2026年(令和8年) 情報セキュリティマネジメント 問14

A社は従業員200名の電子機器メーカーである。 東京に本社があり、新潟に工場がある。
A社では、ファイルサーバを図1のように運用している。

  • ファイルサーバは本社と工場のサーバルームに設置している。
  • ファイルサーバは、磁気テープを使用してファイルのバックアップを取得している。
  • 土曜日の午前2時からフルバックアップを取得し、翌週の火曜日と木曜日の午前2時から増分バックアップを取得している。
  • 情報システム部の担当者は毎週月曜日、火曜日、木曜日の朝10時頃、バックアップジョブの実行結果の確認と磁気テープの交換を行い、磁気テープは耐火金庫に保管している。
  • 磁気テープには上書きモードでバックアップを取得し、1か月分の磁気テープを世代管理している。
  • これまで、フルバックアップからのリストアには平均して4時間、1回の増分バックアップから平均して0.25時間掛かっている。
  • A社はICT継続のための試験を実施しており、ファイルサーバも試験対象である。
注記　事業影響度分析の結果に基づき、ファイルサーバは、72時間の目標復旧時点(RPO)と120時間の目標復旧時間(RTO)が要求事項として定められている。
図1　A社のファイルサーバの運用

A社はISMS認証を取得しており、最高情報セキュリティ責任者(CISO)を中心に情報セキュリティに取り組み、定期的に、情報セキュリティリスクアセスメントを行っている。 今般、ISMS認証基準がJIS Q 27001:2023に改正されたことを受け、情報セキュリティリーダーのBさんは、新基準への移行審査に向けて準備することになった。 改正によって新たに追加された情報セキュリティ管理策について、Bさんは情報システム部の担当者に取組状況を確認し、その結果を表1にまとめた。

表1　Bさんの評価結果(抜粋)
項番 情報セキュリティ管理策 評価結果
1 (事業継続のためのICTの備え)事業継続の目的及びICT継続の要求事項に基づいて、ICTの備えを計画し、実施し、維持し、試験しなければならない。

Bさんは、移行審査前の内部監査で、内部監査室から表1の項番1に関するファイルサーバの運用について何点か質問を受け、表2のとおり回答した。

表2　内部監査室へのBさんの回答(抜粋)
項番 Bさんの回答
1 例えば、金曜日の正午に障害が発生した場合、少なくとも　　a1　　の時点のデータは復元しなければならない。
2 例えば、木曜日の正午に障害が発生し、ファイルサーバの全データが消失したとすると、バックアップからリストには　　a2　　時間掛かると予想される。
3 ICT継続の計画書は、　　a3　　が承認している。

　設問 　表2中の　　a1　　〜　　a3　　に入れる字句の適切な組合せを、aに関する解答群から選べ。

aに関する解答群
a1 a2 a3
ア 月曜日の正午 4.25 CISO
イ 月曜日の正午 4.25 情報システム部の担当者
ウ 月曜日の正午 4.25 内部監査室長
エ 月曜日の正午 4.50 CISO
オ 月曜日の正午 4.50 情報システム部の担当者
カ 火曜日の正午 4.25 情報システム部の担当者
キ 火曜日の正午 4.25 内部監査室長
ク 火曜日の正午 4.50 CISO
ケ 火曜日の正午 4.50 情報システム部の担当者
コ 火曜日の正午 4.50 内部監査室長

答え　ク

【解説】
回答の項番1のa1は、図1の注記の目標復旧時点(RPO)が72時間から、金曜日の正午の72時間前の火曜日の正午である。
回答の項番2のa2は、復旧には土曜日のフルバックアップをリストアし、その後、火曜日と木曜日の増分バックアップをリストアする必要があり、フルバックアップのリストアには4時間、増分バックアップのリストアには0.25時間掛かるので、合計4.25時間である。
回答の項番3のa3は、ICT継続のため移行計画はCISOを中心に取組んでいるので、これを承認するのはCISOである。

【キーワード】
・RTO
・RPO

【キーワードの解説】
  • RTO(Recovery Time Objective、目標復旧時間)
    災害や事故などの不測の事態により業務が中断してから、復旧させるまでの目標時間です。
    事業(業務、システム)の性質によって異なりますが、生命維持装置のようにRTO 0のものもあります。
  • RPO(Recovery Point Objective、目標復旧時点)
    システムの障害でデータが破損したときに、復旧するバックアップデータの古さの目標のことです。
    RPO 0の場合、最新のデータに復旧できなくてはいけないことを表し、RPO 1で1日前のデータに復旧すればよいことになります。

もっと、「RTO」について調べてみよう。

戻る 一覧へ 次へ