【SCS評価制度】大分類7「インシデントからの復旧」で問われる最低業務継続

SCS評価制度の大分類7「インシデントからの復旧」で、★3が求める要求事項はたった1つです。本記事ではこの一項目を徹底解説します。

「7-1-1. 事業上重要なシステムについて、事業継続の要件に沿う復旧に必要な準備を行うこと。」

7-1-1-1とは？

7-1-1-1
事業継続上重要なシステムについて、サイバー攻撃を念頭に、業務の目標復旧レベルを定めたうえで、当該レベルまで業務を回復するために必要な対策を、以下の例を参考として整備すること。

[復旧のための対策(例)]
- システムによる業務継続(例:予備機、クラウド環境等により待機系を整備する。)
- 人手による業務継続(例:電話、FAX等による連絡又は業務の実施に備え、影響のある取引先の連絡先及び複数の連絡手段を整備する。)

大分類7は「インシデントからの復旧」となり、インシデントで重要なシステムが停止した場合でも事業を継続させるために、システムが止まったことを前提に、どのようにして業務継続させるかをあらかじめ定義しておくことです。

ポイントは「重要なシステム」という前提です。これは、大分類1「ガバナンスの整備」で策定するセキュリティ対応方針において、自社が何を「重要なシステム」と位置づけたかと直接つながっています。すべてのツールの停止時に、ありとあらゆるパターンをつくることは現実的ではありません。守るべき優先順位を定め、重要なシステムを定義し、最低業務継続の定義をつくることが重要です。

自社資産の棚卸で優先度を決め、そのシステム停止時の最低業務継続を作る

バックアップがあれば問題ない？

パックアップデータがあれば、すぐにシステムは復旧できるのでは？と思いがちですが、一度侵害されたシステムは、たとえバックアップデータが無事であっても、そのまま「元通り」に使うことはできません。

例えるのであれば、水源が汚染されたとき、蛇口の水をいくら綺麗にろ過しても意味がないのと同じです。問題は蛇口ではなく水源そのものにあるため、汚染源を特定し、場合によっては新しい水源から作り直す必要があります。心理的にも、一度侵入を許して知ったものを、再度利用することに抵抗もあるでしょう。ネットワーク全体のどこに侵入の痕跡が残っているか、攻撃者がどこまでアクセス権限を握っていたかを完全に特定するには時間がかかります。その結果、システムは実質的に0から再構築を余儀なくされ、数か月単位の期間を要することが珍しくありません。

だからこそ、SCS評価制度の大分類7が問う「インシデントからの復旧」は、セキュリティとは一見関係ないように見えますが、最低業務継続の定義を定めることは、「事業を守るためのセキュリティ対策」の最後の砦であると言えます。

アサヒグループホールディングスの事例に見る、最低業務継続の効果

2025年9月に発生したアサヒグループホールディングスへのランサムウェア攻撃は、この論点を考えるうえで参考になる事例です。

攻撃により受注・出荷・コールセンターなどの基幹システムが停止しましたが、ビール工場は3日後には手作業による受注に切り替えて製造を再開し、10日後には国内全工場が稼働する状態に戻りました。一方で、受注・出荷システムを含めた業務の完全な正常化には、発生から半年ほどを要しています。

つまり、システムそのものの完全復旧には長い時間がかかった一方、「工場の稼働を止めない」という最低限の事業継続は、早い段階で実現できていたのです。身代金も支払わず自力で復旧する方針を取ったこの対応の結果、売上収益への影響はわずか1.5%減にとどまりました(利益面では、システム障害対応費用や機会損失により400億円弱の押し下げ要因となっています)。

システムを完全に元通りにすることと、事業を止めないことは、必ずしも同じスピードで実現できるものではありません。最低業務継続の定義があれば、たとえシステムの完全復旧に数か月を要するとしても、その間に事業そのものが立ち行かなくなる事態は避けられます。

最低業務継続の定義は、業務側の判断でしか作れない

セキュリティで重要なことは、ソリューションを導入することでなく、システム停止を防ぎ、事業を守ることにあります。

セキュリティ基本方針と併せて、守るべき優先順位が明確になっていれば、「このシステムが止まった場合、最低限ここまでは手作業や代替手段で維持する」という具体的な線引きができます。

逆に守るべきシステムの優先順位が曖昧なままでは、どのシステムについてどこまでの継続策を用意すべきかの判断がつきません。

そしてこの線引きも、外部のベンダーには決められません。何が自社にとって「最低限維持すべき業務」なのかは、経営層と現場が自社の事業構造を理解した上で初めて判断できるものです。

まとめ：SCS評価制度は網羅性が非常に高い

セキュリティ対策は、EDRの導入などセキュリティ製品の導入と同義に考えてしまいがちですが、ソリューションを導入するだけでなく、守るべきものや、万が一破られた場合の最悪のケースまで想定して備えることこそがセキュリティ対策です。攻撃を止めるだけではなく、事業を守るために対策をすることが重要で、SCS評価制度はそうした内容も含んだ非常に網羅性の高い内容となっています。

弊社では企業ごとの事業実態に即した、実効性のあるインシデント対応体制の構築をご支援することを大切にしています。SCS評価制度への対応をきっかけに、自社にとって本当に意味のあるセキュリティおよび事業継続体制のお手伝いができればと思っております。