CISO の ISO 22301 導入：ICT 復旧、RTO、訓練をどう準備するか

RTO と RPO は誰が決めますか？CISO の責任はどこまでですか？

RTO はどれだけ早く復旧するか、RPO は最大でどれだけのデータ損失を許容するかです。どちらも BIA の影響分析から導き、経営陣が決定したうえで、現在のバックアップ能力で支えられるかを検証します。支えられなければ、それは投資判断の問題です。

よくある誤りは「矢を射てから的を描く」こと、つまり見栄えのよい RTO を借りてきて、それに見合う能力がない状態です。CISO の責任は、復旧目標をバックアップと災害復旧の技術的検証に結び付け、予算提案の根拠を BIA と能力のギャップに置くことです。

ISO 27001 を取得済みです。ISO 22301 とどの証跡を共有できますか？

共有でき、統合が推奨されます。両者は Annex SL の骨格を共有し、27001 の A.5.29／5.30（中断時の情報セキュリティ、ICT の備え）は 22301 と直接つながっています：

• バックアップと ICT 冗長化の文書を 27001 と共有
• 統合導入で文書と監査を共有し、別々に行うより追加コストを抑える
• 訓練記録は認証と顧客アンケートの双方の証跡になる

サービスページ記載の期間：27001 取得済みなら約 3〜5 か月。

訓練はどれくらいの頻度で行い、CISO はどんな記録を残すべきですか？

規格は、計画的な間隔で、また重大な変更の後に訓練を行うことを求めています。実務上の目安は、年 1 回以上の総合訓練とシナリオ型の机上訓練です。訓練後の振り返りと改善の記録は、訓練そのものと同じくらい重要です。訓練記録のない BCP は、監査や顧客審査では存在しないのと同じです。

セキュリティのシナリオにはランサムウェアを含められます。ISO 22301 の枠組みでランサムウェア BCP の章を設け、IT-DRP、危機コミュニケーション SOP、法執行機関との連携手順を含めます。また、部分的な復旧だけでなく「全 IT システムの再構築」を訓練シナリオにします。

セキュリティインシデントで事業が中断したとき、事業継続計画を法定の報告期限にどうつなぎますか？

一つの事象が複数の期限を同時に発生させることがあり、起算点と受理機関はそれぞれ異なります。まず自社がどの法規の対象かを判断します：

BCM の報告手順には、期限の起算点、当局向け報告書のテンプレート、リスクの程度に応じた本人への通知、メディア・投資家対応を含めます。

顧客アンケートや NIS2・DORA のレジリエンス要件に ISO 22301 で応えられますか？認証は法令遵守と同じですか？

証跡としては応えられますが、認証は法令遵守ではありません。NIS2 の事業継続措置、DORA の ICT オペレーショナル・レジリエンス、ブランドオーナーのレジリエンス調査票にある供給者のバックアップに関する質問は、いずれも 22301 の仕組みで証跡を示せます。ただし NIS2 と DORA に独立した証明書はなく、ISO 認証も法令遵守を意味しません。まず自社が規制対象事業体か、EU の金融事業体か、それらの供給者かを判断します。

版：現行は ISO 22301:2019 に 2024 年の追補 1（組織は気候変動が関連する課題かを判断する）を加えたものです。第 3 版はまだ委員会原案の段階で発行日は未定のため、現在の導入も 2019 年版を認証の基準とします。

予算と期間はどう組み、どの段階は短縮できませんか？

サービスページ記載の 4 段階は通常 4〜7 か月、27001 取得済みなら約 3〜5 か月です：

BIA と訓練の 2 段階は短縮できません。予算は、範囲に含める重要業務と拠点の数、BIA の深さ、バックアップと災害復旧の技術的な現状で決まります。認証は 3 年周期で、第三者機関が第一段階・第二段階の審査を行います。

積穗科研は CISO の ISO 22301 対応をどう支援しますか？

積穗科研のやり方（上の質問で私たちも検証してください）：

• 副社長・取締役クラスのコンサルタントが自ら担当し、外注しない。ISO 22301 主任審査員の資格を保有
• 箇条 8 を中核に ISO/TS 22317 で BIA を行い、バックアップと ICT 冗長化の文書を 27001 と共有
• 各プロジェクトで机上訓練と機能訓練を最低 1 回ずつ行い、顧客アンケート用の証跡パックを納品
• 認証は第三者が行い、積穗はコンサルタントで証明書は発行しない

ISO 22301 事業継続マネジメント、ISO 22301 コンサルタントの選び方、予算と期間。無料の仕組み診断を申し込む