えなくなる可能性があります。代替拠点やバックアップでシステムを戻す仕組み（ディザスタリカバリ）が、サイバー攻撃で使えなくなる理由は、「ディザスタリカバリ（DR）とは？BCPとの違いと、ランサムウェアで「戻せないDR」になる理由」で詳しく解説しています。
違い2：バックアップも攻撃の対象になる
地震で本社のサーバーが壊れても、遠く離れた場所に保管したバックアップは無事です。
ランサムウェアの攻撃者は、データを暗号化する前に、バックアップを探して削除したり、一緒に暗号化したりすることがあります。復旧の手段を先につぶしておけば、被害企業は身代金を払うしかなくなるからです。
「バックアップを取っているから大丈夫」と言えるのは、そのバックアップが攻撃者の手の届かない場所にある場合に限られます。
違い3：いつ戻れるかが読めない
地震の被害は目で見て確かめられるため、復旧の見通しを立てやすい面があります。
サイバー攻撃では、どこまで侵入されたかの調査が終わるまで、システムを再び動かすことができません。安全を確かめないまま元に戻すと、残っていた不正なプログラムによって再び被害を受けるおそれがあるからです。調査と復旧には、数日で済むこともあれば、数か月かかることもあります。
事例：受注・出荷のシステムが止まった大手飲料メーカー
2025年9月29日、アサヒグループホールディングスはサイバー攻撃によるシステム障害を公表しました。その後、原因はランサムウェアであることが確認されています。
国内グループ会社の受注・出荷システムが停止し、一部の工場では生産も止まりました。同社は電話などの手作業による受注に切り替えて、出荷を順次再開しています。システムによる受注・出荷を再開したのは12月で、配送のリードタイムを含めて物流が正常化したのは2026年2月でした。
同社の決算発表によると、この攻撃は営業利益ベースで400億円弱の減益要因となりました。個人情報については、2025年11月の時点で約191.4万件に漏えいの可能性があるとされ、2026年2月の調査結果では115,513件の漏えいが確認されています。
この事例からは、BCPの論点が2つ読み取れます。
- システムが止まっても、手作業で業務を続ける手段があるか。 同社は手作業での受注に切り替えることで、出荷を完全には止めずに済みました
- データとシステムを、どれだけ早く戻せるか。 手作業では処理できる量に限りがあり、完全な正常化までには約5か月を要しました
サイバー攻撃を想定したBCPでは、この2つを両方とも計画に入れておく必要があります。
BCPの策定手順（5ステップ）
内閣府の事業継続ガイドラインなどをもとに、BCPを作る流れを5つのステップに整理しました。
ステップ1：方針と体制を決める
最初に、経営者が「何を守るのか」という基本方針を示します。あわせて、BCPを作り、運用する責任者と担当部門を決めます。
BCPは、どの業務を優先し、どの業務を後回しにするかを決める計画です。この判断は現場だけでは下せません。内閣府のガイドラインでも、経営者が関与することの重要性が明記されています。
ステップ2：止めてはいけない業務を選ぶ
自社の業務を洗い出し、「止まったら、何日で取引先や売上や信用に致命的な影響が出るか」を業務ごとに見積もります。この作業を事業影響度分析（BIA）と呼びます。
ここで大切なのは、すべての業務を守ろうとしないことです。人も設備も限られる非常時に、全部を同時に続けることはできません。製造業なら受注・生産・出荷、サービス業なら顧客対応と請求のように、事業の生命線になる業務に絞り込みます。
ステップ3：いつまでに、どこまで戻すかを決める
選んだ業務ごとに、「いつまでに」（目標復旧時間）と「どの水準まで」（目標復旧レベル）を決めます。たとえば「受注業務は3日以内に、通常の50%の処理量まで戻す」といった形です。
情報システムについては、「どの時点のデータまで戻せればよいか」もあわせて決めます。前日の夜までのデータで足りるのか、1時間前までのデータが必要なのかによって、必要なバックアップの取り方が変わります。システム停止の許容時間はRTO（目標復旧時間）、失ってもよいデータの範囲はRPO（目標復旧時点）と呼ばれます。
ステップ4：代わりの手段とデータの備えを用意する
目標を達成するために、平常時のうちに代わりの手段を準備します。考える対象は、大きく4つです。
- 人： 担当者が出社できない、連絡がつかない場合の代行者と連絡手段
- 場所： 拠点が使えない場合の代替拠点や、在宅での業務
- 業務： システムが使えない場合の手作業の手順（紙の受注票、電話での受付など）
- データ： 業務に欠かせないデータのバックアップと、それを戻す手順
サイバー攻撃を想定する場合、データの備えでは保管場所の分け方が要になります。普段使うシステムと同じネットワークの中にしかバックアップがなければ、攻撃を受けたときに一緒に失われるおそれがあります。ネットワークから切り離した場所や、書き換えられない形式で保管したバックアップを含めておくことで、「戻すためのデータが残っている」状態を保ちやすくなります。
ステップ5：訓練して、見直す
計画は、実際に動かしてみるまで使えるかどうか分かりません。年に1回以上は、次のような訓練を行います。
- 机上訓練（「受注システムが今止まった」と想定して、誰が何をするかを確かめる）
- 連絡網のテスト
- バックアップからデータを戻すテスト
訓練で見つかった問題を計画に反映し、組織変更やシステムの入れ替えがあったときにも見直します。内閣府の調査でも、リスクへの対応を進めるうえでの課題として最も多かったのは「自社従業員への取組の浸透」でした。計画を作ることより、計画を全員が使える状態にしておくことのほうが難しいと言えます。
作ったBCPが「使える計画」か確かめる3つの問い
すでにBCPがある場合は、次の3つの問いで点検してみてください。とくにサイバー攻撃を想定したときに、抜けやすいポイントです。
1. システムが全部止まったとき、最初の判断を誰がするか決まっているか
攻撃は夜間や休日に起きることもあります。責任者が不在のときに誰が判断するのか、代行の順番まで決めておきます。
あわせて、連絡手段も確かめてください。社内のメールやチャットだけで連絡を取る計画になっていると、システムが止まった時点で連絡網も使えなくなります。
2. データが本当に戻るか、試したことがあるか
バックアップは「取れている」ことと「戻せる」ことが別です。いざ戻そうとしたら途中で失敗した、必要なデータが含まれていなかった、という例は珍しくありません。
実際に戻してみて、全部のデータが戻るか、戻すのに何時間かかるかを測っておきます。その時間がステップ3で決めた目標復旧時間に収まらなければ、計画か備えのどちらかを見直す必要があります。
3. 計画書を、システムが止まった状態でも読めるか
BCPの計画書や連絡先リストを、社内のファイルサーバーにだけ置いていないでしょうか。サイバー攻撃でファイルサーバーが使えなくなれば、肝心の計画書も開けなくなります。紙に印刷して保管する、社内システムとは別の場所にも置くといった対応が必要です。
よくある質問
BCPとはどういう意味ですか?
