見えないサプライチェーンリスク
クラウドサービス障害が問いかける新たな事業継続の課題
先日、営業担当者から不正アクセスによるクラウドサービスのサービス障害についての報告を受けました。当社の防災アプリに関連するウェブサイトはそのクラウドサービスで動いていましたが、障害が発生したリージョン（領域）とは異なるリージョで運用されていたため、そのウェブサイトは幸いにも影響を受けませんでした。ウェブサイト単体の問題ではなく、その背後で利用されているクラウドサービス基盤側の障害により多数の企業・団体のシステムに影響が及んでいたのです。
ITサービスのさらに先に存在するリスク
この出来事を見ていて、BCPの観点から新たな気づきがありました。これまで情報システムに関する事業継続リスクとしては、自社システムに障害が発生することや、利用中のITサービスが停止することが主に認識されていました。その結果、業務の中断や物品・サービスの供給停止につながるリスクがあると考えられてきました。
しかし、今回のケースでは、そのさらに先の階層にも事業継続に影響を及ぼすリスクが存在することが見えてきます。
自社
↓
利用しているITサービス
↓
ITサービス事業者が利用するクラウドサービス
↓
クラウド事業者のインフラ
という多層構造です。利用企業から見れば、契約しているのはITサービス事業者です。しかし実際には、そのITサービス事業者も別のクラウド基盤の上でサービスを提供しています。つまり、自社が直接契約していない事業者の障害であっても、結果として自社の事業継続に影響が及ぶ可能性があるということです。
これは従来から言われているサプライチェーンリスクと似ています。製造業であれば、部品メーカーのさらに先の材料メーカーで問題が発生し、最終製品の供給に影響が及ぶことがあります。同様にITの世界でも、「利用しているサービス」だけではなく、「そのサービスがどのような基盤の上で動作しているのか」までが事業継続に影響する時代になってきたということです。
BCPで確認すべき新たな視点
もちろん利用企業がすべてのクラウド構成を把握することは現実的ではありません。しかし、少なくとも重要な業務を支えるサービスについては、
どのようなクラウド基盤を利用しているのか
障害発生時の対応方針はどうなっているのか
別リージョンや別環境への切替手段はあるのか
サービス停止時に自社はどの程度業務継続できるのか
を確認しておく必要がありそうです。今回の事案は、「自社のシステムを守る」という従来の情報セキュリティ対策だけでは十分ではないことを示しています。自社が利用するサービス、そのサービスを支えるクラウド基盤、さらにはその先にある事業者までを含めて考えることが、これからのBCPに求められる視点なのかもしれません。
※ 本コラムは10月13日21時時点の情報をもとに執筆しています。今後、被害状況や各企業の対応が明らかになるにつれ、内容が必ずしも適切でなくなる可能性があります。必要に応じて、内容を更新または差し替える場合があります。
