カテゴリー: AI

第2回：レイアウト＆動線最適化 ― 1 ㎡あたりの生産性を高める

by 塚井海地 / 0件のコメント

（全10回連載：IT資産ストレージ運用・管理ガイド）

1. なぜ“配置”が利益を左右するのか

2. 基本フレーム：EIQ-ABC-SLP 法

イニシャル意味現場への落とし込み
EEquipment Flow棚配置は入荷→検査→保管→ピック→廃棄の“一方通行”に
IInformation Flow棚番を CMDB と 1:1 対応させリアルタイム在庫可視化
QQuantity Flow高発生量ゾーン＝入口近く・低発生量ゾーン＝高所 or 奥へ
ABC需要頻度別分類A=高頻度 (PC/モバイル)・B=中頻度 (周辺機器)・C=低頻度 (保証書)
SLPSystematic Layout Planningゾーン関係図 → スペース関係図 → 具体配置図の 3ステップ

2024 年の研究では、EIQ-ABC-SLP 手法でピッカー距離を平均 27 %削減できたと報告されています。
​ResearchGate – Research on Layout Optimization of Warehouse Functional Area Based on EIQ-ABC-SLP Method

3. 動線短縮３原則

  1. ファーストインジパレル方式
    Aクラス資産は入口から 5 m 以内、出口から 10 m 以内を死守。
    ​www.alexanderjarvis.com – Slotting Optimization Rate
  2. セーフティ×ナローアイル
  3. 垂直活用と重力ピッキング
    頻度×重量マトリクスで Tier を決定。
    • A×Heavy：腰〜胸
    • B×Light：足元
    • C×Any：最上段 or アーカイブ室

4. ゾーンマップ作成ステップ（所要 90 分）

  1. 床面採寸 → 方眼紙 1 マス＝0.5 m 換算
  2. フローダイヤ（入荷→出荷）を矢印で記入
  3. ゾーン色分け
    • Zone A：PC･モバイル (週次出入り) — 赤
    • Zone B：周辺機器 (月次) — 黄
    • Zone C：保証書･廃棄待ち (年次) — 青
  4. 通路幅チェック：最小 1.2 m (通行)／2.4 m (フォークリフト)
  5. 棚ID付番：<Zone><棚番号>（例 A3）でユニーク化
  6. Excel台帳連携：棚ID列を追加し VLOOKUP で紐付け

5. テンプレート配布

下記の Excel サンプルでは、Zone / Shelf_ID / Tier / Category を入力すると、Category（A・B・C）に基づく在庫比率が自動的に関数で集計されます。

Download 棚番ゾーンマップ関数集計.xlsx

6. 14-Day クイックアクションプラン

Dayタスク成果物
1倉庫採寸・現行棚配置図作成手書き平面図
2–3資産A/B/C分類 (出庫頻度ログ参照)ABC一覧シート
4–6新レイアウト案を作図 (draw.io)PNG 図面 v1
7安全通路幅チェック & 修正図面 v2
8–10棚移動・通路マーキング床テープ完了
11棚IDラベル貼付・CMDB更新ラベル完了
12サンプル棚卸し（10 アイテム）差異率報告
13KPI設定 (距離/pick, picks/hr)ダッシュボード初期値
14レビュー & 改善計画書次月To-Do

7. KPIサンプル値

指標BeforeTarget備考
ピッカー移動距離 / Pick42 m30 m (-28 %)Optioryx指標
​Optioryx blog – Guide to Warehouse Slotting in 2025
Picks / Hour4860※人員同数
Cube Utilization55 %70 %ナローアイル導入時

8. 次回予告

第3回：資産タグ付けと自動認識 ― バーコード vs. RFID vs. BLE
コスト比較表と RFID Read-Rate 95 % を達成するアンテナ配置法を解説します。

第1回：ストレージルーム診断 ― 混沌を「見える化」する

by 塚井海地 / 0件のコメント

（全10回連載：IT資産ストレージ運用・管理ガイド）

1. はじめに ― “倉庫崩壊”はなぜ起こるのか

中小企業 (PC 100 台規模) では、**「物品は入るのに台帳は更新されない」**という断絶が常態化しがちです。具体的には ①セキュリティ事故 ②コスト増 ③法令・監査リスクという“三重苦”が発生します。国際規格 ISO/IEC 19770-1 (ITAM) が示す成熟度モデルでも、最下位レベルは「資産の正確な所在が把握できない」状態と定義されています。​

本連載のゴール
6 か月以内に “検索性 30 秒以内” のストレージルームを実現し、その状態を 継続的に維持 する仕組みを構築することです。

2. ITAM成熟度セルフチェックフレームワーク

ISO 19770-1では、方針 → プロセス → データ → ツール の4軸で成熟度を段階評価します。本記事では、それを現場で測定可能な 30 項目チェックリストに落とし込みました（後述テンプレート参照）。

