リスク通信：「BCPは経営そのもの ～熊本地震が示した『失われない事業』と複合災害への備え～」

１．はじめに

令和8年7月28日16時27分、熊本県熊本地方を震源とするマグニチュード7.1、深さ16km（いずれも暫定値）の地震が発生し、宇城市と氷川町で最大震度7を観測しました。気象庁は一連の地震活動を「令和8年熊本地震」と命名しています。被災された皆様に心よりお見舞い申し上げるとともに、救助、医療、復旧、生活支援に携わる全ての方々に深い敬意を表します。

このような大規模災害を前にして、BCPについて最初にお伝えしたいことがあります。それは、「BCPは震災対策でもサイバー攻撃対策でもなく、経営そのもの」であるということです。震災対策やサイバーセキュリティ対策は、自社が社会へ提供している重要な製品・サービスを存続させるための手段です。

そして、少々大仰に聞こえるかもしれませんが、BCPの当事者には、「自社および自社の製品・サービスが失われる悲劇から世界を救う」という気概をもって取り組むことが必要であると筆者は考えます。医療、金融、物流、製造、建設、情報通信、生活サービスのいずれであっても、企業が提供している価値は、誰かの日常、仕事、安全、将来を支えているからです。また、特に自然災害や施設損壊においては、いわゆる「極度の貢献者」が一定確率で出現します。そのような「極度の貢献」に報いることのできる企業であるためにも、このような危害は重要であると筆者は考えています。

そこで、今号では、令和8年熊本地震が示した事業停止の連鎖と複合災害・複合事案のリスクを紹介した上で、事業を失わないために必要な対策、現状の棚卸し方法、および、対策実施のロードマップ案をお伝えしたいと思います。なお、本稿は令和8年8月9日10時時点までの公表資料に基づいており、被害状況は今後更新される可能性があります。

２．令和8年熊本地震が示した事業停止の連鎖

気象庁の令和8年8月4日公表の第7報等によると、地震の発生数は増減を繰り返しながら大局的には緩やかに減少しているものの、地震活動は依然として活発な状態が継続しています。揺れの強かった地域では、今後1週間程度、最大震度5強程度以上の地震に注意が必要であり、最大震度6弱程度以上の地震についても平常時と比べると依然として発生しやすい状況です。最初の地震を「本震」と決めつけず、より大きな後続地震も含めて備えなくてはなりません。

消防庁第47報では、8月9日10時時点で、緊急消防援助隊等の活動は地元救急体制を支援する段階へ移行しており、救急部隊5県約100名規模で支援が継続されているほか、累計の救助人員数は98人、救急搬送数は620人、発生していた11件の火災は全て鎮火済み、64件の救助事案は全て対応済みとされています。これは、大規模災害時に広域応援、代替体制、段階的な縮退・引継ぎの仕組みが、現実に人命を支えることを示した事例と言えます。

熊本県等の資料や国土交通省第35報によれば、8月9日時点でも熊本県3自治体で約34,800戸の断水が続き、道路・鉄道の機能低下も継続しています。九州自動車道は8月9日の週に緊急車両の全線通行が可能となる予定で、一般車両も8月後半に一部通行制限付きで全線通行可能となる見込みです。また、九州新幹線の熊本駅～新水俣駅間では構造物の変状が200箇所以上確認され、肥薩おれんじ鉄道八代～水俣間では8月10日を目処に代行バス輸送の開始準備が進められています。一方、熊本空港は7月29日から通常運用に戻っています。拠点が無事であっても、従業員が出勤できない、材料が届かない、製品を出荷できない、水や電力を確保できない、取引先と連絡できない、といった事態が同時に起こり得ます。個々の設備を直すだけでは、事業は戻りません。

過去号を振り返ると、第42号では、能登半島地震がBCPの重要性を改めて思い出させたことに加え、被災者救済を騙った詐欺も想定しなくてはならないと記しました。また、第43号では、サイバーセキュリティ事故発生時の構えとして、緊急時の対応手順と連絡体制、ネットワーク外でのバックアップ、サーバーダウン時の生産継続方法を紹介しました。これらは、サイバー攻撃への対応を自己目的化したものではなく、重要な製品・サービスを提供し続けるために必要なITシステムとデータを存続・復旧させる対策です。

