[論文レビュー] Criticality estimation of IT business functions with the Business Continuity Testing Points method for implementing effective recovery exercises of crisis scenarios

Αθανάσιος Ποδάρας, Zizka, Tomas|arXiv (Cornell University)|Nov 22, 2013

Information Technology Governance and Strategy参考文献 25被引用数 4

ひとこと要約

本稿では、複数のリスク要因に基づく回復時間の評価にUse Case Points手法を応用することで、ITビジネス機能の重要度を定量的に推定するためのBusiness Continuity Testing Points (BCTP) 法を紹介する。この手法は、回復に影響を及ぼす要因を体系的に評価することにより、主観的判断への依存を低減し、より的確で的確な危機回復訓練を可能にする。

ABSTRACT

The primary goal of the present paper is the introduction of a new approach of defining IT unit business functions exact criticality levels and respectively categorize them to the appropriate recovery tests, prior to their thorough documentation which includes actual desired recovery time frames. The method is entitled as Business Continuity Testing Points and it is based on the concept of Use Case Points, a fundamental project estimation tool utilized for sizing of object-oriented system development. The aim of the contribution is to ameliorate the existing manual way of determining recovery time of IT business functions that is based exclusively on experience of IT personnel, by introducing a calculation method of multiple factors that can negatively affect the recovery process. The elimination of damage as a result of tested immediate response action in a crisis situation that disrupts core IT operations constitutes the aimed advantage of the proposed contribution

研究の動機と目的

• 災害回復計画におけるITビジネス機能の重要度を決定する標準的で客観的な手法の不足に対処すること。
• IT担当者が経験に基づいて回復時間を推定するのへの依存を減らすこと。
• IT機能の回復時間に影響を与える要因を定量化する繰り返し可能な計算フレームワークを構築すること。
• 各機能の重要度レベルに応じて適切な回復テストを分類できるようにすること。
• 実際の機能の重要度に合わせてテストの強度を調整することで、危機回復訓練の効果を高めること。

提案手法

• ソフトウェア開発分野のUse Case Points (UCP) 評価手法を応用し、ITビジネス機能の重要度を評価する。
• データ量、システム依存関係、複雑さなど、回復時間を悪影響を与える要因を特定し、定量的に測定する。
• 各要因が回復期間に与える影響に基づき、重み付きスコアを付与する。
• 個々の要因スコアを組み合わせ、各IT機能の統合的重要なスコアを算出する。
• 得られたスコアをもとに、機能を回復テストのカテゴリー（例：RTOに基づくテストレベル）に分類する。
• 業務継続計画の事前文書作成段階にこの手法を統合し、回復時間枠組みの定義を支援する。

実験結果

リサーチクエスチョン

• RQ1 経験に基づく判断とは異なり、ITビジネス機能の重要度をどのようにより客観的に推定できるか？
• RQ2 危機的状況下でのIT機能の回復時間に顕著に影響を与える測定可能な要因は何か？
• RQ3 標準的で計算可能な手法が、回復訓練の選定および設計をどのように改善できるか？
• RQ4 BCTP手法は、従来の手動的手法と比較して、一貫性および信頼性の面でどのように異なるか？
• RQ5 この手法が、機能の重要度に基づいた回復テストの優先順位付けをどの程度支援できるか？

主な発見

• BCTP手法は、測定可能なリスク要因を用いて、構造的かつ繰り返し可能なIT機能重要度推定フレームワークを提供する。
• 回復に影響を与える要因に重み付きスコアを適用することで、重要度評価におけるばらつきと主観性が低減される。
• このアプローチにより、適切な回復テストに向けた機能の分類がより正確に可能となり、訓練の関連性が向上する。
• 本手法により、業務継続計画の完全な文書化の前段階で現実的な回復時間目標（RTO）を定義できる。
• 計算モデルの使用により、危機準備における重要度意思決定の透明性と監査可能性が向上する。
• 本手法は、IT部門全体における業務継続計画の標準化と効率化の可能性を示している。