2-1 項目設計のポイント

軸代表質問例測定指標
方針廃棄基準を文書で定義しているかYes/No
プロセス棚卸しの頻度は年2回以上か回/年
データ台帳と実物の差異率％
ツールタグ読み取りが自動化されているかYes/No

3. 30 項目チェックリストの使い方

  1. 所要時間：約60 分
    チェック項目を現地確認しながら Yes/No で選択。
  2. 採点
    Yes = 1 点、No = 0 点 で合計 30 点満点。
  3. 評価基準
    • 0–14 点：Redゾーン（緊急是正）
    • 15–24 点：Yellowゾーン（3 か月改善）
    • 25 点以上：Greenゾーン（維持＋最適化）

👉 サンプルテンプレートは下記からダウンロードできます。各列に「現状」「点数 (0/1)」「コメント」を入力すると自動で合計点とゾーンを色分け表示します。

Download 現状診断チェックシートサンプル.xlsx

4. “数字”を集める前準備 ― 二重台帳の統合

棚札や保証書が紙束のまま保管されている場合、まず 物理在庫ラベル ⇔ 電子台帳 (CSV/Excel) の突合せが必要です。AssetPanda 2024 GUIDE は「差異率 5 % 未満」を維持基準としています。​

  • 鍵は Unique ID の一意性
    • ハード ID (シリアル) + サブID (付属品/保証書) を命名規則で決定
  • 突合手法
    1. バーコード／RFID 一括読み取り
    2. CSV へエクスポート
    3. VLOOKUP または Power Query で差分抽出

5. 視覚マップで“倉庫迷路”を共有

Cloudaware 2025 HAM ガイドは、ゾーン/棚/階層 を色分けした「ヒートマップ式レイアウト」を推奨しています。​

作成ステップ

  1. 無料ツール draw.io で倉庫の俯瞰図を作成
  2. 棚番号を頂点ラベルで記入
  3. 資産カテゴリをレイヤーで色付け
  4. PNG 書き出し → SharePoint/Teams へ共有

TIP: 更新頻度はレイアウト変更時 + 月次棚卸し。古い図面は「廃止版」と明示して誤使用を防止します。

6. 診断後のクイックウィン (2 週間プラン)

優先度ボトルネック14 日間での是正策
★★★棚番号が欠落シール印刷 + 図面更新
★★タグ未貼付資産固定資産番号で統一ラベル発行
★★廃棄隔離が未実施「廃棄予定」ラックを追加
★保証書散逸スキャナでPDF化し台帳リンク
★台帳差異 >10%イレギュラー棚卸しを即実施

7. 次回予告

第2回は 「レイアウト＆動線最適化：1 ㎡あたりの生産性を高める」 を取り上げます。ABC 分析と「通行距離 30 ％ 削減」を目指す棚配置法を解説します。お楽しみに！

第 7 回（最終回）Step 6: ガバナンスと継続的改善 ―― KPI／KRI ダッシュボードと取締役会レポートの実装

by 塚井海地 / 0件のコメント

導入

BCP は「作って終わり」ではなく “回し続けて改善” して初めて価値を生みます。ISO 22301 Clause 10 は パフォーマンス評価 → 内部監査 → 経営レビュー → 改善 をサイクルで回すことを要求し、COSO ERM や IIA Three Lines Model は 取締役会の可視性 を高める仕組みを求めています。本稿では KPI／KRI ダッシュボード と ボード向け四半期レポート を 30 日で実装する手順を示します。
​ISO – Online Browsing Platform (OBP)
COSO – Enterprise Risk Management
PwC -Overseeing cyber risk: the board’s role
IIA – The IIA’s Three Lines Model (PDF)

ガバナンス参照フレームワーク

フレームワーク目的実装ポイント参照
ISO 22301 Clause 10KPI/KRI の設定と改善RTO/RPO, 演習完了率, CAP Close 率​ISO – Online Browsing Platform (OBP)
COSO ERM (2017)戦略とリスクの統合“リスク調整後 KPI” を財務指標に連結COSO – Enterprise Risk Management
IIA Three Lines Model (2020)役割分担・独立性の明確化1st: Ops, 2nd: Risk/Compliance, 3rd: Internal AuditIIA – The IIA’s Three Lines Model (PDF)
Gartner BCM Metrics (2024)実践的メトリクス例平均復旧時間, 演習 ROIGartner – Risk Response Accelerator: Business Continuity Management
WEF Global Risks Indicators (2025)マクロ KRI地政学・サプライチェーン指標を外部連携World Economic Forum – Global Risks Report 2025

