【BCP】WebサービスにBCP(事業継続計画)はありますか？

小さいサービスを色々立ち上げている管理人ですが、毎回BCPの対応を考えるようにしています。BCPって何？そんなのいるの？というお声が聞こえてきそうなんですが、、、
ぜひサービス＝会社の収益の方には確認だけでもしてみてください。
BCPを1度確認するだけで未来発生する可能性があるリスクに立ち向かえる可能性があります。宜しくお願いします。

BCP(事業継続計画)とは？

BCPはBusiness Continuity Planの頭文字を取った言葉です。
事業継続計画は自社にとって望まない状態(災害・事故・不祥事など)が発生した際に業務を継続できる状態 または 短期間に復旧できる状態にするためあらかじめマニュアル化や人の教育をしておくことです。

BCPはいつ使うのか？

BCPの利用は非常時になりますが、ここ最近ではコロナウィルスの影響で出勤ができないなどで業務が普段道理行えない状態でもBCPを活用する事があります。

WebサービスとBCPはどのようにつながる？

BCPについて「自社にとって望まない状態(災害・事故・不祥事など)」という内容をのせております。Webサービスの場合、下記の例があります。

• 災害・・・地震によりサーバのストレージ破損でサイトが停止
• 事故・・・データ削除で誤って商品情報を全て削除
• 不祥事・・システムの不具合で個人情報を誤って漏洩

上記例が発生した場合に、対応策をすぐに出して動けるか？適切な処理ができるか？という点で事前にBCPにて準備をしておきます。

BCPがないと発生するお金の被害は？

BCPがないと発生する被害は主に機会損失と復旧費用があります。
機会損失はサービスをお客様に提供している場合、月額やスポットで発生する料金があり返金や購買不能があります。
復旧費用はサービス停止を早く直すために調査や別会社への短期復旧委託などでお金が発生する可能性があります。

私がBCPを気にするきっかけの出来事

私がBCP(事業継続計画)を考えるきっかけになった出来事があります。
それは2012年6月20日に起きたレンタルサーバ会社のサーバデータ全消失事件です。このとき私の担当するお客様数社で被害があり対応を行いました。

当時の状況

レンタルサーバのメンテナンス処理で人為的なトラブルがありサーバの全情報が削除されました。このときバックアップのサービスがあったのですがメンテナンス範囲がバックアップまで及び全てのデータを消失する事態となっています。
全データが削除されたことでサービスで利益を上げていた会社が潰れるケースも発生しました。

発生した損害

ECサイトを運用していたお客様で会員情報、ポイント情報が消失しました。
商品情報はExcel等で保管されていた物から復旧を行い、注文情報は注文メールから復旧をおこないました。
全システム復旧まで1週間ほど必要になりました。

保証と損害賠償

当時、レンタルサーバの規約に「データの保証しない」という文章があり復旧や損害賠償ができない状態となりました。
この規約は多くのサーバ会社で書かれていてデータは保証されないケースが多いです。

学んだ教訓

他社さんで提供されているバックアップ等のサービスは100%でない。
システムとデータのバックアップをサーバ会社と別でおこない、保管する。
規約をきちんと読み事前にリスクを把握しておく。
自身できちんと対応を検討する。
※データのバックアップはセキュリティを考慮して対応する必要があります。

BCP対策について

上記のことからBCPに関して興味を持たれた方は簡単な事から始める事をオススメします。下記は簡易な事のみ記載しています。

1.現状の把握

・システム

システムは自社開発、外注の２パターンになります。システムの開発責任者に確認を行いバックアップ体制の確認と保守の有無、障害時の対応を確認して下さい。

・オペレータ

システムを操作しているスタッフに確認をおこない。自身がいなかった場合サービスが維持できるか？属人化している部分は無いか？確認をします。

2.対応方法をまとめた仮マニュアル作成

・システム

現状のバックアップ体制等を確認できたらマニュアルに内容を記載します。
このとき対応内容を聞ける人の連絡情報も記載する方が良いです。
外注に依頼している場合は社内で対応できるマニュアルを準備できるのが望ましいです。

・オペレータ

サービスを維持するためのマニュアルを記載します。
このとき業務内容すべてのマニュアルを書くのでは無く中核になる操作のみ記載します。記載した内容は他のスタッフでできるか試すのが望ましいです。

3.足りないマニュアルを追加作成

上記作成したマニュアルでサービス維持・復旧するのに足りない部分があると思います。それらを検討して追加を行います。
追加をする際、システム開発者、オペレータを交えて相談して決めましょう。

4.マニュアルを使い検証

作成したマニュアルを使い実際に障害が発生した仮定で対応を練習します。
これは小学校の避難訓練と同じで緊急時に動ける体制作りをおこないます。
また見直しをすることでマニュアルの不足を確認できます。

5.以降は定期的な見直し

BCPは状況によって変化します。工程3~4を定期的に行うことでいつでも対応できる状態を目指します。

まとめ

今回BCPに関して簡易な部分を書かせて頂きました。

サービスで安定した収益を上げている企業様やスタートアップして市場開拓フェーズに入った企業様などにとって「望まない状態」は死活問題になります。
事前にやっとけば良かった。。。となる前に検討を頂きたいと思います。

BCP参考サイト

BCP(事業継続計画)に関して詳しくのっているサイトを記載します。