さらに、第40号では、Stuxnetと東日本大震災による福島第一原子力発電所事故の事例を、制御システムのサイバーリスクが現実のものとして広く認識される契機として紹介しました。両者が同時に発生したという意味ではありませんが、自然災害とサイバー攻撃は、原因が異なっていても、重要なIT／OTや事業機能の喪失という同じ結果へ至り得ます。

地震だけを想定していては、地震にも対応できません

地震で緩んだ地盤に雨が重なれば、通常より少ない雨でも土砂災害の危険が高まります。国土交通省と気象庁は、熊本県14市町村では通常基準の7割、熊本・長崎・鹿児島の計12市町では通常基準の8割へ引き下げた暫定基準で土砂災害警戒情報等を運用しており、レベル3土砂災害警報及びレベル2土砂災害注意報についても通常基準より引き下げた暫定基準を設けています。また、真夏の断水・停電・避難は熱中症を増幅させ、道路の寸断は燃料や物資の補給を難しくします。

そこへ、災害対応を装うフィッシング、偽の支援要請、委託先やリモートアクセスを狙う侵入、復旧作業中の設定ミス、ランサムウェアなどが重なれば、少ない要員、通信、電力、代替拠点を複数の事案で奪い合うことになります。なお、これは令和8年熊本地震に便乗したサイバー攻撃が確認されたという意味ではありません。混乱時に重なり得る事案を、平時の演習シナリオへ入れておく必要があるということです。

３．BCPが「経営そのもの」である理由

内閣府の事業継続ガイドラインは、BCPの策定・維持、予算・資源の確保、事前対策、教育・訓練、点検、継続的改善を含むBCMを「経営レベルの戦略的活動」と位置づけています。つまり、計画書はBCPの一部にすぎません。何を守り、何を後回しにし、どこまでの停止を許容し、限られた人員と資金をどこへ投じるかを決めることは、経営判断そのものです。

防災・安全衛生は、人命を守り、負傷や二次災害を防ぐための大前提です。サイバーセキュリティは、重要な情報、ID、IT／OT、通信、データを守り、事業に必要なデジタル機能を存続・安全復旧させるための能力です。そして、BCPは重要な製品・サービスを許容時間内・最低限の水準で継続または復旧する計画、BCMはその能力を経営として継続改善する活動です。

従って、設計の順序は、「守る価値」→「重要な製品・サービス」→「重要業務」→「必要な人・拠点・データ・IT／OT・供給網」→「許容停止時間と復旧目標」→「対策・訓練・改善」となります。この順序を逆にして、サーバ、備蓄品、避難訓練、セキュリティ製品から始めると、対策は増えても事業が続く保証は得られません。出発点は常に、「自社がなくなったら、誰が、いつから、どのように困るのか」です。

４．事業を失わないために必要な対策

以下に示す12項目は、震災対策とサイバー攻撃対策を寄せ集めたチェックリストではありません。重要な製品・サービスを継続するという目的から逆算した、経営としての対策です。

経営方針と責任を明確にする：経営者は、人命、顧客への供給責任、地域の重要機能等、危機時に守る価値を明文化します。その上でBCM責任者を任命し、事業、製造・サービス、IT、OT、セキュリティ、人事、総務、調達、物流、財務、法務、広報を横断する体制を整え、目標と予算を承認します。

BIAで重要な製品・サービスと重要業務を絞る：全てを同時に守ろうとすると、結局どれも守れません。BIA（事業影響度分析）により、停止時間が延びたときの人命、顧客、社会、法令、財務、信用への影響を評価し、優先的に継続・復旧する対象を決めます。売上だけでなく、代替可能性、公共性、顧客の安全、サプライチェーンへの波及も含めます。

なお、対象の選定にあたって、BIAによる客観的な評価が必要であることは言うまでもありませんが、例外も存在します。例えば、売り上げは少ないが人命の維持に関わる製品やサービス、自社を支えてくれる地元の皆様や共同体に欠くことのできない製品やサービス、または、自社が存在意義と位置付けている事業など、数値だけでは割り切れない事情が存在する場合には、経営者の決断が必要になります。実際、前記のような事業を最優先対象としている有名企業のBCPを筆者も目の当たりにしたことがあります。

