【SaaS企業1,021人調査】ISO27001の取得・準備率は約8割に達するも、BCP策定完了は45％止まり。システム復旧と「組織対応」の間に潜む壁
ISOプロ
有事の顧客サポート体制に課題。BCPに不安を抱えるSaaS企業の5割超が『問い合わせ窓口の機能維持』を挙げる
株式会社ISOプロ（本社：東京都新宿区、代表取締役：米田 泰三）は、自社開発のBtoB向けSaaS・クラウドサービスを提供する企業の経営者・役員、システム運用・インフラ責任者を対象に、「SaaS企業におけるシステム停止リスクと事業継続」に関する実態調査を行いました。
近年、企業のDX推進によりSaaSやクラウドツールが普及し、業務を支える欠かせないインフラとなっています。
一方で、気象庁のデータによれば、「1時間降水量50mm以上」の雨の発生回数は、最近10年間（2016～2025年）の平均が統計期間の最初の10年間（1976～1985年）と比べて約1.5倍に増加しており*、自然災害の激甚化が続いています。
さらに、巧妙化するサイバー攻撃やクラウド基盤の障害など、SaaS企業においてシステム停止を招く脅威は多様化しています。
*参考：気象庁「全国の1時間降水量50mm以上の年間発生回数」
https://www.data.jma.go.jp/cpdinfo/extreme/extreme_p.html
顧客企業の業務停止に直結するSaaS企業にとって、SLA（稼働率保証）を維持し、サービスを止めないための「BCP（事業継続計画）」の策定は急務です。
有事の際の指揮命令系統や顧客対応といった組織的な運用体制の整備は、どこまで実効性を持っているのでしょうか。
そこで今回は、SaaS企業を対象に、システム停止リスクへの意識やBCP策定・ISMS取得の実態、有事の運用体制における課題感を調査しました。
懸念される事業影響の1位は「損害賠償請求」。SaaS企業が直面するシステム停止リスクと多角化する脅威
[画像1:
https://prcdn.freetls.fastly.net/release_image/180773/7/180773-7-263bb0daa5ae2090399f14084bf61914-1920x1280.png?width=536&quality=85%2C75&format=jpeg&auto=webp&fit=bounds&bg-color=fff ]
はじめに、「自社サービスのシステム停止や大規模障害を招く要因として、リスクを感じているもの」について尋ねたところ、『サイバー攻撃（ランサムウェア、DDoS攻撃、不正アクセスなど）（58.6％）』が最も多く、『地震・津波などの大規模な自然災害（50.1％）』『台風・豪雨・落雷などの気象災害（43.5％）』となりました。
約6割がサイバー攻撃を挙げており、近年のランサムウェア被害の増加などが危機感を高めていると考えられます。
次いで、自然災害や気象災害も上位に挙がり、外部からの攻撃だけでなく、多様な脅威に対して多角的な備えを迫られている実態が推察されます。
次に、前の質問で「リスクを感じているものはない」と回答した方以外に、「システム停止や大規模障害が発生した際、自社サービスにおいて懸念しているリスク」について尋ねたところ、『顧客企業の業務停止に伴う損害賠償請求（48.5％）』が最も多く、『顧客からの信用失墜と解約の増加（43.8％）』『SLA（稼働率保証）違反によるペナルティの発生（42.5％）』となりました。
上位3項目を見ると、自社内のシステム復旧コストや業務遅延よりも、顧客に波及する影響を懸念していることがわかります。
顧客への直接的な被害は自社の信用問題に直結するため、一度の障害が長期的な事業存続を揺るがすリスクとして認識されていると考えられます。
「ISO27001」は取得・準備中を含め約8割に達する一方、BCP策定は遅れ気味？未着手の企業を阻むリソース不足
次に、「自社でISO27001を取得しているか」と尋ねたところ、以下のような回答結果になりました。
[画像2:
https://prcdn.freetls.fastly.net/release_image/180773/7/180773-7-b8cfb1a4e5329da1d0bef6456d5a44f1-1920x1280.png?width=536&quality=85%2C75&format=jpeg&auto=webp&fit=bounds&bg-color=fff ]
