「RTO と RPO は、どこが違うの?」
「DR サイトって、本当に必要なの?」
BCP は防災計画と混同されがちですが、狙いが違います。防災が「人命を守る」に重きを置くのに対し、BCP は「事業を止めない」に軸足を置きます。
BCP（事業継続計画）とは、災害や障害が起きても重要業務を止めない・早く戻すための計画です。
以下では、BCP と BCM の違いを押さえ、復旧目標の RTO・RPO を読み解き、守る業務を絞る BIA、そして復旧拠点 DR サイトの選び方まで、一連の判断としてたどります。ITパスポートのストラテジ系（リスク管理）にそのまま効きます。
1. BCPとBCMはどう違うか
最初に、似た2語を切り分けます。BCP は「計画書」そのもの、BCM は計画を作り・運用し・見直す活動全体です。BCM（事業継続マネジメント）は、BCP を含んだ一段大きな枠。計画を1枚作って終わりではなく、訓練し、点検し、更新し続ける営みを指します。
BCP は、災害や障害という大きなリスクへの備えそのものです。リスクの洗い出しから対応の選び方までの土台は リスクマネジメントとは で押さえられます。防災との違いは、目的の置き場所。人命確保が防災、事業の継続が BCP、と軸で分けると混ざりません。
2. RTOとRPO — 2つの復旧目標
BCP の教材で最初につまずくのが、RTO と RPOという2つの指標です。どちらも復旧の目標ですが、測る軸が違います。表で押さえてください。
| 指標 | 意味 | 例（目安） |
|---|---|---|
| RTO（目標復旧時間） | 業務再開までに許される時間 | 4時間以内に基幹システムを復旧 |
| RPO（目標復旧時点） | どの時点までのデータを戻せればよいか | 直近1時間前までのデータは戻せる |
RTO は時間の軸、RPO はデータの鮮度の軸です。RTO が短いほど早く戻せ、RPO が短いほどデータの損失が小さくなります。ただし、両方を短くするほどコストは膨らみます。あなたが押さえたいのは、この2つを業務ごとに別々に決めるという運用。決済システムは秒単位、社内ポータルは1日単位、と業務の重要度に応じて設定します。RPO を短くするには、データを頻繁に複製する仕組みが要り、その分だけ費用がかさむ、という関係です。
3. BIAで何を優先して守るか
BCP を実際に作るとき、最初に行うのがBIA（事業影響度分析）です。BIA は、業務が止まったときに会社へどれだけの影響が出るかを評価する分析。売上損失・顧客信頼・法的責任・復旧コストといった観点で、業務ごとの重要度を見積もります。
BIA の結果から、優先的に守るべき重要業務が絞り込まれ、その業務に対して RTO・RPO を決めます。ここが一連の判断の要です。あらゆる業務を等しく守るのは現実的ではないので、影響の大きい業務にメリハリをつけて資源を集中させます。この順序を図にしました。
4. DRサイトの3区分と選び方
本番拠点が使えなくなったとき、業務を引き継ぐ予備拠点がDRサイト（災害対策拠点）です。準備の度合いで、ホット・ウォーム・コールドの3区分に分かれます。
| 区分 | 準備状態 | 切替時間 | コスト |
|---|---|---|---|
| ホットサイト | 常時稼働・データ同期済み | 最短（数分〜数時間） | 高い |
| ウォームサイト | 機器は用意・データは定期同期 | 中程度（半日〜1日） | 中程度 |
| コールドサイト | 場所と電源のみ確保 | 長い（数日〜） | 低い |
あなたが選ぶ軸は、RTO・RPO とコストのバランスです。秒単位の停止も許されない業務はホット、数日の停止が許容される業務はコールド、と業務特性で使い分けます。ここで先ほどの判断の流れがつながります。BIA で絞った重要業務の RTO・RPO を見て、それを満たせる区分を選ぶ——DR サイトの選択は、行き当たりばったりでなく復旧目標から逆算します。近年はクラウド DRという選択肢も広がり、遠隔リージョンを予備拠点に使うことで、コストを抑えながら短い RTO を狙えます。この基盤は クラウドコンピューティングとは で押さえられます。
5. ITパスポートでの問われ方
ITパスポートのストラテジ系では、BCP は用語の意味と関係を問う形が中心です。あなたが押さえておきたいのは、次の3点です。
- BCP＝計画、BCM＝それを運用する活動全体
- RTO＝復旧までの時間、RPO＝戻せるデータの時点（軸が違う）
- BIA で重要業務を絞り、DR サイトを RTO とコストで選ぶ
とくに狙われるのが、RTO と RPO の取り違えです。「業務再開までの時間」が RTO、「戻せるデータの時点」が RPO。時間の軸かデータの軸かで見分けます。情報セキュリティや内部統制と並んで頻出するテーマなので、ここを押さえると周辺の経営用語もつながります。組織のルールとして束ねる枠組みは 情報セキュリティマネジメントとは で押さえられます。
次のステップ
BCP がストラテジ系のどこに位置づくかは、ITパスポートの試験範囲と勉強法ガイド で全体像を見ておくと、用語が定着しやすくなります。
出題感を確かめるなら、ITパスポート ストラテジ系の問題集 で、リスク管理まわりの設問に当たってみてください。