KPI／KRI ダッシュボード設計

カテゴリ代表指標目標値データソース更新頻度
復旧能力 KPI平均 RTO (主要5システム)≤ 20 分DR ツール自動計測リアルタイム
備え KPI演習完了率100 % / 半期BCP LMS月次
脅威 KRI重大インシデント件数0 / 四半期SIEM日次
性能 KRIRTO 未達率0 %DR ダッシュボード月次
外部 KRIGlobal Supply-Chain Pressure Index≤ 1σFed Reserve／WEF月次

TIP: KPI は “目標達成度”、KRI は “早期警戒”。ISO 22301 では両方を要監視。

KPI/KRI ダッシュボード（サンプル）
カテゴリー指標名単位目標値最新値状態更新日データソース更新頻度責任者
復旧能力 KPI平均RTO (主要5システム)分2018良好2025-04-29DRダッシュボードリアルタイムCIO
備え KPI演習完了率%10095要改善2025-04-29BCP LMS月次BCP Office
脅威 KRI重大インシデント発生件数件/四半期01注意2025-04-29SIEM日次CISO
性能 KRIRTO未達率%05注意2025-04-29DRダッシュボード月次BCP Office
外部 KRIGlobal Supply‑Chain Pressure Index指数11.3注意2025-04-29Fed Reserve / WEF月次Risk Mgmt




















取締役会レポートの5セクション

  1. 概要サマリ – 直近四半期の成果＆課題
  2. 主要リスク動向 – 内外部 KRI とトレンド
  3. KPI ハイライト – 目標対比、トレンドチャート
  4. 改善計画 / 予算要求 – CAP 進捗と投資見込み
  5. 次期アクション – 次四半期の重点施策
取締役会レポートテンプレート（サンプル）
項目内容サンプル責任部門
概要サマリ第2四半期はBCP演習を2件実施し、平均RTOは目標を達成。BCP Office
主要リスク動向地政学リスクの高まりによりサプライチェーン遮断リスクが上昇。Risk Mgmt
KPIハイライト平均RTO: 18分 (目標20分)、演習完了率: 95% (目標100%)CIO Office
改善計画・予算要求フェイルオーバー自動化追加予算 1200万円を要求。Finance
次回アクション来期までに演習完了率を100%に引き上げる。BCP Office






30 日ダッシュボード実装プラン

週マイルストーン完了条件
1KPI/KRI 定義 & データマッピングデータソース合意、算出式確定
2ダッシュボード試作 (BI ツール or Excel)RAG ステータス自動反映
3ボードレポート雛形作成5 セクション + グラフ完成
4ユーザーテスト & ロールアウトCIO / Audit / Board にレビュー

90 秒アクションチェックリスト

  • KPI/KRI ダッシュボード に自社データを流し込み
  • 取締役会レポートを次の定例会にアジェンダ追加
  • Three Lines Model に基づき“レビュー責任者”を割当
  • CAP 完了率を次回からダッシュボードに追加

参照リンク一覧

第6回 Step 5: 訓練・演習・シミュレーション ―― FEMA × ISO で作る “動く BCP”

by 塚井海地 / 0件のコメント

導入

計画と設計が完璧でも、演習を回さなければ BCP は絵に描いた餅。
FEMA の Continuity Guidance Circular (CGC) と HSEEP、そして ISO 22301 Clause 10 / ISO 22398 が推奨する 3 種の年次演習をベースに、測定指標（KPI/KRI） まで落とし込む方法を解説します。​

FEMA が推奨する 3 つの演習タイプ

タイプ特徴目的KPI (例)
テーブルトップ会議室でのシナリオ討議意思決定フロー検証重要判断 30 min 以内
機能訓練実機で部分的手順を検証技術手順・RTO 測定RTO 達成率 95 % 以上
総合演習現場と IT を統合して実動全社的レスポンス検証復旧 + コミュニケーション成功率 90 % 以上

HSEEP は計画 ⇒ 実施 ⇒ 評価 ⇒ 改善の 4 フェーズで演習ライフサイクルを管理。

ISO 22301 Clause 10 “Performance Evaluation” × 演習指標

Clause 10 要件演習で測定する KPI / KRIデータ収集方法
10.1 監視・測定RTO 実測値, コミュニケーション遅延DR ダッシュボード, コールログ
10.2 内部監査改善事項 Close 率監査レポート, チケット
10.3 マネジメントレビュー演習結果 → 改善計画承認までの日数会議議事録

30 日 “演習プログラム立ち上げ” スプリント

週マイルストーン完了条件
1HSEEP ベース演習計画ドラフト3 タイプの演習頻度設定
2KPI/KRI 定義 & ダッシュボード設計タイムライン & 記録項目を確定
3部門説明会 & 参加者確定参加表明率 95 % 以上
4テーブルトップ演習実施 & AAR（After Action Report）改善事項リスト化、オーナー割当

