サイバーBCPとは、ランサムウェアや不正アクセスなどのサイバー攻撃で事業が止まったときに、被害を最小限に抑えて業務を早く立て直すための計画です。
地震や水害を想定した従来のBCP（事業継続計画）とは、被害の見えにくさや復旧までの流れが大きく異なるため、別の備えが必要になります。この記事では、通常のBCPとの違い、策定の4ステップ、予防から復旧までの具体的な対策までをくわしく解説します。
サイバーBCPとは
サイバーBCPとは、サイバー攻撃によって業務が停止する事態を想定し、被害を抑えながら重要な事業を継続・復旧させるための計画です。なお「サイバーBCP」は法令やガイドラインで定められた正式な用語ではなく、実務上の呼び方です。公的機関では「サイバー攻撃を想定した業務継続計画（BCP）」といった表現が使われています。
攻撃を完全には防げないという前提に立ち、被害を受けた後にいかに早く立ち直るかという回復力に重点を置く点が特徴になります。
なぜ「防げない前提」なのか。攻撃者が侵入を試みる手口は年々巧妙になっており、すべての侵入を100%止めることは現実的ではありません。警察庁も、日々変化・巧妙化するサイバー攻撃を完全に防ぐことは困難だとしたうえで、企業などにサイバー攻撃を想定した体制の構築を促しています。そのため、侵入や被害が起きたときの復旧の速さと、事業を止めない工夫があらかじめ計画に組み込まれている必要があります。
たとえば、ランサムウェア（データを暗号化して身代金を要求する不正プログラム）に感染して基幹システムが使えなくなった場合を考えます。このとき、どの業務から復旧させるか、その間どう業務を回すか、誰が何を判断するかが決まっていなければ、対応は後手に回ります。サイバーBCPは、こうした場面での動き方を平時のうちに決めておく取り組みです。
BCPおよびIT-BCPとサイバーBCPの関係
サイバーBCPを理解するには、BCPとIT-BCPとの関係を押さえると分かりやすいでしょう。この三つは、簡単にいうと「入れ子」の構造になっています。
BCP（Business Continuity Plan、事業継続計画）は、事業の中断をもたらす緊急事態でも重要な事業を続けるための計画全般を指します。内閣府の「事業継続ガイドライン」は自然災害を主な対象としつつ、大事故、感染症、テロ、サプライチェーンの途絶、サイバー攻撃など、あらゆる事象に適用できるとしています。
このうち、ITシステムの運用維持に焦点を当てたものがIT-BCP（情報システム運用継続計画）です。そしてIT-BCPの中で、サイバー攻撃というリスクへの対処に特化したものがサイバーBCPにあたります。
つまり、もっとも広いBCPの中にIT-BCPがあり、そのさらに内側にサイバーBCPが位置づけられます。ただし、IT-BCPは、もともと大規模災害だけでなく情報セキュリティインシデントも想定事象に含む計画です。自然災害向けのBCPとサイバーBCPは、どちらか一方で足りるものではなく、互いを補い合う関係です。両方を備えることで、事業を止めないための体制がより確かなものになります。
サイバーBCPと通常のBCPは何が違うのか
サイバーBCPと通常のBCPは、想定するリスクだけでなく、復旧のプロセスそのものが違います。自然災害では被害が目に見えやすく復旧の見通しを立てやすい一方、サイバー攻撃では何が起きたのかの把握自体に時間がかかり、システムを元に戻すだけでは対応が終わりません。この違いを理解しないまま自然災害向けのBCPを流用すると、いざというときに機能しないおそれがあります。
両者の主な違いを次の表にまとめます。
| 比較の観点 | 通常のBCP（自然災害向け） | サイバーBCP |
|---|---|---|
| 主な想定リスク | 地震、水害、火災、停電など | ランサムウェア、不正アクセス、標的型攻撃など |
| 被害の把握 | 目に見えやすく、範囲を特定しやすい | 侵害範囲が見えにくく、調査に時間がかかる |
| 復旧の判断 | 設備を直せば再開できることが多い | 安全に復旧できる状態かの確認が必要 |
| 復旧後の対応 | 復旧すれば業務に戻りやすい | 情報漏えい対応や対外説明が長期間続くことがある |
| 加害者性 | 基本的に被害者の立場 | 取引先への被害拡大で加害者側の対応を求められることがある |
以下では、実務上とくに影響が大きい三つの違いを説明します。
違いその1 被害が見えにくく原因調査が先に必要になる
