BCPに盛り込む情報セキュリティ要求事項
シラバス案 Ver.0.1（2026年9月30日公表）の科目B 大項目4 情報セキュリティを継続的に確保するための情報セキュリティ要求事項の提示：『4-1 情報セキュリティを継続的に確保するための情報セキュリティ要求事項の提示』
事例
A 社は、従業員 250 名の運送会社である。沿岸部にある C 営業所の配車課は、荷主からの出荷依頼を受け付け、運転者への配車計画を作成している。配車課の業務では、荷主の名称、納品先の住所、受取人の氏名と電話番号などの荷主情報を扱う。
A 社は、大地震や長時間の停電で C 営業所の建物や機器が使えなくなったときに、配車課の業務を続けるための事業継続計画（BCP）を定めている。配車課の情報セキュリティ担当者（以下、担当者）は、非常時にも情報セキュリティを保つために必要な要求事項が、BCP に盛り込まれているかを確認することになった。A 社の BCP の方針では、通常時の情報セキュリティ要求事項は、事業継続の間も維持し、維持できないものは同等の代替策を定めることになっている。
配車課の通常時の情報セキュリティ要求事項を表1、BCP の抜粋を表2に示す。
| 項番 | 要求事項 |
|---|---|
| 1 | 荷主情報を含む配車データは、配車課員だけが参照できる。 |
| 2 | 配車システムの利用者 ID は、配車課員一人に一つ付与し、共用しない。 |
| 3 | 荷主情報を含む紙の資料は、使わないときは施錠できる場所に保管する。 |
| 項番 | 項目 | 内容 |
|---|---|---|
| 1 | 業務の再開 | 荷主との契約により、営業所が使えなくなってから 24 時間以内に、出荷依頼の受付と配車計画の作成を再開する。 |
| 2 | 代替の作業場所 | 自社の D 倉庫の事務室（営業所から 20 km）。倉庫課員約 20 名と、荷物の積込みに来る外部の運転者が、日中は出入りしている。 |
| 3 | 使う機器 | D 倉庫の事務室に保管している予備のノート PC 5 台。配車課員 8 名のうち 5 名が交代で使う。事務室の机の引き出しに鍵はない。 |
| 4 | 配車データ | C 営業所のサーバー室にあるサーバーに保存している。毎晩、同じサーバー室の外付けディスクにバックアップを取得し、1 週間分を保存している。 |
| 5 | 切替えの判断 | C 営業所長が、災害の状況を見て行う。 |
担当者は、表1の要求事項が非常時にも保たれるか、非常時に新たに必要になることがないかを見て、BCP に盛り込む必要事項と追加の手順を、配車課長に提案することにした。
次の(一)〜(五)のうち、BCP に盛り込む必要事項や追加の手順として、担当者が提案する内容に適切なものを二つ挙げた組合せを、解答群の中から選べ。
- (一) 予備 PC は配車課員 8 名のうち 5 名が交代で使うので、切替え時の手間を減らすために、予備 PC では配車システムの利用者 ID を 5 台共通の 1 つにし、その使い方を BCP に追加する。
- (二) バックアップの外付けディスクを複製して D 倉庫の事務室の机の引き出しに保管し、そこから予備 PC に配車データを戻して業務を再開する手順を、BCP に追加する。
- (三) 毎晩のバックアップを、C 営業所とは別の建物にあり配車課員だけが参照できる保存先（A 社が契約するクラウドなど）にも複製し、そこから予備 PC に配車データを戻して業務を再開する手順を、BCP に追加する。
- (四) 予備 PC は自社の機器で、BCP の終了後は D 倉庫の事務室に戻して保管するので、戻した配車データを消去する手順は BCP に追加しない。
- (五) D 倉庫の事務室は倉庫課員や外部の運転者も出入りするので、配車データの画面や荷主情報を含む紙の資料を配車課員以外が見られない席の配置と、紙の資料の施錠できる保管場所を、BCP に追加する。
正解：ケ (三)、(五)
ポイント
災害時に代替の作業場所で業務を続けるとき、通常時の情報セキュリティ要求事項が保たれているかを BCP で確認し、足りない手順の追加を提案する事例です。
考え方と解き方
決め手は、本文の BCP の方針（通常時の要求事項を維持する）、表1の通常時の要求事項、表2の BCP の内容です。表1の要求事項を代替の作業場所で維持できるか、表2に足りない手順はないかを見ます。別の場所や手順を足しているだけで、表1の要求事項が崩れる記述を見分けるところで間違えやすくなります。
- 表2の項番4では、バックアップが本体と同じサーバー室にあり、大地震で建物が使えなくなると両方失われます。24 時間以内の再開（項番1）のため、別の建物にあり配車課員だけが参照できる保存先から戻す手順が要るので、(三)は適切です。
- 表2の項番2では、D 倉庫の事務室に倉庫課員や外部の運転者が出入りし、引き出しに鍵もありません。表1の項番1・3の要求事項を維持するため、席の配置と保管場所の手順が要るので、(五)は適切です。