改善サイクル（AAR → CAP）

  1. 実施翌日：ファシリテータが AAR をドラフト。
  2. 1 週間以内：責任者が CAP（Corrective Action Plan） を承認。
  3. 次回演習前：CAP 完了率 100 % を目標に監査。

90 秒アクションチェックリスト

  • CGC 付属の Exercise & Evaluation Guide をダウンロード
  • 演習スケジュールテンプレート に 1 年分の日付を入力
演習スケジュールテンプレートサンプル
演習名演習タイプシナリオ頻度次回予定日参加部門主要目標測定指標責任者
地震テーブルトップ演習テーブルトップ震度7 首都直下地震年 1 回2025-09-15経営層 + 各部門長意思決定速度 30 分以内決定時間BCP オフィサ
DRフェイルオーバー機能訓練機能訓練AWS ap-northeast-1 停電半期 1 回2025-07-20IT Ops + SRE + DBARTO 15 分達成実測 RTOクラウドOpsMgr
パンデミック全社総合演習総合演習感染症 Alert Level 32 年 1 回2026-02-10全社員 + サプライヤ在宅勤務率 90 % 以上在宅率・応答率HR部長


















  • KPI/KRI を Clause 10 にマッピングし、監査部門と合意
  • AAR → CAP フローをワークフローシステムに組み込み

参照リンク一覧

第5回 Step 4: ハイブリッド勤務 × 人的資源の確保　―― 出社義務回帰期でも回る “人材レジリエンス” の作り方

by 塚井海地 / 0件のコメント

導入

巨大地震・パンデミックに備えた BCP は、インフラだけでは不十分です。**「オフィスに来られなくても事業を止めない」**ためには、ハイブリッド勤務を前提とした人材ポートフォリオを整え、バックアップ要員・クロストレーニング・人事制度を統合的に設計する必要があります。
最新調査によると、CHRO の 71 % が “ハイブリッド勤務を人材リスク低減の核心” と回答しており、出社義務を再導入する企業でもフレキシビリティ確保が課題となっています。
​shrm.org – CHRO PRIORITIES AND PERSPECTIVES(PDF)

グローバル・ベストプラクティス 4 選

出典キーインサイト実装ヒント
SHRM CHRO Priorities 2025ハイブリッド制度の有無が離職率に最大 18 pt 影響週 2 日以下の出社義務でも「対面価値」を明文化
shrm.org – TOP CHRO PRIORITIES ALIGN WITH STRATEGIC BUSINESS GOALS FOR 2025(PDF)
Microsoft Work Trend Index 202558 % の従業員が “出社価値>通勤負担” と感じれば自発的にオフィスへオフィス体験（学び・交流）を KPI 化
マイクロソフト – 2025: The Year the Frontier Firm Is Born
Deloitte 2024 Human Capital Trends“人間中心”設計が離職抑制・生産性向上にリンクワークデザインを「成果＋ウェルビーイング」で評価
Deloitte United States – 2025: The Year the Frontier Firm Is Born(PDF)
WEF Future of Jobs 202524 % の職種が 2027 までに“リスキル必須”年間 40 h のスキルアップを契約条項化
reports.weforum.org – Future of Jobs Report 2025(PDF)

3-Layer 人材レジリエンスモデル

レイヤ目的代表施策評価指標 (例)
Core
（常駐/高優先）		災害時も 2 h 以内に再稼働サテライトオフィス契約／交代シフトRTO 遵守率, シフト充足率
Hybrid
（週 1–3 日出社）		出社価値最大化 と 通勤負担最小化コラボ曜日固定, クロストレ訓練出社日満足度, クロストレ率
Remote-First地域/国を跨いだ人材確保“Follow-the-Sun” サポート, BPO平均応答時間, 離職率

ハイブリッド勤務リスクマトリクス

リスク発生要因兆候低減策参照
プロキシミティ・バイアス管理職が出社者を高評価オンサイト者の昇進率上昇人事 KPI を成果中心に再設計Microsoft WTI
マイクロソフト – Work Trend Index Special Report
通信障害ISP 障害／VPN 集中ビデオ会議遅延SD-WAN + LTE バックアップISO 27031
代替要員不在単能工依存休日要員不足クロストレーニング 20 % ルールSHRM Toolkit
shrm.org – Flexible work arrangements

人的 BCP の 30 日スプリント

週マイルストーン完了条件
1ロール分類 & 出社依存度評価“Hybrid Workforce Template” 80 % 記入
2バックアップ要員 & クロストレ計画RTO/RPO をロール単位で設定
3HR ポリシー改訂ドラフト成果中心 KPI／評価指標を明文化
4演習 & フィードバック2 ケース（地震・パンデミック）で机上演習実施