『取得している（47.9％）』と『現在、取得に向けて準備・申請中である（32.4％）』を合わせると約8割に達し、SaaS企業において情報セキュリティマネジメントシステムの構築が標準要件になりつつあることがうかがえます。
さらに、「検討中・今後取得予定」の回答を含めると9割を超え、大多数の企業がセキュリティ認証の必要性を認識している状況です。
次に、「自社でBCPを策定しているか※BCP（事業継続計画）とは、自然災害や感染症、サイバー攻撃などの緊急事態に直面した際、重要業務を止めない、あるいは中断しても早期に復旧させるための方針や手順をまとめた計画のこと」と尋ねたところ、『策定済みである（45.0％）』と回答した方は半数に満たず、ISO27001の取得状況と比較するとやや遅れをとっていることが明らかになりました。
とはいえ、『現在策定中である（40.0％）』や『策定を検討中、または今後策定する予定がある（9.0％）』も含めると約9割が取り組みを進めており、事業継続への問題意識自体は広く浸透していると考えられます。
[画像3:
https://prcdn.freetls.fastly.net/release_image/180773/7/180773-7-90dcc0be7f5d74ed3bd92cd6152aba0d-1920x1280.png?width=536&quality=85%2C75&format=jpeg&auto=webp&fit=bounds&bg-color=fff ]
次に、BCPを「策定済み」「現在策定中」「策定を検討中・今後策定予定」と回答した方に、「BCPを策定・運用する（しようと考えた）目的や期待する効果」について尋ねたところ、『SLA（稼働率保証）違反や信用失墜リスクの回避（51.6％）』が最も多く、『顧客からの要請（セキュリティ要件など）のクリアと信頼向上（49.4％）』『災害時の指揮命令・初動対応の迅速化（43.3％）』となりました。
上位の回答から、BCP策定の主な動機が自社の事業継続以上に、「顧客への責任を果たすこと」にあることがうかがえます。
BtoB SaaSでは、自社のシステム停止が顧客企業の業務に直結するため、SLAの遵守や顧客からの要請に応えるといった、対外的な信頼の維持が最優先事項として捉えられていると考えられます。
また、「災害時の初動対応の迅速化」も上位に続き、有事の際の被害の最小化も重視されていることが明らかになりました。
次に、BCPの「策定を検討中・今後策定予定」「策定予定はない」と回答した方に、「BCPを策定していない（策定が進んでいない）理由」について尋ねたところ、『専門知識やノウハウを持つ人材がおらず、何から手をつければよいかわからない（29.4％）』が最も多く、『必要性は感じているが、通常業務が忙しく策定に割く人員や時間が不足している（28.8％）』『過去に大きな障害経験がなく、事業影響（SLA違反など）も少ないと考えている（28.1％）』となりました。
人材や時間などのリソース不足が、BCPの策定を阻む主な要因であることが判明しました。
また、過去の障害経験の乏しさから優先度が下がっているケースも一定数見られ、万が一の備えの必要性を社内でどう共有し理解を得るかが課題になっていると考えられます。
BCP「策定済み・策定中」企業の多くが有事の運用体制に不安。システムは無事でもSaaS特有の激しい環境変化で浮き彫りになる「形骸化」の壁
ここからは、BCPを「策定済み」「現在策定中」と回答した方にうかがいました。
「策定済み（策定中）のBCPは、システムの復旧手順だけでなく、災害時の指揮命令系統や顧客対応など組織としての運用体制まで網羅されているか」と尋ねたところ、以下のような回答結果になりました。
[画像4:
https://prcdn.freetls.fastly.net/release_image/180773/7/180773-7-af8022a54d0df762ccafadbc3e0bc17f-1920x1280.png?width=536&quality=85%2C75&format=jpeg&auto=webp&fit=bounds&bg-color=fff ]
