ファイルサーバのBCPおよび新ISMSへの対応｜情報セキュリティマネジメント 令和8年 公開問題 問14
出典：令和8年度 公開問題 科目B 問14
分野：科目B ／ 情報セキュリティリスクアセスメント及びリスク対応
A社は従業員200名の電子機器メーカーである。東京に本社があり，新潟に工場がある。
A社では，ファイルサーバを図1のように運用している。
注記 事業影響度分析の結果に基づき，ファイルサーバは，72時間の目標復旧時点(RPO)と120時間の目標復旧時間(RTO)が要求事項として定められている。
Bさんは，移行審査前の内部監査で，内部監査室から表1の項番1に関するファイルサーバの運用について何点か質問を受け，表2のとおり回答した。
設問 表2中の[ a1 ]～[ a3 ]に入れる字句の適切な組合せを，aに関する解答群の中から選べ。
| ・ファイルサーバは本社と工場のサーバルームに設置している。 ・ファイルサーバは，磁気テープを使用してファイルのバックアップを取得している。 ・土曜日の午前2時からフルバックアップを取得し，翌週の火曜日と木曜日の午前2時から増分バックアップを取得している。 ・情報システム部の担当者は毎週月曜日，火曜日，木曜日の朝10時頃，バックアップジョブの実行結果の確認と磁気テープの交換を行い，磁気テープは耐火金庫に保管している。 ・磁気テープには上書きモードでバックアップを取得し，1か月分の磁気テープを世代管理している。 ・これまで，フルバックアップからのリストアには平均して4時間，1回の増分バックアップからは平均して0.25時間掛かっている。 ・A社はICT継続のための試験を実施しており，ファイルサーバも試験対象である。 |
図1 A社のファイルサーバの運用
A社はISMS認証を取得しており，最高情報セキュリティ責任者（CISO）を中心に情報セキュリティに取り組み，定期的に，情報セキュリティリスクアセスメントを行っている。今般，ISMS認証基準がJIS Q 27001:2023に改正されたことを受け，情報セキュリティリーダーのBさんは，新基準への移行審査に向けて準備することになった。改正によって新たに追加された情報セキュリティ管理策について，Bさんは情報システム部の担当者に取組状況を確認し，その評価結果を表1にまとめた。表1 Bさんの評価結果（抜粋）
| 項番 | 情報セキュリティ管理策 | 評価結果 |
| 1 | （事業継続のためのICTの備え）事業継続の目的及びICT継続の要求事項に基づいて，ICTの備えを計画し，実施し，維持し，試験しなければならない。 | 実施している |
表2 内部監査室へのBさんの回答（抜粋）
| 項番 | Bさんの回答 |
| 1 | 例えば，金曜日の正午に障害が発生した場合，少なくとも[ a1 ]の時点のデータは復元しなければならない。 |
| 2 | 例えば，木曜日の正午に障害が発生し，ファイルサーバの全データが消失したとすると，バックアップからのリストアには[ a2 ]時間掛かると予想される。 |
| 3 | ICT 継続の計画書は，[ a3 ]が承認している。 |
| a1 | a2 | a3 | |
| ア | 月曜日の正午 | 4.25 | CISO |
| イ | 月曜日の正午 | 4.25 | 情報システム部の担当者 |
| ウ | 月曜日の正午 | 4.25 | 内部監査室長 |
| エ | 月曜日の正午 | 4.50 | CISO |
| オ | 月曜日の正午 | 4.50 | 情報システム部の担当者 |
| カ | 火曜日の正午 | 4.25 | 情報システム部の担当者 |
| キ | 火曜日の正午 | 4.25 | 内部監査室長 |
| ク | 火曜日の正午 | 4.50 | CISO |
| ケ | 火曜日の正午 | 4.50 | 情報システム部の担当者 |
| コ | 火曜日の正午 | 4.50 | 内部監査室長 |
- ア：
- イ：
- ウ：
- エ：
- オ：
- カ：
- キ：
- ク：
- ケ：
- コ：
TSUNAGARU-ADVICE
まず押さえたいこと
この問題では、RPOとRTOの違い、増分バックアップの復元方法、ICT継続における責任者を事例から読み取ることがポイントです。RPOは「どの時点までのデータを復元する必要があるか」、RTOは「どれだけの時間以内に復旧する必要があるか」を表します。例えば金曜日の正午からRPOの72時間をさかのぼると、最低限どの時点まで復元すべきかを判断できます。
事例を読むときの判断軸