90 秒アクションチェックリスト

  • サンプル付き Hybrid Workforce Template に自社ロールを入力
Hybrid Workforce Template サンプル
職種/ロール所属部署出社依存度リモート可否バックアップ要員クロストレーニング済重要度RTO (時間)パンデミック対策地震対策次のアクションオーナー
カスタマーサポートCS部低◯在宅サポート契約者◯高2在宅VPN + クラウドCRM地方BPO拠点VPN増強CSマネージャ
営業担当営業部中△地域営業サブ△高4Web会議セールスサテライトオフィスWebデモトレーニング営業本部長
経理スタッフ経理部高×アウトソースBPO×中24クラウド会計SaaSデータバックアップ紙ベース廃止経理部長
クラウドエンジニアIT基盤G低◯SREチーム◯高1AWS WorkSpacesマルチAZIaC自動化演習クラウドOpsMgr
人事マネージャHR部中△HR副部長△中8在宅HRISリモート勤怠承認交代要員訓練HR部長
























  • 出社依存度「高」ロールのバックアップ要員を 2 名以上定義
  • クロストレーニング計画を年 2 回の演習に組み込み
  • 成果中心の KPI を人事制度に反映し、プロキシミティ・バイアスを軽減

参照リンク一覧

第4回 Step 3: レジリエントなインフラ／クラウド設計 ―― AWS × Microsoft 365 ベストプラクティス

by 塚井海地 / 0件のコメント

導入

BIA とリスク評価が終わったら、「止めない仕組み」の設計が次の勝負所です。
本稿では AWS Well-Architected Resilience Pillar と Microsoft 365 / Windows 365 の BCDR ガイドを軸に、マルチ AZ／マルチ Region／SaaS 冗長化 の実装ステップを 4 週間で整備する方法を解説します。​
AWS – Well-Architected Framework(PDF)
AWS – Disaster Recovery of Workloads on AWS: Recovery in the Cloud(PDF)
マイクロソフト ラーン – Resiliency and continuity overview
マイクロソフト ラーン – Business continuity and disaster recovery overview

フレームワークで押さえる 3 つの設計原則

原則フレームワーク実装ポイント
ゾーン冗長AWS Well-Architected “Zonal-Shift”マルチ AZ ALB、Aurora マルチ AZ
リージョン冗長AWS Prescriptive Guidance Multi-Region FundamentalsRTO ≤15 min を要件に Pilot-Light／Warm-Standby／Active-Active を選択
AWS multi-Region fundamentals
SaaS 冗長Microsoft “Resiliency & Continuity”OneDrive geo 冗長／Exchange Online DAG／Windows 365 cross-region DR
マイクロソフト ラーン – Resiliency and continuity overview
マイクロソフト ラーン – Business continuity and disaster recovery overview

AWS 4 大 DR パターン（RPO/RTO 比較）

パターンRTO 目標RPO 目標コスト例
バックアップ/リストア8–24 h数時間低スナップショット + S3/Glacier
Pilot Light1–4 h≤1 h中最小 EC2 + DB レプリカ
Warm Standby10–30 min≤1 min高最小縮退構成を待機
Multi-Site Active-Active<1 min≈0 s最高Route 53 + Global Accelerator

Microsoft 365 / Windows 365 の BCDR キー機能

サービス高可用性機構管理者タスク
Exchange Onlineデータベース可用性グループ（DAG）テナント-レベルのサービス正常性監視
SharePoint / OneDriveGeo 冗長ストレージ + バージョン管理Retention Policy 設定、MFA 強制
Windows 365Cross-Region DR & 再プロビジョニングAzure Site Recovery で自動フェイルオーバー

役割分担とガバナンス

レイヤ主担当KPI / チェックポイント
戦略CIO / CISORTO/RPO 目標を取締役会で年次更新
設計クラウドアーキテクトWell-Architected レビュー年 1 回
運用SRE / IT OpsDR フェイルオーバー演習 半期 1 回
監査内部監査 / 第三者ISO 27031 準拠評価 & 報告

30 日スプリント計画

週マイルストーン完了条件
1DR 目標定義 & パターン選定RTO/RPO 表を経営承認
2IaC で DR 環境デプロイCloudFormation / Bicep スタック完成
3自動フェイルオーバー & データ同期Route 53 ヘルスチェック or Windows 365 ASR
4DR テスト & 文書化Failover 成功 + 監査ログ保存

