雅史1963年7月生まれ。1989年日本アイ・ビー・エム入社。IT業界で災害対策システム・無停止システムの構築、セキュリティ体制構築などの経験を積み、2011年から「想定外の起こらないBCP」を提唱。その概念を更に推し進めて、2013年からはCOPを活用した「危機管理の自動化」を提唱し、企業向けBCPコンサルティングを行っている。>シェアツイートe-mailCOP解説の最終回をお届けする。前号では、1)危機管理を自動化する前提としての標準化と実装における課題、2)COPを運用する仕組みとしてのIT化の課題、について述べた。末尾で「災害対応の標準化・自動化の評議会の開催」についてのご案内を予告した。この評議会については、誠に申し訳ないが本稿の〆切時点で実施方法について検討中のため、本稿は前号に続いて「標準化」の手法を紹介させていただくこととする。編集部注:「リスク対策.com」本誌2016年1月25日号(Vol.53)掲載の連載を、Web記事として再掲したものです。組織及びその状況の理解」の部分を用いて、業務継続にかかわる情報項目の定義と対応の標準化について考察した。危機対応に関する要求事項」の規格から、どのように災害対策本部の活動内容を決定し、また活動情報の項目を定義してCOP化すれば良いか、考察を深める。内容の一部については前号の復習として重複する部分があることをご承知願いたい。JISQ22320の構成と本稿の解説範囲この規格の本体部分は大別して3つのパートから構成される。簡単に要約すると、第4章で「災害対策本部はどのように活動するか」という手順についての仕様が書かれ、第5章では「その活動を支えるための情報をどのようなプロセスで提供するか」について書かれている。本稿では第4章で災害対策本部の活動プロセス概要を確認し、第5章の情報提供プロセスの一部を扱って「標準化」について述べることとする。第6章については割愛する。指揮・統制プロセス」について指揮・統制プロセスについては以下のような仕様となっている。下記と同時に図1をご参照いただきたい。指摘するまでもなく、このプロセスを見ると災害対応における情報操作の重要性を認識することができる。規格には触れられていないが、「インシデント」と「状況」を的確に把握するためには、単に情報を文字で記述するだけでは不十分であると筆者は考えている。生産機械の被害を伝えるためにコンソールから読み取った各種パラメータを災害対策本部に伝えても役に立たない。)を医師が読取り、診断を行い、その結果を本人と家族に報告して安堵をもたらすことである。切り傷や擦り傷のひとつひとつを数えて生の情報を家族に伝えることには意味がない。生産環境でいえば、個別機械のパラメータではなく、「稼働に耐えるか」「いつから動くか」「動かない場合に代替は在るか」が経営者およびマネージャに伝わることが重要である。このように、組織の「状況」を把握するためには、起こった事象が「組織のバイタル」にどのように影響しているかを表現するための比喩的モデリングおよびダッシュボード化を事前に行っておかなければならない。これについては連載第3回「危機状況をダッシュボード化する」で詳述したのでご参照いただきたい。活動情報提供プロセス」について活動情報提供プロセスについては、以下の規格となっている。f)のそれぞれについて、更に詳細なプロセスの規格が定義されている。本稿では、そのうち「計画策定及び指示」の部分に関する標準化を試みる。計画策定及び指示」について計画策定及び指示のプロセスについては、以下のようになっている。i)のそれぞれについて、どのように活動情報を定義していくか、その考え方の流れを示す。a)危機対応業務を実施するための指示及び達成目標の提示そもそも会社などの組織は、その存続を脅かす危機に対して図2に示す3つの対応を必要とする。この内容を目的と目標として表1に要約した。この目的・目標の設定の仕方は筆者独自の考え方に基いており、違う方法もあろうかと思う。読者の属されるそれぞれの組織で実装される場合は、組織の災害対応方針を適用されたい。表1で「使命を守る」という目的について方針を立てるとすると、大きくは次の2つの方針が考えられる。方針1)は理解しやすいと思うので、方針2)について解説をする。機器など、顧客先に設置されて日々稼働しているハードウェア・ソフトウェアなどの継続的な使用を保証するメンテナンス業務が挙げられる。筆者の多くの顧客では、このような顧客資産を持つ場合、その対応を災害対応の優先順位において最上位に掲げることが多い。「あるべき姿」に比べて「現実」が望ましくない状態になっていることを指す。このギャップが大きければ、より大きな問題となる。何なのか?について定義をしておくことが重要である(ことが起こってから考えているようでは遅い)表2をご覧いただきたい。1目的、2方針に続いて3何を・誰を守るのか?