令和8年度 問14
事例
A 社は従業員 200 名の電子機器メーカーである。東京に本社があり，新潟に工場がある。
A 社では，ファイルサーバを図 1 のように運用している。
| ・ファイルサーバは本社と工場のサーバルームに設置している。 |
| ・ファイルサーバは，磁気テープを使用してファイルのバックアップを取得している。 |
| ・土曜日の午前 2 時からフルバックアップを取得し，翌週の火曜日と木曜日の午前 2 時から増分バックアップを取得している。 |
| ・情報システム部の担当者は毎週月曜日，火曜日，木曜日の朝 10 時頃，バックアップジョブの実行結果の確認と磁気テープの交換を行い，磁気テープは耐火金庫に保管している。 |
| ・磁気テープには上書きモードでバックアップを取得し，1 か月分の磁気テープを世代管理している。 |
| ・これまで，フルバックアップからのリストアには平均して 4 時間，1 回の増分バックアップからは平均して 0.25 時間掛かっている。 |
| ・A 社は ICT 継続のための試験を実施しており，ファイルサーバも試験対象である。 |
注記 事業影響度分析の結果に基づき，ファイルサーバは，72 時間の目標復旧時点（RPO）と 120 時間の目標復旧時間(RTO)が要求事項として定められている。
A 社は ISMS 認証を取得しており，最高情報セキュリティ責任者（CISO）を中心に情報セキュリティに取り組み，定期的に，情報セキュリティリスクアセスメントを行っている。今般，ISMS 認証基準が JIS Q 27001:2023 に改正されたことを受け，情報セキュリティリーダーの B さんは，新基準への移行審査に向けて準備することになった。改正によって新たに追加された情報セキュリティ管理策について，B さんは情報システム部の担当者に取組状況を確認し，その評価結果を表 1 にまとめた。
| 項番 | 情報セキュリティ管理策 | 評価結果 |
|---|---|---|
| 1 | （事業継続のための ICT の備え）事業継続の目的及び ICT 継続の要求事項に基づいて，ICT の備えを計画し，実施し，維持し，試験しなければならない。 | 実施している |
B さんは，移行審査前の内部監査で，内部監査室から表 1 の項番 1 に関するファイルサーバの運用について何点か質問を受け，表 2 のとおり回答した。
| 項番 | B さんの回答 |
|---|---|
| 1 | 例えば，金曜日の正午に障害が発生した場合，少なくとも a1 の時点のデータは復元しなければならない。 |
| 2 | 例えば，木曜日の正午に障害が発生し，ファイルサーバの全データが消失したとすると，バックアップからのリストアには a2 時間掛かると予想される。 |
| 3 | ICT 継続の計画書は，a3 が承認している。 |
表 2 中の a1～a3 に入れる字句の適切な組合せを，a に関する解答群の中から選べ。
正解：ク a1：火曜日の正午／a2：4.50／a3：CISO
ポイント
目標復旧時点（RPO）、リストアの時間、ICT 継続の計画書の承認者を、数字と役割で答える事例です。
考え方と解き方
図1のバックアップの曜日と時刻、注記の RPO と RTO、リストアの所要時間を読みます。数え方を間違えやすいところです。障害の日時から RPO の時間をさかのぼる向きと、増分バックアップは直前までの全部の分が復元に要る点に気をつけます。
- 表2の a1 は、金曜日の正午に障害が起きたとき、少なくともどの時点のデータを復元するかです。図1の注記で RPO は 72 時間です。金曜日の正午から 72 時間さかのぼると、火曜日の正午です。したがって a1 は火曜日の正午です。
- 表2の a2 は、木曜日の正午の障害で全データが消えたときのリストア時間です。図1で、フルバックアップは土曜日の午前 2 時、増分バックアップは火曜日と木曜日の午前 2 時で、木曜日の午前 2 時のものは障害の前に取れています。復元にはフル 4 時間、火曜日の増分 0.25 時間、木曜日の増分 0.25 時間が要り、合計 4.50 時間です。
- 表2の a3 の承認者は本文に書かれていないので、役割から考えます。ISMS の取り組みの中心で経営の立場にある CISO が承認者に合います。担当者は実施する立場、内部監査室長は監査の客観性を保つ立場です。a1 が火曜日の正午、a2 が 4.50、a3 が CISO なので、最も適切なのは ク です。
ほかの選択肢
- ア a1 の月曜日の正午は、金曜日の正午から 96 時間前で、RPO の 72 時間より古い時点です。a2 の 4.25 は、木曜日の増分を数え忘れています。
- イ a1 の月曜日の正午は RPO より古い時点です。a2 の 4.25 は、増分が 1 回分足りません。a3 の担当者は、計画書を承認する立場ではありません。
- ウ a1 の月曜日の正午は RPO より古い時点です。a2 の 4.25 は、増分が 1 回分足りません。a3 の内部監査室長は、監査する側なので、計画書の承認者になりません。
- エ a2 と a3 は合っていますが、a1 の月曜日の正午は、72 時間より古い時点です。
- オ a1 の月曜日の正午は RPO より古い時点です。a3 の担当者も、計画書を承認する立場ではありません。
- カ a1 の火曜日の正午は合っていますが、a2 の 4.25 は増分が 1 回分足りません。a3 の担当者も、計画書を承認する立場ではありません。
- キ a1 の火曜日の正午は合っていますが、a2 の 4.25 は増分が 1 回分足りません。a3 の内部監査室長も、監査する側で、承認者になりません。
- ケ a1 と a2 は合っていますが、a3 の担当者は、計画書を承認する立場ではありません。承認は CISO です。
- コ a1 と a2 は合っていますが、a3 の内部監査室長は、監査される計画を承認する側ではありません。承認は CISO です。
覚えておくこと
- 目標復旧時点は、障害の時点からさかのぼって、失ってよいデータの長さを決める
- 増分バックアップの復元には、フルバックアップと、そのあとの増分バックアップの全部が要る
- ICT 継続の計画の承認は、経営の責任者が行い、監査する側は承認に加わらない
出典：令和8年度 情報セキュリティマネジメント試験 公開問題 科目B 問14