これは、ある会社での、架空の話です。
月曜日の朝。
社員が出社して、いつものようにパソコンの電源を入れます。
ところが……。
メールが使えない。
ファイルサーバーにもつながらない。
業務システムも動かない。
情報システムの担当者に聞いてみても、まだ原因が分からない。
情報システム部門の電話は鳴りっぱなしです。
お客様にメールが送れなくて困るんですが
いつになったら人事システムが使えるようになるんだ！
他社との共有クラウドにつながらなくて仕事にならない、いつ直るんですか？
復旧には、数時間かかるかもしれない。
もしかすると、もっと時間がかかるかもしれない。
さて、あなたの会社では、どうしますか？
「できるだけ早く復旧してください」だけで大丈夫？
システムが止まったら、当然、できるだけ早く復旧したいものです。
でも、ここで一つ考えてみたいことがあります。
「できるだけ早く」とは、何時間でしょうか？
今日中でしょうか。
明日の朝まででしょうか。
それとも、数日かかっても大丈夫でしょうか。
例えば、メールが半日使えなくても何とかなる会社もあるでしょう。
一方で、受注システムが2時間止まっただけで、大きな影響が出る会社もあります。
つまり、すべてのシステムを同じように考える必要はありません。
「何を、いつまでに戻すのか」を決めておく
事業継続を考えるときには、「どこまで復旧させるのか」、そして「いつまでに復旧させるのか」という考え方があります。
一般に、目標復旧レベルや目標復旧時間といった考え方で整理されます。
難しい言葉に聞こえるかもしれません。
でも、会社として考えることは、意外とシンプルです。
「この仕事は、どこまで止まっても大丈夫なのか？」
「そして、いつまでに再開しなければならないのか？」
まずは、ここを決めておくことです。
この会社には、その基準がなかった
ある会社で、システム障害が起きたとします。
担当者は、必死になって復旧作業をしています。
社長も心配そうに聞きます。
「いつ復旧するんだ？」
担当者は答えます。
「できるだけ早く復旧します」
でも、実はこの会社には、「何を優先して、いつまでに復旧するのか」という基準がありませんでした。
だから、担当者は「とにかく全部を早く戻そう」とします。
もちろん、それが悪いわけではありません。
ただ、本当に大切なのは、システムを全部元通りにすることだけなのでしょうか。
まず「止められない仕事」を考えてみる
私なら、システムの一覧と併せて、仕事を内容を整理します。
例えば、こんな具合です。
- お客様からの問い合わせには、どう対応する？
- 今日受けた注文は、どう記録する？
- 今日出荷しなければならない商品は？
- 社員への連絡は、どうやって行う？
- 経営上の重要な判断は、誰が行う？
そして、
「この仕事だけは、止めるわけにはいかない」
というものを考えてみます。
全部の仕事を、同じレベルで守ろうとする必要はありません。
会社にとって本当に重要な仕事を見つけ、そこから考えていく。
それが、最初の一歩だと思います。
「紙でもいい」と考えてみる
ここまで話すと、
「そんな仕組みを作るのは大変そうだ」
と思われるかもしれません。
でも、最初から大がかりな仕組みを作る必要はありません。
例えば、
- システムが止まったら、注文を紙に記録する
- 緊急連絡先を紙でも確認できるようにしておく
- 最低限必要な情報を、システムとは別の方法で確認できるようにする
という方法もあります。
大切なのは、立派な仕組みを作ることではありません。
「システムが使えなくても、最低限ここまでは仕事を続けられる」
という状態を考えておくことです。
そして、「誰が判断するのか」も決めておく
もう一つ、大切なことがあります。
システムが止まったとき、
「誰が復旧を待つと判断するのか」
「誰が業務を止めるのか」
「誰がお客様に説明するのか」
が決まっていなければ、社員は動きにくくなります。
だから、
「何をするか」だけでなく、「誰が決めるか」も決めておく。
これも、会社を守るための大切な準備です。
システムが止まったとき、困るのはシステムだけではない
ここまで考えてくると、もう一つ気になることがあります。
「その仕事を続けるために、何が必要なのだろう？」
システムだけでしょうか。
そのシステムを使う人は？
必要な情報は？
判断する人は？
代わりにできる人は？
例えば、
「この仕事は、○○さんしか分からない」
という状態だったら、どうでしょう。
システムが止まったときだけの問題ではありません。
普段から、会社が特定の人に依存していること自体が、会社を止めるリスクになることがあります。
セキュリティは、システムを守るだけではない
セキュリティ対策というと、どうしても「システムをどう守るか」という話になりがちです。
もちろん、それは大切です。
でも、会社にとって本当に守りたいものは、システムそのものではないはずです。
そこで働く人と、その人たちが続けていく仕事。
だから私は、セキュリティを考えるときにも、まず「会社の仕事」を考えることが大切だと思っています。
もし明日の朝、会社のシステムが全部止まったら。
あなたの会社では、
「何を、いつまでに、どうやって続けるでしょうか？」
まずは、一つの仕事から考えてみてはいかがでしょうか。
そして、もし「そこまで考えたことがなかった」と気づいたとしても、それは悪いことではありません。
気づいたところから、会社の備えを始めればいいのです。
次回は、もう少し身近なところから考えてみます。
「うちはバックアップがあるから大丈夫」は、本当に大丈夫なのでしょうか？