一つ目の違いは、被害の見えにくさです。サイバー攻撃では、何が起きたのかがすぐには分からないことが少なくありません。
自然災害であれば、サーバー機器が浸水した、停電で止まったといった原因が比較的はっきりしています。これに対しランサムウェア感染では、どの端末が侵害されたのか、攻撃者が社内ネットワークのどこまで入り込んだのか、情報が外部へ持ち出されたのか、バックアップまで汚染されていないかを調べる必要があります。こうした被害範囲の特定には、ログの分析など専門的な調査が欠かせません。
この確認をしないままシステムを再稼働すると、再感染や被害の再拡大につながるおそれがあります。JPCERT/CCも、侵入経路を塞がないままシステムを復旧すると別の攻撃グループによる被害を受ける可能性があるとして、復旧前に侵入経路として考えられる原因をすべて対処するよう求めています（※4）。復旧の前に原因調査という工程が挟まる点が、自然災害対応との大きな差になります。調査にはマルウェア分析などの専門知識も求められ、社内のIT担当者だけで対応しきれない場合もあります。
違いその2 復旧して終わりではなく対応が長く続く
二つ目の違いは、復旧後も対応が続くことです。自然災害では設備やシステムが直れば業務に戻れることが多いのに対し、サイバー攻撃では復旧後にやるべきことが多く残ります。
情報漏えいが起きた場合、被害範囲の特定に加え、顧客や取引先への説明、問い合わせ対応、監督官庁への報告、自社サイトでの公表、再発防止策の策定などが必要になります。
不正アクセスなど不正の目的によるおそれがある個人データの漏えいは、たとえ1件でも個人情報保護委員会への報告と本人への通知が義務づけられており、発覚後おおむね3〜5日以内の速報に加えて、60日以内に確報を提出する必要があります（※1）。
とくに取引先などのステークホルダーへの説明は、システムの利用再開にも関わります。近年はサプライチェーン全体でのセキュリティが重視され、取引先から原因や再発防止策の提示を求められるケースも増えています。システムを復旧させれば終わりではなく、事故後の説明責任や信用回復まで含めて事業継続を考える必要があります。
違いその3 復旧目標を数値どおりに当てはめにくい
三つ目の違いは、復旧目標の立てにくさです。通常のBCPでは、RTO（Recovery Time Objective、目標復旧時間、いつまでに復旧するか）とRPO（Recovery Point Objective、目標復旧時点、どの時点のデータまで戻すか）を設定します。
しかしサイバー攻撃では、被害範囲の特定や安全確認に時間がかかるため、事業面で設定した復旧目標をそのまま当てはめにくい場合があります。ITシステムがいつ安全に使える状態に戻るかを、初期段階では見通しにくいためです。
復旧目標を機械的に数値化するのではなく、ITが使えない間は手作業などの代替手段で乗り切る業務は何か、どの時点までのデータを戻す必要があるかを、業務の実態に合わせて定めておくことが求められます。ITシステムの停止が長期化する前提で、通常想定と最悪のケースの両面を見ておくと、計画が現実に即したものになります。
なぜ今サイバーBCPが必要なのか
サイバーBCPが必要とされる背景には、攻撃の増加と被害の深刻化があります。もはや一部の大企業だけの問題ではなく、企業規模や業種を問わず備えが求められる状況です。ここでは公的機関などのデータをもとに、現状を確認します。
IPA（独立行政法人情報処理推進機構）が公表した「情報セキュリティ10大脅威 2026」の組織向けランキングでは、1位が「ランサム攻撃による被害」、2位が「サプライチェーンや委託先を狙った攻撃」で、この2つは4年連続で同じ順位に選ばれています（※2）。ランサム攻撃は組織向けの脅威として11年連続で選出されており、攻撃が自社だけでなく取引先を経由して広がる構図も続いていることを示しています。なお2026年版では「AIの利用をめぐるサイバーリスク」が3位に初選出されました（※2）。
被害からの復旧には相応の時間がかかります。警察庁によると、2025年のランサムウェア被害報告件数は226件で、前年の222件と同水準の高い状態が続いています。警察庁の統計では、1か月未満で復旧できた組織は全体の5割強にとどまり、復旧に総額1,000万円以上を要した組織は5割を超えています（※3）。この間の業務停止は、売上の減少だけでなく、問い合わせ対応や外部専門家への費用など、直接・間接の損害につながります。
