止まる前に何をすべきか――サイバーBCP×サードパーティリスクの実践アプローチ

サイバーBCP×サードパーティリスクにおいて企業が取るべき実践アプローチ

「止まるのは自社だけではない――サプライチェーン時代のサイバーBCP」では、サイバーBCPとサードパーティリスクを融合させ、サプライチェーン全体でのレジリエンスを確保することが重要であることを紹介しました。

本稿では、こうした前提の下で、企業がサードパーティを含めたサイバーBCPをどのように構築すべきかを整理します。具体的には、「サードパーティの業務・サービス停止の影響を受ける立場」と、「自社の停止によりサードパーティへ影響を与える立場」という二つの視点から、実務上の主要な論点を示します。

まず何から着手すべきか――構築の全体像

サードパーティを含めたサイバーBCPでは、個別施策を場当たり的に積み上げても実効性は高まりません。実務上は、以下のような流れで段階的に整備を進めることが有効です。

• STEP1：自社内における役割分担の明確化
• STEP2：規制・契約・責任分界の前提整理
• STEP3：重要なサードパーティと依存関係の可視化
• STEP4：リスクシナリオの定義と具体化
• STEP5：影響分析
• STEP6：レジリエンス確保に向けた検討
• STEP7：有事の意思決定体制整備と共同訓練の実施

重要なのは、サードパーティリスク管理を単なる評価・管理活動として捉えるのではなく、事業継続能力の向上という観点から一連の実務を設計することです。

図表：サードパーティを含めたサイバーBCPの構築ステップ

1. サードパーティの停止の影響を受ける立場としての対応

STEP1：自社内における役割分担の明確化

実効性ある対応の前提となるのが、1線（事業部門）と2線（リスク管理・統制部門）の役割分担です。全体的な役割分担として、2線はサイバーBCPの方針・枠組み・指針の決定や1線の活動のとりまとめを担います。また、1線は、2線が定めた方針に沿って、担当業務への影響分析や依存しているサードパーティの特定、サードパーティとのレジリエンス確保に向けた連携や訓練の調整を担います。サードパーティを含めた実効的なサイバーBCPを整備できていない企業では、しばしばこの役割分担が曖昧になりがちです。2線が抽象論に終始し、1線が「自分たちに何が求められているのか」を具体的に理解できないまま、計画だけが整備される場合があります。逆に、2線がリスクの「型」を提示し、1線がそれを自部門の業務に紐づけて「自分ごと化」できれば、実効性のある計画に近づきます。

なお、STEP2の「規制・契約・責任分界の前提整理」では法務部門の関与が必要となり、STEP4の「リスクシナリオの定義と具体化」やSTEP7の「有事の意思決定体制整備と共同訓練の実施」ではセキュリティ部門の関与が必要となるため、これらの部門との役割分担の明確化も重要です。

STEP2：規制・契約・責任分界の前提整理

サイバーBCPの検討は、技術や運用だけで完結するものではありません。平時の段階で、規制上・契約上・法務上の前提を整理しておかなければ、有事に迅速な意思決定を行うことは困難です。

まず、サプライチェーン全体を対象とした規制やガイドラインへの対応状況を棚卸しする必要があります。近年は、NIS2指令（Network and Information Systems Directive 2）やCRA（EU Cyber Resilience Act：欧州サイバーレジリエンス法）、業界規制などを通じて、サードパーティ管理やサプライチェーンレジリエンスに対する要求が強まっています。インシデント発生時の当局報告、報告期限、通知対象などが整理されていない場合、有事の初動が混乱しやすくなります。

加えて、サードパーティとの契約内容を確認し、責任分界、通知義務、監査権、再委託管理、障害時の協力義務、復旧時の役割などを明確にしておくことが重要です。特に重要サプライヤーとの契約では、障害発生時に誰が何を行うのか、どのタイミングで報告をもらうのか、どこまで情報開示を求めるのかが曖昧な場合、実務上の対応が大きく滞ります。サイバーBCPを実効的なものにするためには、契約と計画を整合させておく必要があります。