(サンプル)を定義してみた。この内容によって情報処理活動の細部が変わってくる。指揮・統制プロセス」の内容を充てた。表中のような活動を実施すると良いだろう。「資産を守る」活動については、重要と考えられるステークホルダーと資産のサンプルを列記した。現在、市中でサービスされている安否確認システムの多くは、地震などの広域災害が起こった場合は、該当する地域に勤務ないしは在住する要員にのみ、安否確認を行わせるためのプッシュが行われる仕様になっている。揺れていない地域の要員にまで確認を行う必要がないためだ。2)被災した地域に在住する従業員の家族と家庭1)と同様に、家族・家庭の安否を確認することも現在主流となっている。1)と2)については、安否確認システムの普及により、情報処理活動は容易である。適当な職場環境」というものは何もせず手に入れることはできない。「危険物・泥土等で汚染」「水平が保たれていない状態」「適当な温度・湿度が保たれていない状態」などの状態は、資産に瑕疵が生じていると捉えるべきである。一般的に「守るべきステークホルダー」として、「顧客」が入ることに異論はないだろう。ここで考えるべきは、非常時にすべての顧客に平等に対応できるほど組織は十分な人的資産を持たないことが多い、ということである。そこで、企業ではさまざまな工夫を凝らしてステークホルダーの優先順位付けを行うこととなる。ここでは例として「機器納入済」で「震度5強以上」の被災をした顧客を挙げている。高い顧客」など、さまざまな基準を設けて優先順位を付けると良いだろう。重要な事は「測定可能」であることだ。顧客の被災した震度を知ることは、一般的にそれほど容易ではない。前述したように「問題」とは「あるべき姿」からのギャップである。次に表3をご覧いただきたい。「問題」を特定するための手段として「4何が確認できればよいか?」を定義した。以下に、それぞれで「問題」を見出すために必要な情報項目を挙げていく。1)従業員が無事であることの確認2)家族が無事で家庭生活が営めること一般的に従業員の安否を確認刷る場合、無事かどうかだけでではなく、就業の可否を確認することも多い。情報項目としては以下のようになる。会社資産のリストを作成し、その瑕疵を調べるための基準値を作成するケースが多い。建屋の被害を調査する場合の情報項目は次のようになる。扱っている場合はそのチェックも必要である。4)環境が就業できる程度に安全且つ機能していることの確認この場合の環境とは、就業環境ならびに組織の敷地周辺の近隣環境を現す。情報項目としては以下の通り。製品やサービスなどを顧客に納入している場合、現在ではメインテナンス契約の結果として、遠隔監視の仕組みを導入しているケースが多い。そのような場合は監視センターからの情報を持って、復旧の必要性を検討することが一般的である。一般的に、現代のビジネスモデルはサプライヤーやサードパーティからの供給やアウトソースに大きく依存しており、自組織だけではほぼ何も出来ない業務まで出現している。一般的に組織外のアウトソース先に出来ることは少なく、危機発生時に稼働しているかどうかの確認と、依頼している業務の進捗の確認程度が精一杯である。この場合でも、連絡先リストと確認内容をチェックリスト化しておくことは重要である。業務を継続するためには、業務リソースの被害情報のみならず稼働レベル情報が重要であることは、連載第3回「危機状況をダッシュボード化する」で述べた通りである。詳細は前号をご参照願いたい。前述したように、災害対策本部の意思決定支援のために必要な活動情報は、組織の「問題」を定義することによって導き出すことができる。同様に、組織にとって都合の悪い状況を想定すれば、チェックすべき内容も明確になる。ここまで整理したあとは、情報収集方法と、それをどのように表現して活用するか?についてまとめた情報収集計画をまとめておく必要がある。情報項目が整理されていれば、次のような項目を計画にプロットしておけば良い。方法(測定、データベース等システムからの抽出、マスメディアの選別ととりまとめ、伝聞の集約、等)まとめ今回はJISQ22320の規格の一部を用いて、情報処理活動の標準化について述べた。必要であることが理解いただけたと思う。これに活動内容の統制情報まで含まれてくると、もはや人手で収集・集約・共有することが困難であることは明白である。これらの活動をシステム化するメリットは多大であり、弊社は今後も広くパートナーを募って標準化・自動化・クラウド化に邁進したい所存である。連載の最後にあたって、筆者の経験不足や拙い解説をお詫び申し上げておく。連載の内容に関するご質問や、COP策定に関するご相談については、以下のメールアドレスにてお請けしたい。プライバシーポリシーENGLISHスタッフの紹介リスク対策.comに掲載の記事・写真の無断掲載を禁止します。