--- title: "ビジネスインパクト分析とは？BCP策定前に影響度を整理する分析【SG試験】" description: "ビジネスインパクト分析（BIA）を、災害や障害で業務が停止したときの時間経過による損失を評価し、重要業務と復旧優先順位を決めるBCP策定前の分析として整理します。許容できる最大停止時間MTDと目標復旧時間RTO、復旧時点を示すRPOを比較し、復旧手順の作成や訓練そのものとする誤答を切ります。" last_modified_at: "2026-07-14" canonical_url: "https://stemtazoo.github.io/sg/business-impact-analysis/" section: "sg" --- ## まず結論 - **ビジネスインパクト分析**とは、障害や災害で業務や情報システムが止まったとき、事業にどのくらい影響が出るかを評価する分析です。 - SG試験では、**BCPを作る前に行う分析**として問われることが多いです。 - 特に、**許容可能な最大停止時間（MTD）**や**目標復旧時間（RTO）**を決めるための考え方として整理しておくと判断しやすくなります。 ビジネスインパクト分析は、単に「システムが止まったら困る」と考えるだけではありません。 **どの業務が止まると、どれくらい事業に影響するのか**を整理し、優先して復旧すべき業務やシステムを決めるために行います。 SG試験では、選択肢に「BCPのテスト」「復旧手順の教育」「環境変化に応じた見直し」などが並び、**ビジネスインパクト分析で実施することはどれか**を切り分けさせる問題が出やすいです。 ## 直感的な説明 ビジネスインパクト分析は、災害時の「業務の優先順位づけ」と考えると分かりやすいです。 たとえば、会社の情報システムが停止したとします。 - 受注システムが止まる - 在庫管理システムが止まる - 社内掲示板が止まる - 勤怠システムが止まる どれも困りますが、事業への影響は同じではありません。 受注システムが止まると、売上や顧客対応にすぐ影響が出るかもしれません。 一方で、社内掲示板は数時間止まっても、代替手段で対応できる場合があります。 このように、 - どの業務が重要か - どれくらい止まると大きな損害になるか - どの順番で復旧すべきか を整理するのがビジネスインパクト分析です。 つまり、ビジネスインパクト分析は、**復旧作業そのものではなく、復旧方針を決めるための前提分析**です。 ## 定義・仕組み ビジネスインパクト分析は、英語では **BIA（Business Impact Analysis）** と呼ばれます。 主な目的は、業務やシステムが停止した場合の影響を評価し、BCPや復旧計画を作るための判断材料を整理することです。 IPAの資料でも、IT-BCPの有効性を高めるためには、計画文書だけでなく、その前提となる業務の分析や教育訓練、継続的な見直しが重要であることが示されています。参考： [IPA「情報システム基盤の復旧に関する対策の調査 報告書」](https://www.ipa.go.jp/archive/files/000004636.pdf) ビジネスインパクト分析では、主に次のような内容を整理します。 | 観点 | 内容 | |---|---| | 重要業務 | 止まると事業への影響が大きい業務は何か | | 影響度 | 売上、顧客、法令、信用などへの影響はどれくらいか | | 許容停止時間 | どれくらいの時間までなら停止を許容できるか | | 復旧目標 | いつまでに復旧させる必要があるか | | 優先順位 | どの業務・システムから復旧するか | ここで特に押さえたい用語が、**MTD** と **RTO** です。 ### MTD **MTD（Maximum Tolerable Downtime）** は、許容可能な最大停止時間です。 簡単にいうと、**これ以上止まると事業への影響が許容できない時間**です。 ### RTO **RTO（Recovery Time Objective）** は、目標復旧時間です。 簡単にいうと、**障害発生後、いつまでに復旧させることを目標にするか**です。 MTDは「ここまでが限界」、RTOは「この時間までに復旧させたい目標」と整理すると分かりやすいです。 ### RPO **RPO（Recovery Point Objective）** は、目標復旧時点です。 簡単にいうと、**どの時点までデータを戻せれば業務上許容できるか**を示す目標です。 RTOが「いつまでに再開するか（時間）」を表すのに対して、RPOは「どの時点のデータ状態まで戻すか（時点）」を表します。 たとえばRPOが「1時間」の場合、障害発生時点から見て最大1時間分のデータ損失までを許容する設計になります。 ### MTBF・MTTR・RPO・RTOの切り分け SG試験では、事業継続や復旧目標の問題で、MTBF・MTTR・RPO・RTOを並べて問われることがあります。 | 用語 | 見るもの | 判断ポイント | |---|---|---| | MTBF | 故障と故障の間の平均稼働時間 | 壊れにくさ・平均故障間隔 | | MTTR | 障害発生から復旧完了までの平均時間 | 実際の復旧にかかった平均時間 | | RPO | どの時点のデータまで戻すか | データ損失をどこまで許容するか | | RTO | いつまでに業務・サービスを復旧させるか | 業務再開までの目標時間 | 選択肢で **「何時間以内に業務やサービスを再開するか」** という復旧期限の話が出たら、RTOを疑います。 一方、**「どの時点のデータまで戻すか」** ならRPO、**「平均復旧時間」** ならMTTR、**「平均故障間隔」** ならMTBFです。 SG試験では、 - MTDを決める - RTOを設定する - RPO（目標復旧時点）を設定する - 重要業務の影響度を評価する といった内容は、ビジネスインパクト分析に関係すると判断できます。 ## どんな場面で使う？ ビジネスインパクト分析は、主にBCPを作る前段階で使います。 BCPは、災害や障害が起きたときに事業を継続・復旧するための計画です。 ただし、何を優先して復旧するかが決まっていなければ、実効性のあるBCPは作れません。 そこで、ビジネスインパクト分析によって、業務停止時の影響を確認します。 使う場面の例は次のとおりです。 - BCPを策定するとき - 重要業務を洗い出すとき - 災害時の復旧優先順位を決めるとき - システム停止時の影響を評価するとき - RTOやMTDを設定するとき 選択肢では、**「情報システムに許容される最大停止時間を決定する」**のように書かれていたら、ビジネスインパクト分析の内容として判断しやすいです。 一方で、次のような内容は、ビジネスインパクト分析そのものではありません。 - BCPの有効性を検証するテストを実施する - 復旧手順を関係者に教育する - 環境変化を踏まえてBCPを見直す これらはBCMやBCP運用の中で重要ですが、**業務停止時の影響を分析する行為**とは少し役割が違います。 ## よくある誤解・混同 ### 誤解1：BCPを作ることそのものだと思う ビジネスインパクト分析は、BCPそのものではありません。 BCPは、事業を継続・復旧するための計画です。 ビジネスインパクト分析は、そのBCPを作る前に、影響度や復旧優先順位を整理するための分析です。 試験では、**「BCP策定の前提として行う分析」**と考えると切り分けやすいです。 ### 誤解2：BCPのテストや訓練だと思う BCPのテストや訓練は、作った計画が本当に使えるかを確認する活動です。 一方、ビジネスインパクト分析は、計画を作る前に、業務停止の影響を評価する活動です。 選択肢では、 - テストする - 教育する - 訓練する - 見直す と書かれていたら、ビジネスインパクト分析ではなく、BCM活動やBCP運用に近いと考えます。 ### 誤解3：リスクアセスメントと同じだと思う ビジネスインパクト分析とリスクアセスメントは近いですが、見ている視点が違います。 | 用語 | 主な視点 | |---|---| | リスクアセスメント | どんなリスクがあり、発生可能性や影響はどれくらいか | | ビジネスインパクト分析 | 業務が止まったとき、事業にどれくらい影響するか | リスクアセスメントは、脅威・脆弱性・発生可能性なども含めてリスクを評価します。 ビジネスインパクト分析は、業務停止が事業に与える影響に注目します。 SG試験では、**発生しそうなリスクを評価する話なのか、停止した場合の事業影響を評価する話なのか**で切り分けると分かりやすいです。 ### 誤解4：復旧手順を細かく決めることだと思う 復旧手順を決めることは大切ですが、ビジネスインパクト分析の中心ではありません。 ビジネスインパクト分析の中心は、 - どの業務の影響が大きいか - どれくらい停止を許容できるか - どこまでに復旧する必要があるか を明らかにすることです。 その結果をもとに、復旧手順や代替手段を設計していきます。 ## 確認問題（SG試験対策） BIAの実施目的として適切なものはどれか。 - ア. 脆弱性を自動スキャンしてCVSSを算出する。 - イ. 中断時の業務影響を評価し、復旧優先度や目標時間を決める。 - ウ. 監査調書の保存年限を定める。 - エ. 暗号鍵長を決定する。
▶ クリックして答えと解説を見る（ここを開く） **正解：イ** ### 解説 - ア：不適切。 - イ：適切。 - ウ：不適切。 - エ：不適切。 👉 判断ポイント 用語の役割・対象・実施タイミングを分けて判断する。
## まとめ（試験直前用） - ビジネスインパクト分析は、**業務やシステム停止時の事業への影響を評価する分析**です。 - BCPを作る前に、重要業務・影響度・復旧優先順位を整理します。 - MTDは「許容できる最大停止時間」、RTOは「目標復旧時間」です。 - SG試験では、**BCPのテスト・教育・見直し**と混同させる選択肢に注意します。 - 「停止した場合の影響を評価する」「最大停止時間を決める」とあれば、ビジネスインパクト分析と判断しやすいです。