STEP3：重要なサードパーティと依存関係の可視化

次に、自社業務がどのサードパーティにどの程度依存しているかを可視化する必要があります。対象は単なるITベンダーに限らず、クラウド基盤提供元、業務委託先、共同事業での提携先、API連携先など広範に及びます。

特に重要なのは、事業継続におけるクリティカルなサードパーティの特定と、それらがさらに依存しているフォースパーティ（再委託先）まで含めた構造の把握です。依存関係が多層化する中では、「契約関係に現れないリスク」を把握することが重要といえます。サードパーティは数百〜数千社に及ぶ場合もあり、すべてを同一レベルで管理することは現実的ではありません。したがって企業は、事業継続上の重要性に応じて管理対象を識別し、重要度の高い対象にリソースを集中させる必要があります。

すでに自社のサードパーティリスク管理の取り組みの中で同様の可視化を行っている場合は、そこで整理した情報や資料を流用することで、効率的に依存関係の把握を進めることが可能です。

STEP4：リスクシナリオの定義と具体化

依存関係を可視化できたら、それを基にリスクシナリオを定義します。ここでも2線が一定の枠組みを示し、1線のリスク認識をそろえることが重要です。

ポイントは、シナリオをできる限り具体化し、実際に起こり得る事象として記述することです。例えば、以下のようなシナリオが考えられます。

• 重要クラウドサービスの停止
• 委託先のランサムウェア感染による業務停止
• フォースパーティの障害によるサービス停止
• 重大脆弱性の発見に伴う予防的停止
• サービス継続下で処理能力や品質が大幅に低下した状態

重要なのは、「止まる／止まらない」の二択で考えないことです。実務では、完全停止よりもむしろ、性能低下、処理遅延、機能制限といった中間状態のほうが発生しやすいといえます。サイバーBCPにおいては、こうした状態を前提に、どの業務を継続し、どの業務を縮退運転し、どこで停止判断を行うかを検討する必要があります。

STEP5：影響分析

定義したシナリオに基づき、サードパーティの障害やサービス劣化が自社業務に与える影響を分析します。この段階では、どの業務が、どの程度の時間、どのような形で影響を受けるのかを整理する必要があります。

ここで重要になるのがBIA（Business Impact Analysis：事業影響度分析）です。各業務について、許容停止時間（MTD）、目標復旧時間（RTO）、許容可能なサービス水準、顧客影響、売上影響、法令影響などを明らかにし、優先順位を付けます。これにより、どのサードパーティの停止がどの業務継続目標に直結するのかが可視化されます。

また、サプライヤー側のBCPや復旧能力、SLA（Service Level Agreement：サービスレベル合意）、障害時の対応方針も踏まえ、自社としてどのタイミングで継続・縮退運転・停止・代替切替えを判断するかを整理しておくことが重要です。影響分析は単なる現状把握ではなく、後続のレジリエンス設計や有事の意思決定の前提となります。

影響分析についても、すでに自社のBCM（事業継続管理）やBCPの取り組みで実施している場合は、その際に整理した結果を流用することで効率的に対応が可能です。

STEP6：レジリエンス確保に向けた検討

影響分析を踏まえ、レジリエンス確保の具体策を検討します。具体的には、代替サプライヤーの確保、契約終了を見据えた出口戦略、サービス停止時の業務継続手段の整理などが挙げられます。ここでは、代替サプライヤーの存在有無に加え、現実的な移行可否を見極めなければなりません。また、自社が実施すべき事項だけでなく、サードパーティ側に対応を依頼すべき事項も整理しておく必要があります。

レジリエンス確保の具体的な方法は、サードパーティの種類によっても変化します。サードパーティが自社の利用するクラウド基盤である場合と、業務委託先や再委託先である場合とでは、許容できる停止時間や取り得る対応策が異なることも少なくありません。

さらに、有事における対応方針として「継続」「縮退運転」「一時停止」「代替手段への切替え」など複数の選択肢を事前に定義しておくことで、迅速な意思決定と実効性のある対応につながります。

