オペレーショナル・レジリエンスとは

サイバー攻撃、停電、システム障害など、大規模な破壊的な出来事は避けられません。どの組織や企業も無縁ではありません。オペレーショナル・レジリエンスは、不測の事態をプロアクティブに管理することで、従来のディザスター・リカバリーを超えます。このアプローチでは、どのサービスがビジネスにとって最も重要なのかを特定し、サービスが安定して迅速に回復できるようにする必要があります。

企業におけるオペレーショナル・レジリエンスのニーズはますます高まっています。BCIとRiskonnectの研究によると、現在、組織の70％がオペレーショナル・レジリエンス・プログラムを導入しており、さらに10％がプログラムを開発しています。¹ベスト・プラクティスの遵守は、これらのストラテジーを策定する上で最も一般的な要因となっており、法規制への準拠は2位にランクインしています。

オペレーショナル・レジリエンスはすべての企業にとって不可欠ですが、特定の業種・業務では堅牢な機能が必要とされます。金融機関は、セキュリティー・インシデントやサイバー・リスクに対して特に脆弱です。顧客データを保護し、金融システムの安定性を維持し、厳格な規制を遵守しなければ、評判や顧客の信頼を失うリスクがあります。同様に、医療機関は、有害事象発生時に継続的なケアを確保すると同時に、機密性の高い患者データのプライバシー要件を満たす責任があります。

オペレーショナル・レジリエンスは、さまざまな理由から、現代のビジネスにおいてミッションクリティカルなものになっています。「常時接続」のデジタル世界では、組織はあらゆる業務の中断を乗り切ることが求められており、ダウンタイムが1秒発生するごとに財務的損失、セキュリティーの脆弱性、ビジネス・リスクが生じます。

パンデミックや自然災害などの壊滅的な出来事により、オペレーショナル・レジリエンスの必要性が改めて浮き彫りになりました。また、世界中で規制活動が活発化しており、官公庁・自治体およびその他の当局は、企業が不利な事態を迅速に予測し、そこから回復できるようにするためのガイダンス、法律、規制を発表しています。

企業が人工知能（AI）を着実に導入し、競争力を維持するためにパートナーシップに依存するようになる中、組織は、これらの依存関係が、組織自体や規制当局が要求するものと同じ情報セキュリティ、レジリエンス、管理基準を満たすようにしなければなりません。

サイバー脅威のランドスケープも進化しています。2024年のIBM X-Force脅威インテリジェンス・インデックスによると、攻撃者はランサムウェアから情報を盗むことを目的としたマルウェアへと移行しています。

業種・業務を問わず、信頼とセキュリティはワークロードとデータの所在に関する意思決定の基盤でなければなりません。

オペレーショナル・レジリエンス、事業継続性管理（BCM）、ディザスター・リカバリー（DR）は、いずれも企業を守るための戦略であるが、これらは異なるプロセスです。

事業継続ストラテジーとは、組織の重要なビジネス機能を維持し、ダウンタイムを最小限に抑え、通常のオペレーションを再開する能力を指します。BCMは、サプライチェーンの障害、パンデミック、その他の予期せぬインシデントが発生した場合でも、重要なビジネス・プロセスが継続できるようにするための詳細な計画と手順の作成に重点を置いています。

ディザスター・リカバリー計画は、より技術的なIT面に焦点を置いています。DRは、設備の故障、サイバー攻撃、施設の損傷などの壊滅的なイベントによるデータ損失やビジネスの中断を防止する、または最小限に抑えるために設計されたITテクノロジーおよびベスト・プラクティスで構成されています。

これは、オンプレミスかクラウドかを問わず、通常データセンター内にある、クリティカルなオペレーションを中断させる可能性のある孤立した障害点に焦点を当てたものです。DRは、情報システムとデータの復旧に関する具体的な復旧時間目標（RTO）と復旧時点目標（RPO）を定めます。

事業継続性とディザスター・リカバリー（BCDR）は、しばしば統合されたストラテジーとして組み合わされる一方、ビジネスの目的に応じて別々に使用することもできることは注目に値します。

オペレーショナル・レジリエンス・プランは、課題に直面した際にクリティカルなサービスや機能を予測、維持、回復する企業の能力を指す、より広範なストラテジーです。DRとBCMは通常、特定のシナリオと復旧計画に焦点を当てていますが、オペレーショナル・レジリエンスは、ビジネス・サービスのオペレーションと提供をサポートする要素（人材、プロセス、テクノロジー、サプライチェーンなど）の全範囲を網羅しています。ますます巧妙化する攻撃に取り組めるよう進化してきました。

近年、世界中の官公庁・自治体やその他の組織にとって、オペレーショナル・レジリエンスは規制上の優先事項となっています。これは、高度に規制された業種・業務（例えば、金融サービス会社、金融市場インフラストラクチャ―）がプライバシー、サイバー・レジリエンス、セキュリティ、データ主権の要件を管理する際の指針となります。

公共の利益を守るために、これらの規制機関は、組織が確実に脆弱性を理解し、財務の安定性を確保するための保護措置に投資できるよう標準化された手順を確立しています。

米国では、連邦準備制度理事会やその他の銀行規制当局がオペレーショナル・レジリエンスの実践に関するガイダンスを発行しています。国際的には、欧州連合の デジタル・オペレーショナル・レジリエンス法（DORA） のような規制により、金融機関およびそのクリティカルなサード・パーティー・テクノロジー・サービス・プロバイダーを対象に、拘束力のある包括的な情報通信テクノロジー（ICT）リスク管理のフレームワークが確立されています。