- (一)は表1の項番2に反し、(二)は鍵のない引き出しに配車データを置くので表1の項番1に反し、(四)は終了後に荷主情報が事務室の PC に残るので表1の項番1に反します。いずれも不適切です。
- 適切なのは (三) と (五) で、ケ です。
ほかの選択肢
- ア (一)は不適切です。BCP の方針は、通常時の要求事項を事業継続の間も維持するとしており、表1の項番2は利用者 ID を共用しないと定めています。5 台共通の 1 つの ID にすると、この要求事項が崩れます。(二)は不適切です。別の場所には保管できますが、D 倉庫の事務室は倉庫課員や外部の運転者が出入りし、引き出しに鍵もないので、表1の項番1（配車データは配車課員だけが参照できる）が保てません。(三)が欠けています。表2の項番4で、バックアップが同じサーバー室にあり、建物が使えなくなると本体と一緒に失われます。(五)が欠けています。表2の項番2で、D 倉庫の事務室には倉庫課員や外部の運転者が出入りし、表1の項番1・3が維持できません。
- イ (一)は不適切です。BCP の方針は、通常時の要求事項を事業継続の間も維持するとしており、表1の項番2は利用者 ID を共用しないと定めています。5 台共通の 1 つの ID にすると、この要求事項が崩れます。(五)が欠けています。表2の項番2で、D 倉庫の事務室には倉庫課員や外部の運転者が出入りし、表1の項番1・3が維持できません。
- ウ (一)は不適切です。BCP の方針は、通常時の要求事項を事業継続の間も維持するとしており、表1の項番2は利用者 ID を共用しないと定めています。5 台共通の 1 つの ID にすると、この要求事項が崩れます。(四)は不適切です。予備 PC に戻した配車データを消去しないと、BCP の終了後も、倉庫課員が出入りする事務室の PC に荷主情報が残り、表1の項番1が保てません。(三)が欠けています。表2の項番4で、バックアップが同じサーバー室にあり、建物が使えなくなると本体と一緒に失われます。(五)が欠けています。表2の項番2で、D 倉庫の事務室には倉庫課員や外部の運転者が出入りし、表1の項番1・3が維持できません。
- エ (一)は不適切です。BCP の方針は、通常時の要求事項を事業継続の間も維持するとしており、表1の項番2は利用者 ID を共用しないと定めています。5 台共通の 1 つの ID にすると、この要求事項が崩れます。(三)が欠けています。表2の項番4で、バックアップが同じサーバー室にあり、建物が使えなくなると本体と一緒に失われます。
- オ (二)は不適切です。別の場所には保管できますが、D 倉庫の事務室は倉庫課員や外部の運転者が出入りし、引き出しに鍵もないので、表1の項番1（配車データは配車課員だけが参照できる）が保てません。(五)が欠けています。表2の項番2で、D 倉庫の事務室には倉庫課員や外部の運転者が出入りし、表1の項番1・3が維持できません。
- カ (二)は不適切です。別の場所には保管できますが、D 倉庫の事務室は倉庫課員や外部の運転者が出入りし、引き出しに鍵もないので、表1の項番1（配車データは配車課員だけが参照できる）が保てません。(四)は不適切です。予備 PC に戻した配車データを消去しないと、BCP の終了後も、倉庫課員が出入りする事務室の PC に荷主情報が残り、表1の項番1が保てません。(三)が欠けています。表2の項番4で、バックアップが同じサーバー室にあり、建物が使えなくなると本体と一緒に失われます。(五)が欠けています。表2の項番2で、D 倉庫の事務室には倉庫課員や外部の運転者が出入りし、表1の項番1・3が維持できません。
- キ (二)は不適切です。別の場所には保管できますが、D 倉庫の事務室は倉庫課員や外部の運転者が出入りし、引き出しに鍵もないので、表1の項番1（配車データは配車課員だけが参照できる）が保てません。(三)が欠けています。表2の項番4で、バックアップが同じサーバー室にあり、建物が使えなくなると本体と一緒に失われます。
- ク (四)は不適切です。予備 PC に戻した配車データを消去しないと、BCP の終了後も、倉庫課員が出入りする事務室の PC に荷主情報が残り、表1の項番1が保てません。(五)が欠けています。表2の項番2で、D 倉庫の事務室には倉庫課員や外部の運転者が出入りし、表1の項番1・3が維持できません。
- コ (四)は不適切です。予備 PC に戻した配車データを消去しないと、BCP の終了後も、倉庫課員が出入りする事務室の PC に荷主情報が残り、表1の項番1が保てません。(三)が欠けています。表2の項番4で、バックアップが同じサーバー室にあり、建物が使えなくなると本体と一緒に失われます。
覚えておくこと
- 事業継続計画には、通常時の情報セキュリティ要求事項を非常時にも維持する手順と、維持できないときの代替策を盛り込む
- バックアップは、本体と同じ建物に置かず、別の場所にも保管して、戻す手順まで文書にしておく