要点
- 選択は会社全体で一度に行うのではなく、サービスごとに行います。
- 1時間の停止による損失に実際の復元時間を掛けた額と、予備環境の年間費用を比較します。これは、NIST（米国国立標準技術研究所）とフランス国防・国家安全保障事務総局（SGDSN）が説明している判断方法です。
- 復元時間を一度も測定したことがなければ、まずそのテストを行ってください。それなしでは、まだ選ぶことはできません。
- ランサムウェアに対しては、BCPだけでは不十分です。正常なバージョンに戻せる必要があります。
お金の問題をシンプルに
1時間の停止による損失を見積もります。出勤していても作業できない従業員の人件費、失われた売上、違約金、対応できなかった患者や顧客などです。これに、自社で通常の復元にかかる時間（テスト済みのイメージがない物理サーバーでは、半日から2日かかることが多くあります）を掛けます。
その額を、BCPの年間費用（12か月間稼働し続けるインスタンス）と、DRPの費用（準備費用に加え、災害が発生した日だけの発動費用）と比較します。
- 4時間の障害で8,000 €の損失が出て、それが年に1回は起こりうるのであれば、年間数千ユーロのBCPは合理的な選択です。
- 同じ障害でも、チームが午後の間だけ紙で記録すれば済むため損失が400 €であれば、DRPで十分であり、場合によってはバックアップだけで足ります。
- 復元時間を一度も測定したことがなければ、まだ選ぶことはできません。BCPを購入する前に復元テストを行ってください。
これはまさに、米国の標準化機関であるNISTが説明している判断方法です。停止時間とともに増大する停止のコストと、より速く再開しようとするほど増大する復旧手段のコストとの均衡点を探ります。フランス国防・国家安全保障事務総局（SGDSN）も同じ手法を提案しており、予備リソースを維持する費用と業務停止の損失を比較して、継続戦略を定めるとしています。
選ぶ前に決めておく2つの基準
フランス国家情報システムセキュリティ庁（ANSSI）は、バックアップ戦略において、サービスごとに定める次の2つの値を考慮するよう求めています。
| 基準 | 問い | 判断への影響 |
|---|---|---|
| DMIA（RTO）：最大許容停止時間 | このサービスはどのくらいの時間、停止したままでよいか？ | 時間単位ならDRP、分単位ならBCP |
| PDMA（RPO）：最大許容データ損失 | どのくらいの入力データを失ってもよいか？ | バックアップまたはレプリケーションの頻度 |
決め方はRTOはどう決める？とRPOはどう決める？で解説しています。
状況別の選び方
| 状況 | 最も妥当な選択 |
|---|---|
| ファイルサーバーで、半日の停止は許容できる | バックアップ＋DRP |
| 生産管理やPOSレジのアプリケーションで、即時の停止は非常に大きな損失になる | BCP＋履歴付きのバックアップ |
| 最大の懸念はランサムウェア | イミュータブルなバックアップ＋正常な日付に戻せるDRP。BCPだけでは不十分です |
| 物理サーバーが1台のみで、予備のハードウェアがない | サーバーの購入を待たずに済むよう、インスタンスへのDRP |
| サーバーが2台あり、重要なのは1台のみ | 重要なサーバーにはBCPまたはDRP、もう1台には通常のバックアップ |
| 2名のチームで、文書化された手順がない | 誰も切り戻しができないBCPより、シンプルでテスト済みのDRP |
ランサムウェアについて、フランス政府のサイバー被害支援プラットフォームであるCybermalveillance.gouv.frの見解は明確です。解決策は、攻撃前のバックアップからの復元です。本番環境をリアルタイムで追従する予備環境は、その代わりにはなりません。
BCPはまだ早いというサイン
- どのアプリケーションを稼働し続けるべきか、誰も答えられない。
- ライセンスが別の場所での稼働を禁じている。
- 拠点のインターネット回線が1本しかなく低速で、その経路を用意しない限り、拠点の利用者がクラウドの予備環境に十分な品質で接続できない。
- 切り戻し（予備環境から本番環境へ）の手順が一度も文書化されていない。
DRPでは不十分というサイン
- 顧客との約束や進行中の医療行為により、数時間の停止が許されない。
- 前回の復元テストが、経営陣が許容する時間を超えた。
- サーバーが物理的で古く、ハードウェアの交換期間がRTOを超える。
WeDoBackの場合
DRPプランとBCPプランは併用でき、いずれもお客様が鍵を保持する、拠点外の暗号化されたコピーという同じ考え方に基づいています。1台のサーバーをBCPで保護し、他のサーバーはINTEGRALまたはSMARTのバックアップで保護するといった構成が可能で、会社全体を最も高価なレベルにそろえる必要はありません。選択はサーバーごとに行います。公開価格の目安：DRPストレージは1 TBあたり月額175 €（税抜）から、発動は日単位で請求されます。BCPはストレージが50 GBあたり月額8.75 €（税抜）から、インスタンスが月額50.22 €（税抜）からで、これにサーバーごとのエージェントが加わります。BCPインスタンスと元のサーバーとの間のデータのレプリケーションや同期は標準機能ではなく、用途に合わせた個別のプロセスが必要です。WeDoBackはお見積もりにてこれを構築できます。
よくあるご質問
1時間の停止による損失はどう見積もればよいですか？
業務が止まった従業員の人件費、失われた売上、契約上の違約金、遅れを取り戻すための費用を合計します。フランス国防・国家安全保障事務総局（SGDSN）は、重要な業務ごとに中断の影響を評価し、それを超えると許容できなくなる中断時間を定めるよう推奨しています。
インターネット回線が弱い場合でもBCPは役に立ちますか？
見た目ほどではありません。予備環境がクラウドにある場合、拠点の利用者はその回線を通じて接続する必要があります。回線が1本しかなく低速であれば、予備環境は使い物にならない可能性があります。その場合は、2本目の回線か縮退運転を用意する必要があります。
まずDRPから始めて、後からBCPに移行できますか？
はい。むしろ、それが最も健全な進め方であることが多いです。DRPでは手順を文書化し、復元時間を測定し、本当に重要なサービスを特定する必要があります。これらの情報は、BCPが妥当なサービスに絞ってBCPの規模を決める際に役立ちます。
関連ガイド
出典
2026年10月に参照した資料です。
- SP 800-34 Rev. 1, Contingency Planning Guide for Federal Information Systems — NIST
- 事業継続計画作成ガイド（2013年版、フランス語） — SGDSN
- 情報システムのバックアップ：基本事項（ANSSI-BP-100、v1.1、2025年11月27日、フランス語） — ANSSI
- ランサムウェア：組織が攻撃の被害に遭ったらどうするか（フランス語） — Cybermalveillance.gouv.fr
- 外部バックアップのプランと料金 — WeDoBack