90 秒アクションチェックリスト

  • AWS Whitepaper “Disaster Recovery of Workloads on AWS” をダウンロード
  • Microsoft 365 “Resiliency & Continuity” ガイドをブックマーク
  • DR Architecture Checklist に自社システムを入力
DR アーキテクチャ チェックリストサンプル
システム/サービス稼働リージョン/拠点RTO 目標RPO 目標DR パターン自動化レベルフェイルオーバー手順 URLテスト頻度次回テスト日担当者
Webフロント (ALB+EC2)ap-northeast-115 分1 分Active‑ActiveIaC (CDK)https://docs.aws.amazon.com/elasticloadbalancing/latest月次2025-06-15クラウドOps
RDS Aurora DBap-northeast-1 & ap-northeast-3 (リーダー/リーダー)5 分1 分Global Database (Aurora)Aurora Global DB 自動同期https://docs.aws.amazon.com/AmazonRDS/latest月次2025-06-15DBA
Microsoft 365 OneDriveMicrosoft グローバル0 分即時Geo冗長 SaaSMicrosoft 自動https://learn.microsoft.com/onedrive四半期2025-07-01IT Service Desk
Windows 365 Cloud PCAzure 東日本 + DR 西日本30 分15 分Cross‑Region DRAzure Site Recoveryhttps://learn.microsoft.com/windows-365四半期2025-07-10VDI チーム
社内AD DSオンプレ DC + AWS Directory Service60 分10 分Pilot LightCloudFormationhttps://docs.aws.amazon.com/directory-service/latest半期2025-08-01IT基盤G




















  • フェイルオーバー演習をカレンダー登録（半年以内）

参照リンク一覧

第3回 Step 2: 業務・IT 資産リスクアセスメント — RTO/RPO を数値化する

by 塚井海地 / 0件のコメント

導入

BIA で「何が重要か」を把握したら、次は “何がどれだけ危ないか” を定量化 します。ここでは NIST SP 800-30／SP 800-34 と ISO / IEC 27005 の公式ガイダンスを下敷きに、リスクを数値化し、経営の意思決定に直結させる手順を 4 週間で実装します。​
NIST – NIST SP 800-30 Rev. 1 Guide for Conducting Risk Assessments
NIST – NIST SP 800-34
国際標準化機構- ISO/IEC 27005:2022

リスクアセスメントの公式フレームワーク

フレームワーク目的採用ポイント
NIST SP 800-30リスク識別・分析・評価の全段階3 ティア階層で経営層の意思決定を支援
NIST – Guide for Conducting Risk Assessments
NIST – Guide for Conducting Risk Assessments (PDF)
NIST SP 800-34IT コンティンジェンシー計画RTO/RPO 設定と代替手順を連携 NIST – Contingency Planning Guide for Federal Information Systems
ISO 27005組織横断の情報リスク管理ISO 22301/27001 との親和性
国際標準化機構 – ISO/IEC 27005:2022
CIS RAM実装負荷とリスク削減効果のバランス指標中小規模向けにわかりやすいスコアリング
CIS RAM

5-Step リスクアセスメント実践ガイド

Step活動成果物参考 Clause ／ セクション
1資産インベントリ：BIA で抽出した業務を IT 資産にマッピング資産台帳NIST 800-30 §2
2脅威・ハザード特定：自然災害、サイバー、人的、供給網脅威リストISO 27005 7.2
3脆弱性評価：技術・プロセス・人的の 3 層脆弱性一覧NIST 800-30 §3
4影響分析 & リスク定量化：S(Severity) × L(Likelihood) で 5×5 マトリクスリスク登録簿CIS RAM スコアカード
5対策優先付け & リスク許容度設定：回避／低減／転嫁／受容対策ロードマップNIST 800-34 §3
リスクアセスメントテンプレートサンプル
資産・プロセス脅威脆弱性影響(Severity 1-5)発生確率(Likelihood 1-5)リスク値 (S×L)対応策優先度責任部署期日
受注処理システムDDoS攻撃帯域冗長なし4416CDN+WAF導入、BGP Anycast高インフラG2025-06-30
顧客情報DB不正アクセスパスワードポリシー緩い5420多要素認証、監査ログ強化最優先セキュリティG2025-05-31
物流倉庫地震による停電UPS容量不足339UPS増設＋発電機契約中総務部2025-09-30
社内メールサーバランサムウェア最新パッチ未適用5525EDR導入、パッチ自動適用最優先IT運用G2025-05-15




















リスクマトリクス例（5×5）

Likelihood→ / Impact↓12345
112345
2246810
33691215
448121620
5510152025

閾値設定例

  • 1–5：許容可（受容）
  • 6–15：要改善（低減・転嫁）
  • 16–25：即時対応（回避・低減）

経営層 & IT 管理者の責任区分

レベル主担当決定事項
経営層CEO / 取締役会リスク許容度、資金配分
戦略CIO / CISOリスク優先順位、ロードマップ
運用IT 運用部門技術対策、監視、訓練
監査内部監査 / 第三者コンプライアンス評価、改善勧告