中小企業も例外ではありません。警察庁の統計では、ランサムウェア被害の報告のうち約6割を中小企業が占めています（※3）。セキュリティに割ける人材や予算が限られる分だけ狙われやすく、大企業の取引先として攻撃の踏み台にされる例もあります。取引の条件としてセキュリティ対策状況の確認を求められる場面もあり、サイバーBCPへの取り組みは企業の信用にも関わります。
サイバーBCP策定の4ステップ
サイバーBCPは、方針を決め、リスクを分析し、計画をつくり、訓練で磨くという順序で進めます。経済産業省とIPAの「サイバーセキュリティ経営ガイドライン」や内閣府の「事業継続ガイドライン」も、こうした流れの土台として参照できます（※5、※6）。ここでは策定の全体像を4つのステップに分けて説明します。
ステップ1 基本方針の決定と推進体制の構築
最初に、経営層がサイバー攻撃を経営リスクと位置づける基本方針を定めます。ここが曖昧なままだと、いざというときに指揮系統が定まらず、対応が遅れます。
方針では、いつまでにどの水準の事業継続を実現するか、攻撃を受けたときに最低限避けたい事態は何かといった大枠を決めます。あわせて、CISO（最高情報セキュリティ責任者）の任命や、CSIRT（Computer Security Incident Response Team、インシデント対応の専門チーム）の設置または外部委託を検討します。
推進体制は情報システム部門だけで完結しません。経済産業省とIPAの「サイバーセキュリティ経営ガイドライン」でも、経営者がリスク管理体制を構築し、緊急対応体制や復旧体制を整備することが重要項目として挙げられています（※5）。サイバー攻撃時には対外説明や法的対応も発生するため、広報や法務を含め、初期の段階から組織横断で取り組む前提を作っておくことが重要です。
ステップ2 リスクアセスメントと業務影響度分析
次に、自社が直面するサイバーリスクを洗い出し、被害の大きさを見積もります。どの攻撃が想定されるか、どのシステムが影響を受けるか、停止したときの損失はどの程度かを分析します。
ここで組み合わせたいのが、BIA（Business Impact Analysis、業務影響度分析）です。どの業務が止まると事業にどれだけ響くかを分析し、優先的に守り、早く復旧すべき業務の順位を明確にします。
このとき見落としやすいのが、情報の可用性という観点です。情報セキュリティには、機密性・完全性・可用性という三つの基本要素があり、可用性とは、必要なときにシステムやデータを使える状態を保つことを指します。ランサムウェアは暗号化によってこの可用性を直接奪います。個人情報を扱っていないから重要ではない、と機密性の観点だけで判断すると、事業継続上の重要性を見誤ることがあります。使えなくなると困る業務という視点で優先度を見ることが欠かせません。
ステップ3 対策計画の策定と文書化
リスク分析の結果をもとに、事前の備えと、攻撃を受けた後の対応の二つを計画に落とし込みます。
事前対策には、技術的なセキュリティ対策、バックアップ体制、従業員教育などが含まれます。攻撃を受けた後の対応計画には、発覚時の初動、報告や連絡の手順、対外発表の方針、復旧の手順を具体的に書き込みます。
この計画で見落とされがちなのが、初動対応と連絡の取り決めです。サイバー攻撃時は被害範囲が不明なまま重い判断を迫られます。誰がシステムの停止やネットワークの遮断を判断するのか、どの条件で経営層へ報告するのか、社内外の誰にいつ何を伝えるのかを事前に定めておくと、混乱を抑えられます（※7）。攻撃は夜間や休日にも起こるため、社内ネットワークが使えない場合の連絡手段まで想定しておくと動きやすくなります。
ステップ4 訓練の実施と継続的な見直し
計画は作っただけでは機能しません。訓練を通じて、実際に動けるかを検証します。
有効な方法の一つが、机上演習（テーブルトップエクササイズ）です。具体的な攻撃シナリオを設定し、対策本部の意思決定を模擬体験することで、計画の抜けや部門間の認識のずれを洗い出せます。
IPAも、ランサムウェア感染を想定したインシデント対応の机上演習教材を無償で公開しています。一般企業（中小企業）向けと医療機関向けの2種類があり、演習用スライドと実施マニュアルが一式で提供されているため、社内研修にそのまま使えます。（※8）
サイバー攻撃の手口は変化し続けます。新たな脅威、システムや組織の変更に応じて計画を定期的に見直し、更新するPDCAサイクルを回すことが、実効性の維持につながります。
サイバーBCPを支える予防と検知と復旧の対策