STEP7：有事の意思決定体制整備と共同訓練の実施

サイバーBCPにおいて特に難しい課題は、技術的な復旧そのものよりも、有事の際の意思決定です。重大な脆弱性の発見、サードパーティからのインシデント通知、サービス劣化の継続といった状況では、企業は「業務を継続するか」「縮退運転へ切り替えるか」「予防的に停止するか」などの判断を迫られます。

したがって、誰がどの基準に基づいて判断するのかを事前に定義しておくことが必要です。停止判断基準、エスカレーション基準、危機対策本部の設置条件、経営層への報告閾値などを明確化することで、迅速かつ合理的な判断が可能となります。

また、多くの企業では、サードパーティ評価までは実施しているものの、サードパーティを含めた共同訓練まで実施できている例は限定的です。実効性を高めるためには、机上演習や危機対応訓練を通じて、連絡体制、役割分担、意思決定プロセス、代替手順が本当に機能するかを検証し、改善していく必要があります。訓練を通じて初めて、計画書だけでは見えない依存関係や責任分界の課題が明らかになることも少なくありません。

2. サードパーティに影響を与える立場としての対応

サードパーティリスクを議論する際、多くの企業は「外部の停止から自社を守る」という視点を中心に考えがちです。しかし、重要なサービス提供者、製造・物流の中核企業、IT基盤提供者などの立場にある企業は、自社が止まったときに取引先や顧客へどのような影響を与えるかという視点も持つ必要があります。

影響分析の高度化

自社がインシデントを起こした場合に、どの顧客、取引先、委託先、共同事業者へ、どの程度の影響を及ぼすのかを分析する必要があります。この観点は、優先復旧対象の選定や、どの業務を先に再開させるべきかの判断に直結します。

とりわけ重要なのは、ビジネスインパクトに加え、法的責任、契約上の義務、規制上の報告義務、社会的影響などを含めて評価することです。自社にとっては一部業務の停止に見えても、顧客側では基幹業務停止に直結する場合があります。自社視点だけでなく、相手方の継続性への影響まで見なければ、適切な優先順位は決められません。

顧客・取引先への説明責任の整備

自社が重要サプライヤーである場合、自社のサイバーBCPは顧客や取引先から評価される対象にもなり得ます。近年は、重要インフラ、金融、製造業などを中心に、サプライヤー選定の過程でレジリエンス体制やサイバーBCPの説明を求める動きが強まっています。

そのため、インシデント発生時の通知基準、報告体制、代替サービス提供方針、顧客向けコミュニケーションの考え方などを平時から整理しておく必要があります。単に「被害を受けない」だけでなく、「取引先を止めない」「取引先に説明できる」ことが、今後の競争力にもつながります。

平時からの共同検討

自社が提供するサービスや機能について、有事にどの範囲まで継続可能か、どの水準まで縮退運転が可能か、どのタイミングで代替手段を案内するかといった点を、平時から主要な取引先と共有・合意しておくことが重要です。これにより、障害発生時の認識齟齬を減らし、サプライチェーン全体としての混乱を抑制できます。

有事の意思決定体制整備と共同訓練の実施

影響を与える側であっても、統合的なインシデント対応体制の整備は不可欠です。連絡フロー、顧客通知、当局対応、復旧優先順位、外部公表の判断を平時から整理し、主要サードパーティや顧客を交えた訓練を通じて実効性を検証しておく必要があります。

企業は今後、「サプライチェーンの被害者」として受け身で対応するだけでなく、「サプライチェーンの信頼性を支える主体」として行動することが求められます。

「サイバーBCP×サードパーティリスク」を経営アジェンダに

サイバーBCPとサードパーティリスクの統合的な管理においては、自社が「影響を受ける側」であると同時に「影響を与える側」にもなり得るという視点を持つことが不可欠です。いずれか一方に偏ることなく、相互依存関係を前提としたレジリエンス設計を行うことが、これからの企業に求められます。

サイバーBCP×サードパーティリスクへの対応は、単なるBCPの高度化ではありません。サプライチェーン全体のレジリエンスを競争力として確立するために、組織内の役割分担、外部との連携、規制対応、契約管理を含めた総合的な取り組みが必要であり、まさに経営アジェンダとしての対応が求められています。