復旧目標を一体で決める：MTPD（最大許容停止時間）、RTO（目標復旧時間）、RLO（目標復旧レベル）、RPO（目標復旧時点）を事業とITで整合させます。「4時間で復旧」だけでなく、4時間後に平時の何％を、どの顧客へ、どの時点のデータで提供するのかまで決める必要があります。

依存関係と単一障害点を可視化する：重要業務ごとに、キーパーソン、拠点、設備・金型、原料・部品、水・電力・燃料、通信、データ、IT／OT、クラウド、委託先、物流、決済、認証局や暗号鍵までをつなげて描きます。同じ地域、変電所、通信局舎、クラウド事業者、ID基盤へ依存する「見かけ上の二重化」を見抜くことが重要です。

複合災害・複合事案を結果事象で設計する：原因別の分厚い手順書より、「拠点が使えない」「要員が半減する」「通信が使えない」「データの完全性を信用できない」「主要供給者が止まる」といった結果事象に共通して有効な戦略を用意します。想定外をなくすのではなく、想定と違っても動ける力をつくります。

人命保護と要員継続を分けずに考える：安全確認なしに出社・現場復帰を急がせてはいけません。本人と家族の安否、住居・交通、介護・育児、暑熱、睡眠、心理的負担を考慮し、交代要員と休養を確保します。指揮者が不在でも動けるよう、権限代行順位、判断記録、連絡不能時のルールを明確にします。

代替業務・代替拠点・手作業を実装する：代替拠点は、住所を契約しただけでは機能しません。誰が、いつ、どの端末・回線・データを使い、何件を処理できるかを試します。遠隔勤務、他拠点への業務移管、同業・取引先との相互支援、紙や電話による限定運用に加え、通常運用へ戻す際の重複、欠落、誤送信を防ぐ復帰手順も必要です。

供給網を自社の外側までつなげる：重要供給者の所在地、下位供給者、在庫、代替材料、専用設備、物流経路、復旧目標を把握します。「BCPあり」という回答だけで終わらせず、代替先の切り替え時間、品質承認、型・図面・ソースコード・鍵の引継ぎ、緊急発注権限を確認し、情報共有と共助の仕組みを平時に構築します。

IT／OTとサイバーセキュリティを事業存続へ結びつける：サイバーセキュリティ対策の目的は、セキュリティを強化すること自体ではありません。事業継続に必要なIT／OTシステム、データ、通信、ID、鍵を存続させ、停止時には安全な状態へ復旧させることです。重要な製品・サービスから必要システムを対応づけ、冗長化、分離、多要素認証、特権ID管理、監視、脆弱性管理を重要度に応じて行います。

バックアップは地理的に分散し、オフラインまたは変更不可能な世代を確保して、攻撃者が入手し得る認証情報から分離します。

取得成功だけでなく、クリーン環境への復元、マルウェア除去、ID・鍵の再発行、データ整合、手作業データとの再同期までを定期的に試験します。

災害時の臨時リモート接続、ベンダ保守、例外権限、変更凍結解除を記録し、混乱に便乗した侵入を防ぎます。

重要情報・記録と資金を守る：契約、顧客・従業員情報、設計図、製造条件、ソースコード、会計・決済、法定記録、連絡先等の重要情報を特定し、同一事象で同時に失われない場所へ保管します。収入が止まっても給与、仕入、復旧費は発生するため、手元資金、緊急融資枠、保険、支払権限、銀行・会計システム停止時の手順も含めます。

危機広報と情報共有を止めない：初報の期限、発信責任者、承認代行、顧客・従業員・取引先・当局・地域別の連絡先、WebやSNSが使えない場合の代替媒体を決めます。事実、未確認事項、見込み、次回更新時刻を分けて発信し、沈黙による「情報のブラックアウト」を避けます。

訓練で能力を測り、経営が改善する：連絡訓練だけで終えず、意思決定、代替拠点、手作業、バックアップ復元、取引先連携、危機広報まで段階的に試します。訓練で失敗を見つけることは成功です。見つかった課題に責任者と期限を付け、事業戦略や予算と同じ経営会議で見直します。

５．複合災害・複合事案への備え

BCPは、「地震」「豪雨」「サイバー攻撃」を別々の冊子に閉じ込めず、同時発生や連鎖を前提に設計する必要があります。次の表は、令和8年熊本地震でサイバー攻撃が確認されたという記述ではなく、企業が備えるべき演習例です。自然災害対策本部とCSIRTを連携させて動かすだけでなく、限られた人員、通信、電源、経営判断を統合することが狙いです。

