コラム

こんにちは、デジタルビジネスのシステム運営に関するコンサルティングを担当している河村です。
前回はITサービスマネジメントの概要をご説明しましたが、今回はその中のインシデント管理プロセスをとりあげて書きます。

デジタルビジネスにおけるシステム障害発生のインパクト：
デジタルビジネスは売り上げや利益に直結するケースが多く、システム障害が発生した際のインパクトは膨大です。システムが停止すればユーザーがサービスを利用できなくなり、利用料・課金額の減少や、顧客満足度の低下、リピート率の低下といったことが起こります。中には1つのインシデントが1000万の機会損失につながると見積もられているケースもあり、障害を起こさないこと、起こしてしまった際にはなるべく早く解決することは、経営視点で見ても重要な課題です。
こうしたトラブルを極力減らし、ビジネスへのダメージを最小化するための組織的な改善活動を行うには、発生したトラブルに対して効率的かつ迅速に検出・分析・復旧対応を行い、きちんと記録を残して恒久対応（再発防止、未然防止）につなげる標準的な手法と手順が必要です。これに該当するのが、インシデント管理です。

インシデント管理とは：
インシデント管理についてはITIL®で目的や達成目標、活動内容がまとめられていますが、それ以外にもISO20000の要求事項（ITSMS）や、監査対応時の主なチェックポイントなども参考になります。以下にその概要をまとめます。

ITIL®におけるインシデント管理

• インシデントとは、ITサービスに対する計画外の中断やITサービスの品質の低下、またはサービスにまだインパクトを与えていない構成アイテムの障害をさす
• インシデント管理の目的は、通常のサービス運用を可能な限り迅速に回復させ、事業運営へのマイナスのインパクトを最小限に抑え、合意したレベルのサービスレベルを維持することである
• 「通常のサービス運用」とは、サービスと構成アイテムが、合意済のサービスレベルおよび運用レベルの枠内で機能している運用状態として定義されている
• インシデントに対する効率的かつ迅速な応答、分析、文書化、継続的な管理と報告のために、標準化された手法と手順を使用されるようにする

ISO20000におけるインシデント管理の要求事項の例

• 記録方法、優先度基準、分類、エスカレーションルート、解決・終了基準を定義した、すべてのインシデントに対する文書化された手順をもたなければならない
• インシデントは上記手順に従って管理しなければならない
• インシデント管理プロセスに関与する要員が、関連する情報（手順、既知の誤り、問題解決、CMDB）にアクセスし使用できることを確実にしなければならない
• サービス提供者は、報告されたインシデントの進捗状況について、継続的に顧客に情報を提供しなければならない
• サービス提供者は、重大なインシデントの定義について文書化し、顧客と合意しなければならない
• 経営陣は、重大なインシデントについて通知されなければならない
• 合意されたサービスの回復後、改善の機会を特定するために、重大なインシデントをレビューしなければならない

監査対応時のチェックポイントの例
（内部統制におけるIT全般統制、ITガバナンスにおけるシステム監査）

• 規程・手順書・マニュアルなどが策定されているか、CIOやIT部門長による正式な承認を受けているか
• 規程やマニュアルが関係部門に周知・徹底されているか
• 障害が発生してから対応が完了するまでの時間は適切か、対応作業に必要以上に時間がかかっていないか
• 担当者のスキルに問題はないか、管理者の管理に問題はないか、手順書やマニュアルの内容に不足はないか
• 障害発生時に適時・的確にIT部門長、システムオーナ部門長などに報告されているか、連絡の遅延が発生してないか
• 重大な障害の場合には経営者への報告が適時に行われているか
• 恒久対応まで確実に実施されるように障害報告書の書式になっているか
• 委託先からの障害報告が適切・適時に提出されているか、障害報告の内容は適切か、障害報告の内容をチェックしているか
• 障害の原因が委託先に起因している場合の対応について、定められているか

後編に続きます。