BCPを策定済み・策定中の企業で『システム復旧・組織面の対応ともに十分に網羅されており、実効性が高い（39.5％）』と回答した方は約4割で、約6割が「組織面の対応」に何らかの課題を抱えていることが示されました。
中でも『システム復旧は網羅されているが、組織面の対応には改善の余地がある』の回答が最も多く、SaaS企業という特性上、サービスの根幹を担う技術的な復旧計画が優先的に規定される傾向にあることが読み取れます。
一方で、有事の際に手順を実行し、顧客案内や社内の意思決定を行う運用体制までを実効性のある計画に落とし込むことには多くの企業が壁を感じており、システム復旧と組織対応の策定進捗にギャップが生じている実態がうかがえます。
次に、前の質問で「組織面の対応には改善の余地がある」「組織面の対応は不十分である」「システム面・組織面ともに不十分である」と回答した方に、「策定済み（策定中）のBCPで対策が不十分だと感じる領域」について尋ねたところ、『災害時の顧客サポート・問い合わせ窓口の機能維持（50.9％）』が最も多く、『担当者が被災した際の代替要員の確保（属人化の解消）（44.9％）』『クラウド基盤やデータセンターの広域障害を想定した代替手順（38.1％）』となりました。
上位の回答から、現状のBCPに改善の余地があるとする企業のうち、半数以上が有事における「対外的な顧客対応」と「人的リソースの確保」に課題を抱えていることが明らかになりました。
特に、半数以上が「顧客サポート・問い合わせ窓口の機能維持」を挙げています。
BtoB SaaSの場合、自社システムの障害は顧客企業の業務停止に直結するため、迅速な状況報告や復旧見込みのアナウンスが不可欠です。
しかし、次点に「代替要員の確保」が続く通り、特定の担当者が被災した有事の混乱下でも、情報発信やサポートを継続できる人員体制の構築こそが、SaaS企業が直面する課題として浮き彫りになっています。
[画像5:
https://prcdn.freetls.fastly.net/release_image/180773/7/180773-7-0cf72f3a887976a309d669ff5b7f5d85-1920x1280.png?width=536&quality=85%2C75&format=jpeg&auto=webp&fit=bounds&bg-color=fff ]
続いて、BCPを「策定済み」「現在策定中」と回答した方に「BCPの策定・運用における課題」について尋ねたところ、『定期的な実践訓練の実施や、形骸化を防ぐアップデート体制の構築（45.6％）』が最も多く、『策定プロセスの複雑さや通常業務を圧迫する手間（42.3％）』『システムの頻繁な仕様変更やアップデートにBCPの更新が追いつかない（37.1％）』となりました。
アップデート体制の構築や通常業務への圧迫、頻繁なシステム仕様変更に更新が追いつかないといった声から、BCPを常に最新で有効な状態に保つことの難しさがうかがえます。
特に、変化の激しいサービス環境においては、いかに運用負荷を抑えつつ実効性を保つ仕組みを作るかが課題になると考えられます。
属人的な管理からの脱却へ。実効性のあるBCP運用に「ISO22301」や「外部コンサルティング」を有効とする声が多数
[画像6:
https://prcdn.freetls.fastly.net/release_image/180773/7/180773-7-f42dc3a64ac5ff1d9c3265359a3b8a9a-1920x1280.png?width=536&quality=85%2C75&format=jpeg&auto=webp&fit=bounds&bg-color=fff ]
最後に、全回答者に「実効性のあるBCPを策定し、組織の運用体制を構築していく上で有効だと思う仕組みや支援」について尋ねたところ、『ISO27001（ISMS：情報セキュリティマネジメントシステム）の導入・取得（39.7％）』が最も多く、『ISO22301（BCMS：事業継続マネジメントシステム）の導入・取得（37.6％）』『外部の専門コンサルティングによる客観的な評価・支援（37.5％）』となりました。
※ISO27001（ISMS）とは：情報の機密性・完全性・可用性を維持し、サイバー攻撃などの脅威から守るための国際規格です。