30 日スプリント計画

週マイルストーン完了条件
1資産・脅威リスト作成100 % 資産をカテゴリ別登録
2脆弱性評価ワークショップ脆弱性一覧と暫定スコア
3リスク定量化 & マトリクス策定リスク登録簿ドラフト完成
4経営レビュー & 承認許容度・予算確定、改善計画スタート

90 秒アクションチェックリスト

  • NIST SP 800-30 の 5-Step を読了
  • 5×5 リスクマトリクスを経営会議で承認
  • 「高リスク ≥16」案件に対策オーナーを割当
  • リスク登録簿を 30 日ごとに更新・報告

参照リンク一覧

第2回 Step 1: ISO 22301 × FEMA で作る BCP 基本フレームワーク

by 塚井海地 / 0件のコメント

導入

BCP 構築を「感覚」で進めると、いざという時に“絵に描いた餅”になります。国際規格 ISO 22301 の PDCA モデルと FEMA 公式フレームワークをベースに、経営と IT が共通言語で議論できる土台を 4 週間で整備しましょう。​国際標準化機構　FEMA​

ISO 22301 が示す PDCA サイクル

フェーズ主要タスク成果物参照
Plan組織スコープ設定・BIA 実施BIA レポート、BC 方針ISO 22301 Clause 4–6
​国際標準化機構
DoBCM 運用 & 資源配備代替サイト／クラウド DR 構成図同上
CheckKPI／KRI 監視・内部監査監査報告書ISO 22301 Clause 9
Act改善計画・経営レビュー是正／予防記録ISO 22301 Clause 10

FEMA Continuity Planning Framework の 4 要素

FEMA の Federal Continuity Directive は、“Staff & Organization, Equipment & Systems, Information & Data, Sites” の 4 つを軸にリスクを最小化します。
​FEMA – Federal Continuity Directive

ISO 22301 とのマッピング

FEMA 要素ISO 22301 Clause具体的アクション
Staff & Organization5.3, 7.1ロール定義、後継者計画
Equipment & Systems7.2, 8.3クラウド DR、SaaS 冗長
Information & Data7.5暗号化バックアップ、RPO 設定
Sites8.4サテライトオフィス、在宅用 VDI

ガバナンスと責任分担

  • 経営層：BC 方針承認、年間 KPI 設定。
  • BCP 委員会：全社横串で BIA／リスク評価を統括。
  • IT 部門：RTO/RPO 設計、DR テスト主導。
  • 各部門長：代替手順策定、訓練参加率 100 % を担保。
  • 監査部門：年 1 回 ISO 22301 Clause 9 に基づく内部監査。
    ​国際標準化機構

Business Impact Analysis（BIA）の実践

  1. クリティカル業務選定：社内 20–30 プロセスを洗い出し。
  2. 影響尺度設定：財務・顧客・規制・評判の 4 軸。
  3. RTO / RPO 目標化：ISO と FEMA が推奨する“段階式”閾値（≤2h, 2–8h, 8–24h, >24h）。​FEMA – Business Process Analysis and Business Impact Analysis User Guide July 2019
    FEMA – Continuity Resource Toolkit
  4. 優先度付け & 承認：CIO／COO が共同署名。
  5. テンプレート化：次セクションの Excel を利用。

文書化 & 承認フロー

  • ドラフト（BCP オフィサー）→ レビュー（各部門長）→ 承認（取締役会）
  • バージョン管理：NIST SP 800-34 付録 D の“文書統制”を踏襲。
    ​NIST Computer Security Resource Center

30 日アクションプラン

週マイルストーン完了条件
1スコープ確定 & BIA キックオフキックオフ議事録, 責任マトリクス
2BIA データ収集Excel テンプレート 80 % 記入
3RTO/RPO 設定 & ギャップ分析IT/業務ギャップ表 承認
4BCP 草案レビュー取締役会で方針承認

90 秒チェックリスト

  • ISO 22301 Clause 4–6 を読了
  • FEMA Continuity Framework の 4 要素を自社にマッピング
  • BIA テンプレートを全部門へ配布
BIAテンプレートサンプル
業務プロセス目標復旧時間 (RTO)目標復旧地点 (RPO)最大許容停止時間 (MTPD)地震影響パンデミック影響代替手段所要リソース優先度担当部署
受注処理4 時間15 分8 時間高中手動受注フォームクラウドCRM最優先営業部
顧客サポート2 時間0 分4 時間中高在宅サポート回線VPN, コールシステム最優先CS部
財務決算24 時間60 分48 時間低中クラウドERP会計SaaS優先経理部
物流管理8 時間30 分12 時間高中第三倉庫利用WMS, 運送会社優先物流部


















