BCPはBusiness Continuity Planの略で、日本語では「事業継続計画」です。自然災害、感染症、システム障害、サイバー攻撃などの緊急事態が起きても、中核となる業務を続け、止まった業務を決めた時間内に戻すための方針・体制・手順をまとめた計画を指します。
BCP対策とは何ですか?
BCPにもとづいて、平常時のうちに行っておく備えのことです。従業員の安否確認の仕組み、代替拠点や代行者の確保、手作業で業務を続ける手順、データのバックアップ、定期的な訓練などが含まれます。計画書を作ることだけでなく、その計画が非常時に実際に動くように準備しておくことまでを指します。
BCP対策 誰がやる？
最終的な責任者は経営者です。どの業務を優先するかは経営判断だからです。実務は総務や経営企画の部門が取りまとめ役になることが多く、情報システムやデータに関わる部分は情報システム部門が担当します。各部門は、自部門の重要な業務と、システムが使えないときの代わりの手順を出す役割を持ちます。1つの部門に任せきりにせず、全社で分担することが大切です。
BCPとDCPの違いは何ですか?
DCPはDistrict Continuity Planの略で、「地域継続計画」と呼ばれます。BCPが1つの企業や組織の事業を続けるための計画であるのに対し、DCPは地域の企業、自治体、病院などが連携し、被災時に優先して復旧すべき箇所や役割分担を、あらかじめ地域で合意しておく計画です。個々の企業がBCPで事業を続けられても、道路や物流など地域の機能が止まれば事業は続きません。DCPは、その地域全体の継続を考える仕組みです。
まとめ
BCP（事業継続計画）は、緊急事態が起きても中核業務を続け、止まった業務を決めた時間内に戻すための計画です。策定する企業は増えていますが、その多くは地震を起点に作られています。
サイバー攻撃では、つながっているシステムが同時に止まり、バックアップまで狙われ、いつ戻れるかが読めません。地震用のBCPをそのまま当てはめることはできません。
まずは今あるBCPを、「システムが全部止まったら」という想定で読み直してみてください。誰が判断するのか、手作業で何を続けるのか、データはどこから戻すのか。この3つに答えられれば、サイバー攻撃に耐えられるBCPに一歩近づきます。
参考資料
- 内閣府（防災担当）「令和7年度 企業の事業継続及び防災の取組に関する実態調査（概要）」2026年3月
- 内閣府（防災担当）「事業継続ガイドライン（令和5年3月改定）」
- 内閣府（防災担当）「事業継続ガイドライン改定等に関する検討会」2026年7月〜
- 株式会社帝国データバンク「事業継続計画（BCP）に対する企業の意識調査（2026年）」2026年6月
- 国土交通省「地域継続計画の概要と取組事例について」
- 杉並区「BCP（業務継続計画）について【令和6年4月1日から義務化】」
- クラウド Watch「アサヒグループHDが攻撃被害の概要を説明」2025年11月27日
- ScanNetSecurity「アサヒグループホールディングスへのランサムウェア攻撃、個人情報 115,513 件の漏えいを確認」2026年2月27日
- ロケットボーイズ「アサヒグループHD、2025年12月期決算を発表」2026年7月
SecuShardについて
株式会社SecuShardは、データを「盗まれても読めない、壊されても戻せる」状態で保管するための統合サイバーセキュリティシリーズ「ONEデジSecurity」を提供しています。
その第一弾が、セキュアファイルサーバー「ONEデジGuard」です。いま使っているファイルサーバーと置き換えて使う製品で、社員はこれまでと同じ共有フォルダを操作します。その裏側で、次の3つを1台で担います。
- 攻撃を止める： ファイル操作のふるまいからランサムウェアなどの攻撃を検知し、問題のある接続だけを遮断します
- データを守る： ファイルを暗号化したうえで6つの断片に分けて保管し、一部が盗まれても中身を読み取れない形にします
- 壊れても戻す： 6つのうち4つの断片が残っていれば元に戻せる仕組みで、保管中のデータを定期的に点検し、破損した部分を再構築します
BCPで「データをどこから、どれだけ早く戻すか」を考える際の選択肢の一つとして、ご検討ください。