※ISO22301（BCMS：事業継続マネジメントシステム）とは：自然災害やシステム障害などの緊急事態が発生した際に、事業を継続・早期復旧させるための体制（事業継続マネジメントシステム）を構築・運用するための国際規格です。
前半の調査結果において、ISO27001の取得企業（準備中含む）は約8割に達していました。
しかし、本設問でその導入を有効な解決策として挙げた割合は4割弱にとどまっています。
この背景には、セキュリティの土台はすでに整えつつあるものの、それを「有事の組織的な対応力」にまで昇華させることへの難しさが潜んでいると言えるでしょう。
事実、BCPの構築に特化した規格である「ISO22301」や「外部コンサルティングによる評価・支援」を有効とする声が、ISO27001とほぼ同水準で並びました。
自社独自のノウハウや既存のルールだけでは実効性を保つことに限界を感じており、新たなフレームワークの追加導入や客観的なプロの視点を取り入れることで、属人的な管理からの脱却を目指す意図が読み取れます。
第三者の知見を活かしながら、複雑化するクラウド環境にも適合した実践的な運用体制を模索している企業が多いのではないでしょうか。
【まとめ】システム復旧から組織的対応へ。SaaS企業に求められる事業継続体制の再構築
今回の調査で、BtoB SaaS企業が直面するシステム停止リスクへの強い危機感と、その対策における実態が浮き彫りになりました。
サイバー攻撃や自然・気象災害といった多様な脅威に対し、多くの企業が「顧客企業の業務停止に伴う損害賠償請求」や「信用失墜」「SLA違反」といった事業影響を懸念しています。
その防衛策として、「ISO27001」の取得はすでに業界の標準となりつつあり、BCPの策定を進める企業も全体の8割以上に達しました。
対外的な責任の遂行と信頼の維持を目的として、各社が対策を進めている様子がうかがえます。
一方で、策定されたBCPの中身に目を向けると、「システム復旧手順」は網羅されているものの、顧客対応や意思決定といった「組織としての運用体制」に多くの企業が課題を残していることがわかりました。
さらに、SaaS特有の頻繁なシステムアップデートにBCPの更新が追いつかない点や、定期的な実践訓練の不足など、計画を形骸化させずに運用し続けることの難しさも浮き彫りになっています。
これらの結果を踏まえると、企業には技術的なバックアップ体制にとどまらず、有事の際に組織がどう動き、顧客とのコミュニケーションをどう維持するかという包括的なマネジメント体制の構築が急務であるといえます。
自社単独での対応に限界がある中、「ISO22301」などの国際規格が提供するフレームワークの導入や、外部の専門的な支援を取り入れていくことが、実効性の高い事業継続体制を確立するためのカギとなりそうです。
「ISO」の新規取得・運用サポートなら『ISOプロ』
[画像7:
https://prcdn.freetls.fastly.net/release_image/180773/7/180773-7-43d73603d70d4b900ceccf10653a27e3-512x117.png?width=536&quality=85%2C75&format=jpeg&auto=webp&fit=bounds&bg-color=fff ]
今回、「SaaS企業におけるシステム停止リスクと事業継続」に関する実態調査を実施した株式会社ISOプロは、ISOの新規取得・運用サポートサイト『ISOプロ』（
https://activation-service.jp/iso/）を運営しています。
自然災害やシステム障害など、予測できない非常事態が発生した際にもサービスを止めないための事業継続計画（BCP）の国際規格「ISO22301」や、情報セキュリティの国際規格「ISO27001（ISMS）」。
重要性は理解していても、「自社にノウハウがない」「通常業務が忙しくて手が回らない」とお悩みの企業様に向けて、株式会社ISOプロでは、実効性のあるルールの構築から審査対応までを徹底サポートいたします。
■ISOプロが提供する具体的な支援内容
ISO27001（ISMS）およびISO22301の新規取得・運用支援
規格の要件を満たしつつ、SaaS企業特有のシステム環境やビジネスモデルに合わせた「形骸化しない」マニュアル・帳票を作成します。