演習では、①原因ではなく影響でBCPを発動できるか、②自然災害対応とサイバー対応の指揮系統を束ねられるか、③人、通信、電源、代替拠点、復旧ベンダを複数事案で奪い合う状況に耐えられるか、④復旧したシステムが「動く」だけでなく清浄で正しく、データが整合していると確認できるか、⑤利害関係者へ事実と見込みを分けて継続発信できるか、の5点を必ず確認します。

６．現状の棚卸し

棚卸しをサーバ台帳や備蓄品一覧から始めることは避けなくてはなりません。最初に確認するのは、「自社の何が失われると、誰にどのような悲劇が起きるか」です。製品・サービスから業務、経営資源へ下り、現状能力を証拠で確認した後に対策へ進みます。

7段階の棚卸し手順

準備：経営責任者、事務局、対象範囲、評価基準、期限を決めます。全社一斉ではなく、重要度の高い事業から始めます。

価値の棚卸し：製品・サービス、顧客・利用者、社会的役割、失われた場合の影響、代替可能性を一覧化します。

BIA：停止が2時間、1日、3日、1週間、1か月続いた場合の人命、顧客、法令、財務、信用、供給網への影響を評価します。

目標設定：重要な製品・サービスと重要業務を選び、MTPD、RTO、RLO、RPO、優先順位を経営が仮決定します。

依存関係：人、拠点、設備、水・電力・通信、データ、IT／OT、クラウド、供給者、物流、資金、当局・地域とのつながりを可視化します。

能力確認：代替手順、冗長化、在庫、バックアップ、連絡網、契約を「ある／ない」ではなく、最終試験日と実測時間で確認します。

ギャップ決定：目標と実測の差、単一障害点、複合シナリオの不足を、影響、緊急度、費用、実施難易度で並べ、責任者と期限を付けます。

最低限そろえる棚卸し成果物

対策候補は、①人命・社会・法令への影響、②MTPD超過までの時間、③単一障害点か、④代替策の有無、⑤サプライチェーンへの波及、⑥投資効果で評価します。人命や重大な社会影響に直結し、代替がなく、短期間で許容限界を超えるものを最優先とします。棚卸し結果は、「文書がある」ではなく、「決めてある」「使える」「時間内にできる」「証拠がある」の4段階で評価することが望ましいです。

７．対策実施のロードマップ案

完璧なBCPを一度に作ろうとすると動けません。まず、人命と重要サービスの致命的な穴を塞ぎ、90日で経営判断に必要な全体像をつくり、1年で複合災害に耐える実証済みの能力へ引き上げます。

最初の90日で先送りしてはならない事項

人命に関わるサービス、法定・社会インフラ機能、主要顧客への供給の優先順位を経営が決めます。

重要サービスのRTO／RLO／RPOと、現状の実測復旧時間との差を把握します。

バックアップから復元し、ID・鍵・ネットワークを含むクリーン復旧が成立することを確認します。

単一の人、拠点、回線、クラウド、供給者、設備、物流経路に依存する致命的な点を洗い出します。

経営者・責任者不在、通信断、休日・夜間でも発動できる代行と連絡方法を確認します。

地震＋豪雨＋サイバー攻撃の机上演習を実施し、意思決定上の衝突を見つけます。

取締役会・経営会議が確認する主なKPI／KRI

重要サービス目標設定率：MTPD／RTO／RLO／RPOを経営が承認した重要サービスの割合

目標内復旧達成率：訓練・実障害でRTOとRLOを同時に達成できた割合

復元成功率・クリーン復旧時間：有効なバックアップから安全に業務再開できる能力

重大単一障害点数：代替のない人、拠点、設備、IT、供給者等の件数と解消期限

重要供給者確認率：復旧目標、下位依存、代替・連絡の実効性を確認できた割合

初報所要時間：危機発生から利害関係者への最初の公式発信までの時間

重大課題期限超過数：訓練・監査で判明した高リスク課題が期限を超過している件数

８．おわりに

今号では、令和8年熊本地震が示した事業停止の連鎖を踏まえ、BCPが震災対策やサイバー攻撃対策に限定されるものではなく、経営そのものであることを述べました。そして、複合災害・複合事案への備え、事業を失わないための12の対策、現状の棚卸し、および、対策実施のロードマップ案を紹介しました。

