代表取締役社長　岡本 充由氏

－代表取締役社長 岡本充由氏にお話をお伺いしました。
－BCMS取り組みの経緯と感想を教えてください。

当社はNTTグループ企業というバックグラウンドから、QCやセキュリティなどには継続的に取り組んでおり、社員にも遺伝子レベルで普及・定着していると認識しています。ですので、当初事業継続管理システム導入については、特段改めて取り組む必要を感じていませんでした。

しかしながら、当社がインターネットデータセンター事業を開始した10年前に比べ、事業環境が大きく変化していることも実感しています。事業開始当初はインターネットは一部の人の趣味の世界だったものが、今では生活にもビジネスにも不可欠になっています。今やインターネット上には、電話／テレビ／ラジオなど従来の情報ソースすべてが提供されるようになり、万が一当社のサービスが停止してしまった場合の社会的な影響範囲は拡大していると感じています。そうしたことを鑑みて、当社のサービス向上と信用力向上の両方の観点から、BCMS構築をおこないました。当社はNTTグループ企業というバックグラウンドから、QCやセキュリティなどには継続的に取り組んでおり、社員にも遺伝子レベルで普及・定着していると認識しています。ですので、当初事業継続管理システム導入については、特段改めて取り組む必要を感じていませんでした。

構築した感想としては、今まで遺伝子レベルでは共有できていると考えていたものを、改めて文書化することや、業務フローにまとめることで、形になったことは有意義だったと考えています。また、今までも独立した業務においては故障対応訓練などを実施しておりましたが、全社的なリスクを前提とした訓練を実施することで、より大きな見地に立った検証作業ができ、業務の改善に役立つと感じました。

－BCMS構築プロジェクトを担当された経営企画部長 神山雅教氏にお話しをお伺いしました。

－貴社の事業内容を教えてください。

当社は大阪市内でインターネットデータセンターを運営しております。当社のデータセンターはコネクティビティサービスという複数のISPとインターネット相互接続点等でギガビット接続する環境をご提供することで、快適なコンテンツ配信環境を実現しています。データセンターはハウジング利用以外にもレンタルサーバー（ホスティング）やインターネット上で映像や音声を配信するストリーミングサービスでもご利用いただけます。お陰様で１万を超えるユーザーの方にご利用いただいております。

経営企画部長　神山 雅教氏

－今までの貴社の事業継続に関する取り組みについて教えてください。

岡本社長からの話にもありましたように、当社は社員が全員NTTからの出向社員ということで、「社会インフラを守る」という使命感が元々遺伝子に刷り込まれていると言えます。また、スマートコネクトもインターネットをサポートするライフライン企業ですので、常日頃から高い危機意識を持って業務に取り組んでいると自負しております。

よって、リスク管理については通常の予防保全体制として仕組みを構築していますし、障害時のエスカレーション体制も日々の業務におり込まれています。

ただ、全社的なリスクに対する備え、という意味においては、特に体系化されたものは持っておりませんでした。

－今回BCMSに取り組まれたきっかけは？

そこで、全社的BCP策定、引いてはBCMS構築に取り組むことにしました。取り組むにあたっては、期待していた効果が２つあります。私は1年半前に着任したのですが、その時ちょうど新型インフルエンザが流行しており、BCP策定の必要性が世間的にも注目を集めていました。当社もこれをきっかけとして、社内で新型インフルエンザを対象としたBCPを策定したのですが、改めて考えると、当社のような危機管理企業としては、新型インフルエンザのような特定のインシデントを対象としたBCPではなく、全インシデントに対するBCP策定が必要であるということに思い至りました。

１つは当社がこうした取り組みをすることで、お客様が引き続き安心して当社のサービスをご利用いただけるということです。そのためには、きちんとした仕組みを構築し、業務の一部として継続的に運用することにより組織力を向上させなくてはいけません。そして、それをお客様に見える形でご提供することです。

もう１つは、社内における技術継承の仕組みの構築です。前述のとおり、当社はNTT社員の出向100%の構成ですので、3～4年のスパンで人員の入れ替えがあります。実は当社の重要な事業リスクはここにあるのではないかと社長と話していたくらいなのですが、当社は人員の入れ替えを大前提に事業を考えなくてはなりません。そうなると、人員入れ替えによる一時的な（スキルという意味においての）リソース減少という事態への対応、重要スキルの洗い出しや共有という観点からも、PDCAサイクルを用いたBCMSはうってつけだったのです。

当社としては、こうした仕組みを決して一過性のものではなく、組織力として定着するところまで作りこむことを目的にBCMS構築に取り組みました。今回幸い、BS25999-2認証規格も取得することができ、目に見えるかたちで当社の取り組みをお客様にお伝えすることもできるようになりました。

－どのようなBCPを構築されたのですか？

当社は全てのインシデントを対象としたBCPを策定することを目指しておりましたが、そうすると、一体いくつのBCPを策定すれば良いのか、キリがありません。そこで、ニュートンさんのおすすめもあって、「何かインシデントがあった際に結果どういう状況になるのか」、という「結果事象」をキーにしてBCPを策定することにしました。こうすることで、より多くのインシデントへの対応が可能になります。

具体的には3つの結果事象を前提としたBCPを策定しました。

1. 本社および（または）データセンターに同時に（片方に）立ち入れなくなる
2. 要員が（スキル的に）６０％程度に減少する
3. データセンターのバックボーンネットワークが停止する

