BIA - Cyber SEC TSM【10/15更新】 | サイバーセキュリティTSM

BIA

業務影響分析（Business Impact Analysis）。NIST SP 800-34 Rev. 1 は、BIA を「業務の機能を分析し、その中断が及ぼしうる影響を調べる過程」としています。BCP や復旧の目標を決めるための出発点です。

何を調べるか

• 業務の洗い出し：組織にどんな業務があり、どれが重要か
• 止まったときの影響：売上、顧客、法令上の義務、安全、信用。時間とともにどう大きくなるか
• 許される停止時間：どこまで止まると取り返しがつかないか（最大許容停止時間、MTD）
• 依存関係：その業務を支えるシステム、データ、人、拠点、取引先
• データの鮮度：どこまで遡ったデータで業務を再開できるか

結果の使い道

BIA で分かること	決めるもの
業務ごとの許される停止時間	システムの目標復旧時間（RTO）
失ってよいデータの量	目標復旧時点（RPO）
業務の優先順位	復旧の順番と、予算の配分
依存関係	一緒に守らなければならない資産の範囲

つまずきやすい点

• IT 部門だけで作ると、業務の実態とずれる。業務の担当者に聞き取る
• 「すべて重要」になりがち。止まったときの影響を、金額や期限で具体的に比べる
• 依存関係の見落とし：認証の仕組み（IAM）、DNS、ネットワークなど、どの業務にも共通する基盤が止まると全部が止まる
• 一度作って終わりにしない。業務やシステムが変わったら見直す

関連するページ

BCP・RTO・RPO・リスクタイプ・CISSPドメイン1 セキュリティとリスク管理

出典

• NIST CSRC Glossary: business impact analysis
• NIST CSRC Glossary: maximum tolerable downtime

確認日：2026年10月14日