施設、交通、通信、水、電力、IT、供給網、人は、別々に止まるとは限りません。一度復旧しても、後続地震、雨、暑さ、サイバー攻撃によって再び機能を失う可能性があります。従って、BCPを「地震のときに総務が開く冊子」や「ランサムウェアのときにIT部門が使う復旧手順」に矮小化してはいけません。

「自社および自社の製品・サービスが失われる悲劇から世界を救う」という気概を、標語で終わらせず、BIA、復旧目標、代替手段、供給網、バックアップ、資金、危機広報、訓練という具体的な能力へ変えることが必要です。浮足立つことなく、ゴールを明確にして、一つずつ対策を積み上げていくことが重要です。

まずは、①当社と当社の製品・サービスが失われたら、誰がどのように困るのか、②絶対に守る価値と重要サービスは何か、③それを何時間以内・どの水準まで戻せることを今日の証拠で示せるか、の3点を経営会議で確認することから始めてみてはいかがでしょうか。

今回紹介した内容が、各組織における実効性のあるBCP／BCMへの取り組みに少しでもお役に立てば幸いです。

最後までお読みいただきありがとうございました。

参考記事・文献：

・気象庁「『令和8年熊本地震』について（第7報）」（令和8年8月4日）　https://www.jma.go.jp/jma/press/2608/04b/202608041600.html

・総務省消防庁「令和8年熊本地震による被害及び消防機関等の対応状況（第47報）」（令和8年8月9日10時00分）　https://www.fdma.go.jp/disaster/info/items/7595b20c947c985d45f6a34374b5f9ef31efbf94.pdf

・熊本県「令和8年熊本地震に関する情報」　https://www.pref.kumamoto.jp/soshiki/1/274517.html

・国土交通省「令和8年熊本地震による被害状況等について（第35報）」　https://www.mlit.go.jp/common/002016079.pdf

・内閣府「事業継続ガイドライン―あらゆる危機的事象を乗り越えるための戦略と対応―」（令和5年3月）　https://www.bousai.go.jp/kyoiku/kigyou/pdf/guideline202303.pdf

・経済産業省・IPA「サイバーセキュリティ経営ガイドライン Ver 3.0」（令和5年3月）　https://www.meti.go.jp/policy/netsecurity/downloadfiles/guide_v3.0.pdf

・国家サイバー統括室「重要インフラのサイバーセキュリティに係る行動計画2025」　https://www.cyber.go.jp/pdf/policy/infra/cip_policy_2025.pdf

・中小企業庁「事業継続力強化計画 策定の手引き」　https://www.chusho.meti.go.jp/keiei/antei/bousai/download/keizokuryoku/tebiki_tandoku.pdf

・リスク通信第40号「物理的な隔離を乗り越えるサイバー攻撃」（令和6年10月）

・リスク通信第42号「激動の時代のサイバーセキュリティ」（令和6年12月）

・リスク通信第43号「『サイバーセキュリティ対策による企業格付け』発足に向けて」（令和7年2月）

・リスク通信第48号「中小企業・中堅企業が今行わなくてはならないこと」（令和7年7月）

・Cyber Resilience「南海トラフ地震臨時情報のその後―『お盆の空騒ぎ』にしてはいけない理由―」（令和6年8月）　https://cyber-resilience.co.jp/…

・Cyber Resilience「BCPとサイバーセキュリティ対策を掛け合わせた最強の事業継続戦略」（令和7年2月）　https://cyber-resilience.co.jp/2025/02/14/bcp/

・Cyber Resilience「台風の時期―『災害×サイバー』の複合リスク、想定していますか？」（令和7年8月）　https://cyber-resilience.co.jp/…

・RISK REPORT第53号「サイバー攻撃による大規模被害に見る最新のサイバーセキュリティリスクと対策」　https://cyber-resilience.co.jp/2025/12/05/cyberriskreport53/

・RISK REPORT第54号「サイバーセキュリティ2025年の漢字」　https://cyber-resilience.co.jp/2026/01/07/cyberriskreport54/

―以上―