　BCP策定状況と比べてCSIRTの編成状況が芳しくないのはなぜだろうか。緊急時の行動指針やBCPを策定していると回答した方に「想定している災害」を聞いたところ「地震」97.2％、「火災」58.3％、「水害」51.9％と大半が自然災害を想定していることが分かった（図2）。「システム障害」40.7％「ネットワーク障害」37.0％、「サイバー攻撃」30.6％などのシステムセキュリティ上の被害を想定する企業は4割弱にとどまっている。

　JPCERTコーディネーションセンター（JPCERT／CC）が2018年7月に発表した国内組織を対象に行った調査によると「CryptoWall」や「WannaCry」など今流行中の“ランサムウェア”による被害に遭ったことがある組織は全体の35％にも及ぶなど、国内でもサイバー攻撃による被害は後を絶たない。それにもかかわらず、緊急事態の想定インシデントを自然災害中心に考えてしまうのは、自然災害の多い日本特有の傾向なのであろう。国際的なイベントが開催される地域ではサイバー攻撃が増加する傾向にあるため、2020年を控えた日本においては、注意が必要になってくるだろう。

図2　想定している災害

約6割が「業務中断の経験あり」と回答、その理由は“自然災害”ではなかった

　それでは実際にITシステムが停止し、業務が中断した経験がある企業はどのくらい存在するのだろうか。調査の結果、全体の56.9％と約6割が「経験あり」であった（図3-1）。またシステム停止の要因は「システム障害」が56.8％で1位、続いて「地震」35.8％、「ネットワーク障害」33.7％となった（図3-2）。

　前項で触れたように、自然災害を想定した対策を中心に行われているからか、実際のシステム停止要因は「システム障害」や「ネットワーク障害」などシステム上の要因の方が多い傾向にあった。

　また値こそ小さいが「想定している災害」で示した比率と比較すると「サイバー攻撃」や「取引先のトラブル」がシステム停止要因となることは少なくないといえそうで、想定している対策と実際のシステム停止要因に若干の認識差があることが見て取れる結果となった。今後は、システムセキュリティ上のBCP対策として、サイバー攻撃や内部不正対策への重要性を再認識する必要がありそうだ。