ISMSとBCPを組み合わせた統合的な運用サポートも可能です。
自社工数を大幅に削減する「作業代行」
コンサルタントが実際の文書作成やタスク管理などの実務を代行し、社内担当者の負担を最小限に抑えます。
累計2,000件以上の支援実績
IT・SaaS企業をはじめ、業種・規模を問わず累計2,000件以上のISO取得・運用をサポートしてきた専門ノウハウを提供します。
■料金プラン
・ISO27001 新規取得・運用サポートの場合
月額：40,000円～
※企業規模（30名未満・30～500名未満・500名以上）や対象拠点数、既存の文書状況に応じて最適なプランをお見積りいたします。
高額な一括払いではなく、月額制でコストを平準化しながら無理なく導入いただけます。
・運用改善サポート（現在ISO27001を運用中の方）
月額：50,000円～
月額：50,000円～
※文書・帳票のスリム化については別途料金が発生します
SLA維持や顧客からの信頼獲得に向け、強固な組織体制の構築をご検討の際は、ぜひISOプロにご相談ください。
ご相談はこちら
サービスの詳細はこちら
【完全版】ISO27001（ISMS）とは？概要や取得方法を簡単に解説
「ISO27001」とは、「情報セキュリティの管理に関する国際規格」です。
2005年にISO（国際標準化機構）とIEC（国際電気標準会議）が共同で制定しました。
「ISO27001」の目的は、「機密性」「完全性」「可用性」の3つの要素を維持し、企業の情報セキュリティ管理体制を強化することにあります。
詳細はこちら：
https://activation-service.jp/iso/column/306
ISO22301（BCMS）とは？概要やメリット、取得企業まで徹底解説
「ISO22301」とは、事業継続マネジメントシステム（BCMS）に関する国際規格です。
自然災害や感染症、ITシステムの障害などの予測できない非常事態が発生した際にも、事業を継続あるいは中止後にも早期復旧できる体制を構築するために制定されました。
詳細はこちら：
https://activation-service.jp/iso/column/7377
『ISOプロが訊く』ISO取得企業へのインタビュー掲載中
ISOを取得した企業様へのインタビュー企画です。
ISOを取得した理由や取得する上での課題、ISOを取得して何が変わったのか、ISO運用企業様の生の声をぜひご覧ください。
ISOプロが訊く：
https://activation-service.jp/iso/interview
ISO・HACCPコンサルタント募集中
ISOプロでは、全国各地のISO・HACCPコンサルタントを募集しています。
『お客様の実情に合わせた各種ISOやHACCPの構築、運用』をポリシーとして、サポート業務を行っております。
私たちの想いに共感いただける方、少しでもご興味がある方はぜひお問い合わせください。
■ISOプロについて
https://activation-service.jp/iso/philosophy
■コンサルタントへの応募・問い合わせフォーム
https://activation-service.jp/iso/lp/form-collabo-entry/
【会社概要】
会社名：株式会社ISOプロ
設立：2026年4月1日
所在地：東京都新宿区西新宿6-8-1 住友不動産新宿オークタワー21階
代表者：米田 泰三
事業内容：ISO認証取得・運用支援事業
URL：
https://iso-pro.co.jp/
サービスサイトURL：
https://activation-service.jp/iso/
調査概要：「SaaS企業におけるシステム停止リスクと事業継続」に関する実態調査
【調査期間】2026年8月21日（金）～2026年8月24日（月）
【調査方法】PRIZMA（
https://www.prizma-link.com/press）によるインターネット調査
【調査人数】1,021人
【調査対象】調査回答時に自社開発のBtoB向けSaaS・クラウドサービスを提供する企業の経営者・役員、システム運用・インフラ責任者と回答したモニター
【調査元】株式会社ISOプロ（
https://iso-pro.co.jp/）
【モニター提供元】サクリサ
プレスリリース提供：PR TIMES
記事提供：PRTimes