1が想定しているのは、地震や水害、もしくは交通災害などにより、社員が事務所もしくはデータセンターに入館できなかったり、たどり着けない場合です。この場合、業務は中断しないのですが、カスタマーサポートや故障対応などを再開しなくてはなりません。そのため、連絡体制を見直しました。迅速に情報収集することにより、遠隔で業務実行が可能なのかを見極め、困難だった場合の参集フローを策定しました。

2が想定しているのは、災害、パンデミックもしくは人事の事情により、スキル的に人員リソースが60％になった場合です。この60％というのはあくまでも物理的な人員レベルではなく、必要な技術力において60％程度まで低下したとき、という前提にあえてしています。この状態において、如何に各課・各事業部において重要業務を継続するか、という対策を立てました。

3は現実的には非常に考えにくいケースではありますが、当社ビジネスの生命線であるデータセンターのバックボーンネットワークが使用不可能となった場合です。実際は阪神大震災以上の規模の地震でも使用できなくなる可能性は極めて低いのですが、今回はそうした最悪のシナリオも含めて検討しました。この場合は、当社のサービスが停止するだけでなく、通常の通信手段も遮断されてしまいますので、代替の通信手段を確保したうえで、企業責任としての状況説明、復旧見込みなどの情報提供などのリスクコミュニケーションを迅速におこなう必要があります。そのためのマニュアル類を作成しました。

この3つの結果事象を想定しておけば、組み合わせでかなり広範囲なインシデントに対応できると考えています。

－訓練はどのようにおこなわれたのですか？

実地訓練をすることがベストだと思いますが、今回は初年度ということもあり、机上シミュレーション訓練をおこないました。3つのBCPに対してそれぞれ個別のリスクシナリオを設定、計3回の訓練を実施し、策定したフローがきちんと機能するかということを確認しました。各訓練には担当のBC管理責任者も参加し、非常に有意義な訓練を実施することができました。

－今回の取り組みで今まで貴社になかった仕組みはどこですか？

やはり暗黙知を形式知に転換できたことは非常に大きいです。これで組織力として仕組みを維持向上していけると感じています。

また、結果事象で想定した3番目のケースについては、発生確率が低いだけに今まで想定の範囲外でした。今回の取り組みをおこなったことで、こうしたあり得ない事態においても対処できる仕組みができたことは、当社のリスクマネジメント能力を格段に向上させたと感じています。

－一般社員への普及啓蒙はどのようにおこなわれたのですか？

策定している過程のなかで全社員を巻き込んで策定しているので、その段階からかなり浸透しています。今回のBCMS構築は、既にあった様々な仕組みを体系化した、という形だったので、社員の理解が早かったこともあります。構築終了時に全社員を対象とした勉強会をおこない、簡単な試験もおこないましたので、理解度の確認もできています。

－今回のプロジェクトで外部コンサルを活用した理由を教えてください。

前述のとおり、当社には既に様々な予防保全の仕組みや個別に運用している仕組みがそれなりにあるという自負はありました。しかし、これを人員が入れ替わっても次につないでいける組織の仕組みとして体系化するためにBCMSという手法を用いるとなると、やはり専門家にご相談した方が良いと考えました。規格にのっとった進め方や手法を我々が中途半端な知識で取り組むよりも、専門家のご意見・ご指導をいただいた方が、客観的なものができると思いました。

－ニュートンを選んだ理由を教えてください。

今回数社からご提案をいただいたのですが、ニュートンさんを選んだ理由は、当社の想いを一番汲み取ったご提案をいただいたからです。当社が目指したのは、マネジメントシステムの仕組みをきちんと作り組織力を向上することであり、その手法としてBS25999を用いる、ということでした。もっと言うと仕組みがきちんと作れれば、認証は取らなくても良いとまで思っていたのですが、他社のご提案は、認証を取るための方法論でのご提案に終始していました。

－実際のコンサルティングサービスの感想をお聞かせください。

ご提案の段階からそうでしたが、ニュートンさんは、我々のリクエストに対して常に的確に応えてくれました。また、当方も真面目な社員が多いので、素人なりに湧いてくる様々な疑問や質問を投げかけたのですが、それに対しても真摯且つ機敏にご対応いただけました。プロジェクトを進めるにあたっては、一緒になって考え、議論を重ねることで、「一緒に作り上げた」という実感があります。

あとはやはり専門家のお知恵だなと、当方が目から鱗だったことが２つあります。当方の希望するあらゆるインシデントに対応するBCPを考えたときに、無数のシナリオを想定するのではなく、結果事象をキーにすることで、汎用的なBCP策定が可能だというアドバイスをいただきました。これは自分たちでは考え付かなかったことだと思います。

また、結果事象の選択にあたっては、当方としてはリスクマネジメント的な観点から発生確率が高く事業影響度が高いものを対象としたかったのですが、それは通常取り組む予防保全の範囲で取り組むべき問題であり、BCPの対象ではない、というお話をいただきました。これはそもそものBCPの考え方の根本の部分だと思うのですが、これも自分たちだけで取り組んでいたら勘違いしていたのではないかと思います。

そういったことも含め、素晴らしいパートナーと仕事をさせていただいたと非常に嬉しく思っています。

－今日は貴重なお話をありがとうございました。