【問20】情報・サイバーセキュリティ管理士 練習問題｜BCPとBCM
情報セキュリティの基礎と管理 問20/25難易度B（標準）
問題文
事業継続計画（BCP）と事業継続マネジメント（BCM）の関係の説明として、最も適切なものはどれか。
- 1.BCPは策定して文書化すれば完了し、訓練や見直しは不要とされる
- 2.BCMは自然災害だけを対象とし、システム障害や攻撃は含まれない
- 3.BCMはBCPの策定、運用、訓練、見直しを含む継続的な活動である
- 4.BCPは復旧時間の目標を定めず、被害額の算定だけを行う計画である
解説
正解は3。BCP（Business Continuity Plan、事業継続計画）は、災害や事故で被害を受けても重要業務を中断させず、中断しても目標とする時間内に復旧させるための計画である。BCM（Business Continuity Management、事業継続マネジメント）は、BCPの策定にとどまらず、運用、教育と訓練、点検、見直しを繰り返す継続的なマネジメント活動を指す。1は誤り。訓練を通じて実効性を確かめ、事業環境の変化に応じて見直すことが不可欠である。2は誤り。ランサムウェア感染などのサイバー攻撃やシステム障害も対象事象に含まれる。4は誤り。BCPでは目標復旧時間（RTO）や目標復旧レベルを定めることが中心的な作業となる。関連規格としてISO 22301がある。