サイバーBCPを実際に機能させるには、攻撃を防ぐ予防、侵入を早く見つける検知、被害から立ち直る復旧の三つをそろえる必要があります。どれか一つだけでは、防ぎきれなかったときや気づけなかったときに立ち行かなくなります。ここでは三つのフェーズごとに、取るべき対策を説明します。
予防は侵入の入口を減らすことから
予防の目的は、攻撃者が侵入しにくい環境を作ることです。攻撃の入口には、はっきりした傾向があります。警察庁の統計によると、ランサムウェアの侵入経路はVPN機器やリモートデスクトップが大半を占め、その多くは未修正の脆弱性、漏えいした認証情報、設定不備を突かれたものです（※3）。入口を減らすことは、侵入後の備えと同じくらい、復旧にかかる負担を抑えることにつながります。
予防の基本となるのが、OSやソフトウェアの定期的なアップデートとパッチ適用です。公開された脆弱性を放置しないことで、攻撃を受ける期間を短くできます。あわせて、MFA（多要素認証、パスワードに加えて別の要素で本人確認する仕組み）の導入で不正アクセスのリスクを下げ、従業員へのセキュリティ教育で人的なミスを減らします。IPAの「情報セキュリティ10大脅威 2026」でも、システムの脆弱性を悪用した攻撃が組織向けの脅威の4位に挙げられています（※2）。
その上で重要になるのが、自社システムに残る弱点を第三者の視点で点検する脆弱性診断です。攻撃者に先んじて穴を見つけ、塞いでおく取り組みにあたります。
脆弱性の点検には、ツールによる自動診断と、専門家が手を動かして行う手動診断があります。自動診断は網羅的に機械チェックができる一方、認証後の複雑な画面遷移や、業務ロジックの穴といった、文脈を読まないと見つからない脆弱性を取りこぼしやすい弱点があります。検出結果に誤りが混じることもあり、それだけに頼ると重大な見落としにつながりかねません。事業継続に直結するWebアプリケーションや基幹システムでは、専門家による手動の脆弱性診断やペネトレーションテスト（実際の攻撃者の手口を模して侵入を試みる検査）で、機械では拾えない弱点まで確認することが求められます。
検知は侵入を早く見つけること
検知の目的は、侵入されたときに素早く気づくことです。近年の攻撃は、侵入後すぐに動くとは限りません。
ランサムウェアは、侵入から暗号化までの間に社内ネットワーク内を探索し、認証情報の窃取やバックアップの破壊を行うことがあります。その間に被害が広がるため、1台の感染で終わらず、気づかないうちに影響が拡大している可能性があります。
早期の検知には、ログを継続的に取得・保管し、監視・分析する体制が欠かせません。その中核となるのがSOC（Security Operation Center、セキュリティを24時間体制で監視・分析する組織や機能）です。自社で構築する余力がない場合は、外部の専門事業者による監視サービスを使う選択肢もあります。ログを平時から適切に取得・保管しておくことは、侵入後の調査の前提にもなり、結果として復旧の早さを左右します。
復旧は事業を止めずに早く立て直すこと
復旧の目的は、被害を受けても事業を止めない、あるいは早く再開することです。ここで軸になるのが、バックアップとその復元性の確保です。
見落としてはならないのが、バックアップがあっても復旧できない場合があることです。JNSA（日本ネットワークセキュリティ協会）が2025年7月に公表した調査では、ランサムウェア被害に遭った29組織から回答を得ており、そのうちデータを復旧できたのは73%でした。復旧できた回答の大半はバックアップからの復旧で、暗号化されたデータを復号して復旧できたという回答は1件のみです。復旧できなかった組織には、そもそもバックアップを取得していなかったケースに加え、バックアップデータ自体が暗号化されてしまったケースも含まれていました（※9）。
なお、この割合は前回調査（2017年1月〜2022年6月が対象）の50%から大きく改善しています（※9）。バックアップの普及や、オフライン保存・復旧体制の整備が進んだ結果です。裏を返せば、備え方の差がそのまま「復旧できるかどうか」の差として表れているということでもあります。社内ネットワークにつながったバックアップが本番環境と一緒に暗号化されたり、感染に長く気づかずバックアップが汚染されていたりする例があるためです。
これを防ぐ考え方として、バックアップの「3-2-1ルール」が広く知られています。データのコピーを三つ持ち、二種類の異なる媒体に保存し、そのうち一つは本番環境から切り離した別の場所（オフサイト）に保管するという運用です。