バックアップでは、障害発生時刻より前に取得済みのバックアップだけを使って考えます。増分バックアップから全データを戻す場合は、直近のフルバックアップに、その後の増分バックアップを順番に適用する必要があります。この事例では木曜日の午前2時の増分バックアップも取得済みなので、フルバックアップの復元時間だけでなく、火曜日と木曜日の増分バックアップの復元時間も加算します。また、継続計画の承認は実務担当者や監査部門ではなく、組織として責任を負う立場かどうかで判断しましょう。
上位試験につなげるために
上位試験では、RPOやRTOの定義を覚えるだけでなく、バックアップ時刻・障害発生時刻・復元手順を時系列に並べて、要求事項を満たせるかまで評価します。さらに、計画の作成者・承認者・監査者を区別する責任分界も重要です。「いつまで戻せればよいか」「何を順番に復元するか」「誰が最終責任を負うか」の3点を分けて読む習慣を付けましょう。
この問題では、RPO、増分バックアップからの復元、ICT継続計画の承認者という3つの論点を順番に判断します。特にa1では、「実際にどの時点までバックアップできているか」ではなく、RPOによって「最低限どの時点まで復元する必要があるか」が問われています。
a1について、RPOは72時間です。金曜日の正午に障害が発生した場合、許容されるデータ損失は最大72時間なので、72時間前である火曜日の正午以降の状態まで復元する必要があります。なお、実際の増分バックアップは火曜日の午前2時なので、金曜日の正午から82時間前となり、このバックアップ運用のままではRPO 72時間を満たせないことにも注意が必要です。
a2について、木曜日の正午に全データが消失した場合は、直近のフルバックアップである土曜日分を復元した後、火曜日と木曜日の増分バックアップを順番に復元します。計算すると、4 + 0.25 + 0.25 = 4.50時間です。増分バックアップは、直前のバックアップ以降に変更されたデータだけを保存するため、復元時にはフルバックアップ以降の増分バックアップを全て適用する必要があります。
a3について、ICT継続の計画は組織全体の事業継続や情報セキュリティに関わる重要な計画です。実務担当者や監査を行う内部監査室ではなく、A社で情報セキュリティを統括するCISOが承認するのが適切です。したがって、a1が火曜日の正午、a2が4.50時間、a3がCISOのクが適切です。
❌他選択肢が誤りの理由ア：a1：月曜日の正午、a2：4.25、a3：CISO
⇒a3は適切ですが、RPO 72時間なら金曜日正午から72時間前は火曜日正午です。また、木曜日の復元では火曜日分と木曜日分の2回の増分バックアップが必要なので、所要時間は4.50時間です。
イ：a1：月曜日の正午、a2：4.25、a3：情報システム部の担当者
⇒a1は72時間前の火曜日正午ではなく、a2も増分バックアップ2回分を考慮していません。また、ICT継続計画の承認を実務担当者だけで行うのは適切ではありません。
ウ：a1：月曜日の正午、a2：4.25、a3：内部監査室長
⇒a1とa2が適切でないことに加え、内部監査室は計画を独立した立場から監査する側です。監査対象となるICT継続計画を内部監査室長が承認するのは、役割として適切ではありません。
エ：a1：月曜日の正午、a2：4.50、a3：CISO
⇒a2とa3は適切ですが、RPO 72時間から求められる復元時点は、金曜日正午の72時間前である火曜日正午です。
オ：a1：月曜日の正午、a2：4.50、a3：情報システム部の担当者
⇒a2は適切ですが、a1は火曜日正午です。また、ICT継続計画の承認者として情報システム部の担当者は適切ではありません。
カ：a1：火曜日の正午、a2：4.25、a3：情報システム部の担当者
⇒a1は適切ですが、復元にはフルバックアップ4時間に加えて、火曜日と木曜日の増分バックアップをそれぞれ0.25時間掛けて適用するため、4.50時間必要です。また、計画の承認者も情報システム部の担当者ではありません。
キ：a1：火曜日の正午、a2：4.25、a3：内部監査室長
⇒a1は適切ですが、a2では増分バックアップが2回必要なので4.50時間です。内部監査室長は計画を監査する側であり、承認者としては適切ではありません。
ケ：a1：火曜日の正午、a2：4.50、a3：情報システム部の担当者
⇒a1とa2は適切ですが、ICT継続計画は組織の重要な方針に関わるため、実務を担当する情報システム部の担当者ではなくCISOが承認するのが適切です。
コ：a1：火曜日の正午、a2：4.50、a3：内部監査室長
⇒a1とa2は適切ですが、内部監査室長はICT継続の取組を監査する立場です。監査対象となる計画そのものを承認する立場ではありません。