内閣府のガイドラインは、BCPをこう定義しています。この一文が本家の定義なので、そのまま引きます。

ここで、注意深く読んでほしい部分があります。例として挙がっている6つの事象に、サイバー攻撃が入っていません。大地震、感染症、テロ、大事故、サプライチェーン途絶、経営環境の変化。この6つです。

公平に付け加えると、同じガイドラインの序文には「大事故、感染症のまん延、テロ等の事件、サプライチェーン途絶、サイバー攻撃など、事業の中断をもたらす可能性がある、あらゆる発生事象について適用可能である」とも書かれています。対象外ではありません。ただ、中心には置かれていない。この距離感が、第2章の数字につながります。

BCPとBCM、防災計画の違い

BCPとBCMは対立するものではありません。BCPはBCMという活動の中で作られる成果物のひとつです。ガイドラインが平成25年の改定でBCMを前面に出したのは、「計画書を1回作って棚に置く」状態を避けるためでした。

防災計画との関係も同じで、どちらが上ということはありません。防災計画は人と建物を守り、BCPは商売を止めない。目的が違うので、両方要ります。

「事業継続計画」と「業務継続計画」

細かいことですが、資料を読み比べると表記が揺れています。内閣府は「事業継続計画（BCP）」、警察庁は「業務継続計画（ＢＣＰ）」と書いています。行政機関では自らの業務を止めない計画という意味で「業務継続計画」が使われることが多く、企業向けには「事業継続計画」が一般的です。指しているものはほぼ同じなので、読み替えて問題ありません。

第1章 おわり — 次は第2章

まず、BCPそのものの普及状況から。内閣府が隔年で行っている調査の結果です。

出典：内閣府 防災担当『令和5年度 企業の事業継続及び防災の取組に関する実態調査』（令和6年3月）。前回は令和3年度調査。業種別では金融・保険業が76.6%で最も高く、運輸業・郵便業66.2%、建設業63.4%と続いています。

大企業では4社に3社が策定済み。普及という意味では、BCPはもう特別なものではありません。ところが、実際にサイバー攻撃を受けた現場を見ると、数字がまったく違います。

この3つは同じ物差しではありません。内閣府は大企業・中堅企業を対象にした調査、警察庁はランサムウェア被害を届け出た企業・団体へのアンケートで、中小企業が多く含まれます。それでも、被害の現場で「計画があった」組織が5社に1社に届かないという事実は、そのまま受け止める価値があります。

ガイドラインを数えてみる

なぜ落差が生まれるのか。ひとつの手がかりが、BCPの本家である内閣府ガイドラインの語の出現回数にあります。本文をすべて数えました。

内閣府『事業継続ガイドライン』（令和5年3月／全53ページ、本文約57,700字）を筆者が全文検索して数えました（2026年8月20日）。回数は文脈を問わない単純な出現数です。なお令和5年3月の改定では「情報セキュリティー強化などを明示」が改定点として挙げられています。

誤解のないように書きますが、これはガイドラインの欠陥という話ではありません。このガイドラインは内閣府の防災担当が出しているもので、東日本大震災の教訓から発展してきた文書です。自然災害に厚いのは当然です。

問題は受け取る側にあります。この文書をお手本にしてBCPを作れば、当然、地震のBCPができあがる。そしてそれは、サイバー攻撃では想定どおりに動きません。

第2章 おわり — 次は第3章

地震とサイバー攻撃を並べると、BCPが前提にしている条件がことごとく違うことが分かります。ここがこの記事の中心です。

4はランサムウェア攻撃の流れとして警察庁が「復旧を妨害するため、バックアップも一緒に暗号化される場合が多い」と記述している点にもとづきます。2・3・6は同報告の「調査・復旧作業や広報の在り方も、物理的災害時とは異なる対応が求められる」という記述を、筆者が実務の観点で分解したものです。

この表のなかで、地震のBCPが最も対応できていないのは2番目です。地震の計画は「安全が確認できたら復旧を始める」と書けます。しかしサイバー攻撃では、「原因が分かるまで、動かしてはいけない」という段階が挟まります。急いで復旧すると、残っていた攻撃者にもう一度やられる。この待ち時間を、地震の計画は想定していません。

サイバー版BCPが動く順番

3について、警察庁は「慌てて電源をオフにすると、ログ等の侵入の痕跡が失われてしまい、その後のフォレンジック調査が困難になる可能性がある」と明記しています。災害時の「まず電源を落とす」という常識が、そのままでは通用しません。

5に注目してください。地震のBCPで作った「止まっている間どう回すか」の部分は、そのまま使えます。手書きの伝票、電話での受注、紙の名簿。全部作り直す必要はありません。足りないのは前半（1〜4）と、後半の公表の部分だけです。ここが実務的にいちばん大事な結論です。

第3章 おわり — 次は第4章

第4章 おわり — 次は第5章

BCPは会社の話ですが、考え方は家庭にも効きます。「使っているサービスが、明日止まったら？」という問いに、いくつ答えを持っているか。それだけです。

会社のBCPと同じで、大事なのは完璧さではなく「代替がある」という状態です。全部の代替を用意する必要はありません。止まると本当に困るものを2つか3つ選んで、そこだけ手を打てば十分です。

第5章 おわり — 次は第6章

すでにBCPがあるなら、作り直す必要はありません。第3章で見たとおり、「止まっている間どう回すか」の部分は流用できます。足りないのは前半と、公表まわりです。次の8項目を書き足せば、サイバー版になります。

項目は筆者による整理です。8について、警察庁は身代金の支払いに関し「犯罪グループ等の活動資金となることが懸念される」「暗号化されたデータの復号が保証されない」といった点を挙げています。

2番目の「連絡先の一覧」は、8項目のなかでいちばん軽くて、いちばん効きます。事故の当日、担当者は社内システムにアクセスできません。連絡先が社内サーバの中にしか無い会社は、誰にも電話できないという状態になります。紙で持つか、社外からも見られる場所に置いてください。

第6章 おわり — 次は第7章

警察庁が示している初動の考え方に沿って並べます。災害時の常識と1か所だけ違うので、そこを太字にしました。

1〜5は警察庁『令和7年におけるサイバー空間をめぐる脅威の情勢等について』の「ランサムウェア被害後の対応策」の記述にもとづきます。6は筆者による整理です。

第7章 おわり — 次は第8章

この用語とセットで覚えると理解が早くなる語です。

第8章 おわり — 最後にFAQ