リスクを低減するための対策｜情報セキュリティマネジメント 令和5年 公開問題 問14
出典：令和5年度 公開問題 科目B 問14
分野：科目B ／ 情報資産の管理
A社は旅行商品を販売しており，業務の中で顧客情報を取り扱っている。A社が保有する顧客情報は，A社のファイルサーバ1台に保存されている。ファイルサーバは，顧客情報を含むフォルダにある全てのデータを磁気テープに毎週土曜日にバックアップするよう設定されている。バックアップは2世代分が保存され，ファイルサーバの隣にあるキャビネットに保管されている。
A社では年に一度，情報セキュリティに関するリスクの見直しを実施している。情報セキュリティリーダーであるE主任は，A社のデータ保管に関するリスクを見直して図1にまとめた。
| 1.(省略) 2.(省略) 3.(省略) 4.バックアップ対象とするフォルダの設定ミスによって，データが復旧できなくなる。 |
図 1 A 社のデータ保管に関するリスク（抜粋）
E主任は，図1の4のリスクを低減するための対策を検討し，効果が期待できるものを選んだ。 設問 次の対策のうち，効果が期待できるものを二つ挙げた組合せを，解答群の中から選べ。 （一）週1回バックアップを取得する代わりに，毎日1回バックアップを取得して7世代分保存する。 （二）バックアップ後に，磁気テープ中のファイルのリストと，ファイルサーバのバックアップ対象ファイルのリストとを比較し，合致しているかを確認する。 （三）バックアップ対象とするフォルダの設定を，必ず2名で行うようにする。 （四）バックアップ用の媒体を磁気テープから外付けハードディスクに変更する。 （五）バックアップを二組み取得し，うち一組みを遠隔地に保管する。 解答群- ア：（一），（二）
- イ：（一），（三）
- ウ：（一），（四）
- エ：（一），（五）
- オ：（二），（三）
- カ：（二），（四）
- キ：（二），（五）
- ク：（三），（四）
- ケ：（三），（五）
- コ：（四），（五）
TSUNAGARU-ADVICE
まず押さえたいこと
この問題では、バックアップ運用の弱点を見つけて、それぞれに直接効く対策を選ぶことがポイントです。週1回しかバックアップしていないと、障害発生時に最大で約1週間分のデータを失う可能性があるため、バックアップ頻度を毎日に増やすことで復元できる時点を新しくできます。また、バックアップをファイルサーバのすぐ近くに保管していると、火災や災害などで両方を同時に失うおそれがあります。
事例を読むときの判断軸
対策を選ぶときは、「どのリスクを下げる対策なのか」を対応付けましょう。毎日バックアップすることはデータ損失期間を短くする対策、バックアップの一組を遠隔地に保管することは同一拠点の災害による同時消失を防ぐ対策です。媒体を磁気テープから外付けハードディスクに変えるだけでは、保管場所が同じなら災害リスクは解消しません。
上位試験につなげるために
上位試験では、バックアップについて「取得しているか」だけでなく、取得頻度・世代数・保管場所・復元可能性まで確認します。RPOを意識してバックアップ間隔を決め、さらに災害対策として遠隔地保管やオフサイト保管を組み合わせるという考え方を身につけておきましょう。
この問題では、図1のリスクである「バックアップ対象フォルダの設定ミスによって、必要なデータがバックアップされず復旧できない」ことに直接効果がある対策を選びます。
（二）は、バックアップ後に磁気テープ内のファイル一覧と、ファイルサーバ側のバックアップ対象ファイル一覧を比較する対策です。設定漏れがあれば、必要なファイルが磁気テープに存在しないことを確認できるため、設定ミスの発見に有効です。
（三）は、バックアップ対象フォルダの設定を必ず2名で行う対策です。1人の設定ミスを別の人が確認できるため、設定誤りの発生を防止・低減できます。したがって、（二）と（三）のオが適切です。
❌他選択肢が誤りの理由ア：（一），（二）
⇒（二）は有効ですが、（一）はバックアップ回数や世代数を増やす対策です。そもそも対象フォルダの設定を誤っていれば、毎日バックアップしても必要なデータは保存されません。
イ：（一），（三）
⇒（三）は有効ですが、（一）は設定ミスそのものへの対策にはなりません。誤った設定のままバックアップ回数だけ増える可能性があります。
ウ：（一），（四）
⇒どちらも設定ミスへの直接的な対策ではありません。バックアップ頻度や媒体を変更しても、対象フォルダの設定が誤っていれば必要なデータはバックアップされません。
エ：（一），（五）
⇒バックアップ回数の増加や遠隔地保管は、世代管理や災害対策には有効ですが、バックアップ対象フォルダの設定ミスを防止・発見する対策ではありません。
カ：（二），（四）
⇒（二）は有効ですが、媒体を磁気テープから外付けハードディスクに変更しても、バックアップ対象の設定が誤っていれば必要なデータは保存されません。
キ：（二），（五）
⇒（二）は有効ですが、バックアップを2組作って遠隔地に保管しても、設定ミスによって必要なデータが含まれていなければ、2組とも同じ不備を抱えることになります。
ク：（三），（四）
⇒（三）は有効ですが、媒体の変更は設定ミスへの対策にはなりません。
ケ：（三），（五）
⇒（三）は有効ですが、遠隔地保管は災害などで同一拠点のバックアップが失われるリスクへの対策です。設定ミスによるバックアップ漏れには直接対応できません。
コ：（四），（五）
⇒媒体変更と遠隔地保管は、それぞれ別のリスクには有効ですが、バックアップ対象フォルダの設定ミスを防止・発見する対策ではありません。