ただし、3-2-1ルールはもともと災害対策の考え方であり、別拠点に置いてあってもネットワーク経由でたどり着ける状態なら、本番環境と一緒に暗号化されます。ランサムウェア対策としては、保管場所を分けることに加えて、ネットワークから切り離したオフライン保管や、書き換え・削除ができない設定での保存が要点になります。
あわせて、実際に復元できるかを定期的にテストしておくことが、確実な復旧につながります。厚生労働省が医療機関向けに公開しているサイバーセキュリティ対策チェックリストでも、バックアップの実施と復旧手順の確認が求められており、これは業種を問わず備えておきたい基本といえます（※10）。復旧作業の司令塔として、前述のCSIRTを設置するか外部と連携する体制も整えておきます。
サイバーBCPでつまずきやすい3つの誤解
サイバーBCPは、作ること自体が目的になったり、一部の対策だけで安心してしまったりすると、いざというときに機能しません。ここでは実務でつまずきやすい三つの誤解を取り上げ、何を見落としがちかを説明します。
一つ目は、バックアップさえあれば安心という誤解です。前述のとおり、バックアップ領域まで暗号化される、汚染に気づかないといった理由で、バックアップがあっても復旧できないことがあります。さらに、どの業務からどの順番で復旧するかが決まっていないと、データが残っていても業務再開が進みません。バックアップの有無だけでなく、優先順位と復旧手順まで含めて備える必要があります。
二つ目は、計画書を作れば終わりという誤解です。実際の事故では、誰が停止を判断するか、どこへ連絡するか、外部専門家へどうつなぐか、どの順で復旧するかといった判断が次々と発生します。文書があっても、その場で動ける体制になっていなければ意味を持ちません。訓練で動きを確かめ、実際に機能する状態にしておくことが求められます。
三つ目は、社内だけで対応できるという誤解です。侵害範囲を調べる調査には高度な知識と専用ツールが必要で、社内のIT担当者だけで早急に対応するのは容易ではありません。IPAも、平時からセキュリティベンダーやJPCERT/CCなどの相談先を把握しておくことを勧めています（※7）。事故が起きてから慌てて委託先を探すことのないよう、連絡先と役割分担を平時から決めておくことが現実的です。
まとめ サイバーBCPは自社の弱点を知ることから始まる
サイバーBCPは、攻撃を完全には防げないという前提に立ち、被害を抑えて事業を早く立て直すための計画です。通常のBCPとは、被害の見えにくさ、復旧後も続く対応、復旧目標の立てにくさという点で異なります。策定は、基本方針の決定、リスクアセスメント、対策計画の策定、訓練と見直しという4つのステップで進め、予防・検知・復旧の対策で支えます。
計画を機能させるうえで土台になるのが、自社にどんな弱点があるかを知ることです。どこから侵入されうるか、どの業務が止まると事業に響くかが分からなければ、守る優先順位も復旧の順序も定まりません。まずは情報資産の棚卸しと、自社システムに残る脆弱性の把握から始めることをおすすめします。
事業継続に直結するWebアプリケーションや基幹システムの弱点は、機械的な自動チェックだけでは拾いきれないものがあります。ユービーセキュアでは、専門家が手を動かして行う脆弱性診断やセキュリティコンサルティングを通じて、サイバーBCPの予防フェーズを支えています。自社の入口にどんなリスクが残っているかを見直したい場合は、こうした専門家による診断を検討してみてください。
参考
※1 個人情報保護委員会｜漏えい等の対応とお役立ち資料
※2 IPA｜情報セキュリティ10大脅威 2026
※3 警察庁｜令和7年におけるサイバー空間をめぐる脅威の情勢等について
※4 JPCERT/CC｜侵入型ランサムウェア攻撃を受けたら読むFAQ
※5 経済産業省｜サイバーセキュリティ経営ガイドライン
※6 内閣府｜事業継続ガイドライン
※7 IPA｜中小企業の情報セキュリティ対策ガイドライン（付録8「中小企業のためのセキュリティインシデント対応の手引き」）
※8 IPA｜セキュリティインシデント対応机上演習教材
※9 JNSA インシデント被害調査ワーキンググループ｜インシデント損害額調査レポート 別紙「被害組織調査」第2版（2025年7月）
※10 厚生労働省｜令和7年度版 医療機関におけるサイバーセキュリティ対策チェックリスト
-1.png)
