ＩＴサービス継続性管理は、事業継続を脅かすＩＴ関連のリスクを管理する活動と言えます。 リスクを管理するためには、まずリスクを識別し、そのレベルを評価しなければなりません。 これをリスクアセスメントと呼んでいます。 一般にリスクレベルは、次のような式で表現されます。
リスクレベル = （資産価値） x （脅威の可能性） x （脅威に対する脆弱性）
ＩＴサービスの資産価値は、サービスの価値と そのサービスを供給するサービス資産の価値の合計です。 サービスそのものの価値の方がサービス資産の価値より大きいことはよくあることです。
例えば、インターネットのショッピング・サイトが、そのサービス供給のために必要な 設備やインフラストラクチャにかかるコストよりも格段に大きな利益を事業にもたらすことがあります。 この時、このサービスの資産価値はサービスが事業にもたらすであろう利益ということに なります。
次に、脅威の可能性について地震という脅威を例に考えてみましょう。次に示す数値は、文部科学省所管の 独立行政法人防災科学技術研究所が公開した地震振動予測のデータです。 横浜市庁舎周辺で今後３０年間に観測される震度の確率を示しています。
震度５弱（多くの人が身の安全を計ろうとする）以上 100 %
震度５強（非常な恐怖を感じる）以上 98.4%
震度６弱（立っていることが困難になる）以上 66.7%
震度６強（立っていることができず、はわないと動くことができない）以上 14.0 %
さらに、地震に対する脆弱性について考えてみます。脆弱性というのは その脅威に対する脆（もろ）さです。ここでは耐震性の高いビルと低いビルの比較で 脆弱性の高低によるリスクの大きさの違いを考えてみます。
気象庁震度階級関連解説表 によると、「鉄筋コンクリート造建物では、 建築年代の新しいものほど耐震性が高い傾向があり、概ね昭和56年（1981年）以前は耐震性が低く、 昭和57年（1982年）以降は耐震性が高い傾向がある。」のだそうです。 以下は、低耐震性と高耐震性の鉄筋コンクリート造建物が、地震によってどのようなダメージを受けるかを 示しています。
震度５弱以上 ：低耐震性（小破）、高耐震性（なし）
震度５強以上 ：低耐震性（中破）、高耐震性（小破）
震度６弱以上 ：低耐震性（大破）、高耐震性（中破）
震度６強以上 ：低耐震性（崩壊）、高耐震性（大破）
小破：壁などに軽微なひび割れ・亀裂がみられることがある
中破：壁などにひび割れ・亀裂がみられることがある
大破：壁などに大きなひび割れ・亀裂が入ることがある
崩壊：壁などに大きなひび割れ・亀裂が入るものが多くなる
中破で８時間程度の停止、大破で１週間程度の復旧時間が必要と仮定した場合、 次のような推測が導き出されます。
地震による８時間程度の停止が今後３０年以内に起こる確率
低耐震性 98.4%（震度５強以上）、高耐震性 66.7 %（震度６弱以上）
地震による１週間程度の停止が今後３０年以内に起こる確率
低耐震性 66.7 %（震度６弱以上）、高耐震性 14.0 %（震度６強以上）
このように脆弱性のレベルによって、脅威のインパクトやその可能性が 変わってきます。これらの結果とビジネス・インパクト分析から得られる、時間経過に 伴って変化するサービスの資産価値を組み合わせることで、 地震という脅威に対するリスクレベルを説明できるようになります。
ＩＴサービス継続性管理は、地震だけではなく事業継続に影響を与える 可能性のあるあらゆるＩＴ関連の脅威に対して リスクアセスメントを行う必要があります。
次回は、2010/03/10 の予定です。