オペレーショナル・レジリエンスには、次のような相互に関連した領域にわたる総合的なアプローチが必要です。

• リスク管理フレームワーク：運用リスク管理の実践は、内部および外部両方の脅威に対する基盤を形成します。組織は、人的エラーからテクノロジーやシステムの障害に至るまで、運用リスクにさらされるリスクを継続的に特定、評価、軽減する必要があります。効果的なリスク管理により、組織は潜在的なリスクを予測し、その影響を軽減するためのストラテジーを策定することができます。
• テクノロジーとシステム：強固な情報テクノロジー（IT）インフラストラクチャーのの構築は不可欠です。ITシステム、アプリケーション、データ、およびサイバーセキュリティーの管理は、運用上のインシデントが発生した場合でも業務の中断に耐え、迅速に復旧できるだけの強固なものでなければなりません。
• 人材とプロセス：熟練した従業員、明確に定義された手順、効果的なトレーニングにより、すべての利害関係者が危機時に適切に対応し、重要な機能とデジタル主権を維持できるようにします。
• 施設とインフラストラクチャー：データセンター、電力システム、ネットワーク・インフラストラクチャーなどの物理的な場所は、ディザスター・リカバリーと事業継続性をサポートできるよう、保護され、バックアップ機能を備えている必要があります。
• サードパーティーへの依存：ベンダー、クラウド・サービス・プロバイダー、アウトソーシング・パートナーは依存関係を言い出すため、レジリエンス基準を確実に満たすためには、サードパーティーのリスク管理対策が必要となります。

組織は、継続的かつ積極的な4段階のライフサイクルを通じて、すべての主要領域にわたってオペレーショナル・レジリエンスを構築することになります。

企業は、ITシステム全体（オンプレミス、プライベートクラウド、ソブリンクラウド、パブリッククラウド、エッジなど）において、クリティカルなビジネス機能、潜在的な脅威、脆弱性を特定しなければなりません。

このアプローチには、潜在的な脆弱性や重要な機能を特定するためのサイバー・リスク・アセスメント、脅威モデリング、およびビジネス影響分析（BIA）の実施などが含まれます。

この段階では、潜在的な混乱の影響を阻止または軽減するためのストラテジーを策定して実施します。これには、インシデントを防止するための強力なセキュリティー・ポリシー、従業員トレーニング、専門的なITソリューションの統合が含まれます。

この段階は、進行中の危機を管理し、重要な機能を迅速に復旧するためのインシデント対応計画および事業継続性計画の始動を指しています。

目標は、突然の影響や衝撃を最小限に抑え、重要なサービスの継続性を確保することです。

インシデント発生後、組織は何が起こったかを分析し、データを収集し、計画の有効性をレビューし、特定されたギャップを修正してレジリエンス機能を向上させる必要があります。

オペレーショナル・レジリエンスを実践に移すには、社内チーム、プロセス、テクノロジー・システム、サードパーティーおよびフォースパーティーのエンティティーなど、システム全体を組み込んだ一貫したストラテジーが必要です。

多くの組織は、サイロ化されたデータ、レガシー・インフラストラクチャー、クリティカルな事業オペレーションを中断することなく大規模なストレス・テストを行うことの複雑さといった障害に直面しています。

包括的な計画では、さらに先に提示された主要なステップを通じて、これらの問題に対処します。

まず、ビジネスにとって不可欠なサービス、中断した場合に最も重大な損害を引き起こすサービスをマッピングします。影響への許容度とメトリクスを確立します。 

ビジネスにおける技術的な側面だけに焦点を当てるのではなく、顧客、収益、評判への影響も考慮することが大切です。

システム、人、プロセスがどのようにつながっているのかを文書化します。この相互接続性と相互依存性を理解すると、サードパーティーのサービス・プロバイダーの障害が複数の内部システムに同時に影響を与えるなど、潜在的な連鎖反応を特定するのに役立ちます。

最新の依存関係マッピング・ツールにより、複雑な分散環境全体の可視性を自動化できます。

単一のデータセンターへの依存など、重大な障害点を特定します。標準化された用語とリスク評価尺度を使用して、組織全体で共通のリスク言語を作成することで、技術チーム、ビジネス・リーダー、取締役会の間で一貫したコミュニケーションを可能にします。

従来の脅威（ハードウェア障害など）と新たな脅威（高度なマルウェアなど）の両方を考慮する必要があります。AI駆動型の監視と分析は、クリティカルなインフラストラクチャ―全体の脆弱性や潜在的な障害ポイントを発見するのに役立ちます。

明確な上級管理職の所有権を定めるデータ・ガバナンス・フレームワークを作成します。オペレーショナル・レジリエンス活動に優先順位を付けるために、明確な役割と責任（説明責任を伴う）を割り当てます。

リーダーシップはまた、組織のリスク許容度を明確にして、レジリエンスへの投資と優先順位を決定する必要があります。

シナリオ・テストを実施して、応答機能を検証します。頻繁に訓練や演習を行うことで、サイバー・インシデントや混乱が発生した場合においても、チームは安心して準備を整え、緊急時対応計画を効果的に維持することができます。

実際のインシデントとテスト演習は、問題を特定するのに役立ちます。定期的なアセスメントと修正により、レジリエンス機能を強化し、進行中の脅威やビジネスの変化に対応することができます。

最初からストラテジーにコンプライアンスを組み込みます。ビジネスを適切な規制に準拠させて、 NISTなどの業種・業務用フレームワークを活用します。

自動化されたコンプライアンス監視は、規制要件への継続的な準拠を実証するのに役立ちます。