  • 30 日アクションプランを経営会議に上程

参照リンク一覧

第1回 RTO（Return-to-Office）と災害リスクが交差する 2025 — 現状を読み解く

by 塚井海地 / 0件のコメント

導入

パンデミック収束後、世界の企業の 66 % 以上が「週 1 日以上の出社」を義務化しています。それでも日本は巨大地震・感染症再流行という二重リスクを抱え、単純な出社回帰だけでは事業継続が揺らぎかねません。まずは**“出社義務 × BCP” のギャップ**を定量的に把握することが出発点です。​

RTO/BCPギャップ分析シートサンプル
重要業務機能現行勤務形態BCP整備状況地震対策パンデミック対策ITレジリエンスRTOリスクメモ優先度次のアクション担当者
営業・顧客サポート出社ドラフト部分対応全面対応Tier III データセンター本社が震度6強想定地域に所在。通勤交通寸断の恐れ。高本社ビル耐震補強／営業拠点分散（Q3）営業本部長
基幹業務システム（ERP）ハイブリッド承認済全面対応部分対応クラウド（マルチ AZ）週2日本社勤務必須。VPN容量が逼迫。中DR訓練を5月実施情報システム部長
給与計算リモート部分対応未対応全面対応SaaS在宅PCの性能差が大きい。高SD-WAN冗長化を検討人事部長
データ分析プラットフォームハイブリッド未着手未対応未対応クラウド（シングル AZ）BIツールが単一リージョンに依存。低リージョン間レプリケーション設定データ分析室長
コールセンター出社部分対応全面対応部分対応オンプレミス冗長構成拠点一極集中のため同時被災リスク高。高地方バックアップセンター検討CS部長








































グローバル RTO の潮流（2024–2025）

  • 完全フレックスを維持できた企業は 25 % に減少。​
  • 2/3 の企業が「最低週 1 日」出社を義務化。​
  • McKinsey の 8,426 名調査では、「仕事への集中度」は出社組 34 %、リモート組 29 % と僅差。成果を左右するのは勤務形態より“組織文化”。​

出社回帰を促す 3 つの世界的ドライバー

  1. イノベーション密度の低下（対面コラボ減）
  2. メンタリング機会の不足（とくに Z 世代）
  3. 管理コストの上昇（チーム間サイロ化）

日本企業が抱える 3 つのギャップ

1. 地震リスク × 物理集中

  • USGS は 2023 年 10 月の伊豆諸島群発地震（M5.5 級 ×15 連発） を報告。オフィス集約型企業は「同点同時被災」の確率が高い。​
  • 推奨対策：サテライトオフィス + クラウド DR（マルチ AZ／リージョン）。

2. パンデミック再来リスク × 高密度オフィス

  • WHO の PRET イニシアチブは病原体グループ単位で平時から備える手順を提唱。換気・ゾーニング・休校時テレワーク切替フローが必須。​

3. ハイブリッド雇用 × 制度・文化不整合

  • McKinsey は「RTO 成功のカギは 5 つの実践（コラボ・つながり・イノベ・メンター・スキル開発）」と指摘。​
  • 日本では評価制度・交通費精算・PC サプライチェーンが依然 “出社前提” → オンサイト偏重バイアス が残存。

経営者・役員が取るべき 3 つの視点

視点チェックポイント参照リンク
ガバナンス取締役会に「BCP & RTO」専任 KPI を設置ISO 22301:2019 – Business Continuity Management Systems​
投資サテライト席 × クラウド DR の CAPEX／OPEX 試算AWS Whitepaper – Disaster Recovery of Workloads on AWS
人材管理職の業務設計力を測定し、研修を義務化McKinsey – Returning to the Office? Focus More on Practices and Less on the Policy

90 秒アクションリスト

  • 地震対応：主要業務の RTO（Recovery Time Objective）を再計算。
  • 感染症対応：WHO PRET ベースの階層型マニュアルを整備。
  • 人事制度：在宅／出社を問わず成果 KPI を統一し、交通費精算を再設計。
  • 訓練：FEMA 推奨の年 2 回 BC/DR 演習を RTO シナリオ込みで実施。​fema.gov

まとめ

出社義務は目的ではなく手段。
“オフィス集中”がリスクを高める日本では、地震・感染症・ハイブリッド文化の 3 ギャップを埋めることが 2025 年の最優先課題です。

次回は Step 1: ISO 22301 × FEMA で作る BCP 基本フレームワーク を詳述します。

参照リンク一覧