バックアップ媒体の保管場所は災害時にどう判断するか
基本情報技術者試験 平成31年度春期 午前 問60 ／ システム監査 › システム監査
過去問にチャレンジ
A社では，自然災害などの際の事業継続を目的として，業務システムのデータベースのバックアップを取得している。その状況について，"情報セキュリティ管理基準(平成28年)"に従って実施した監査結果として判明した状況のうち，監査人が指摘事項として監査報告書に記載すべきものはどれか。
- ア
バックアップ取得手順書を作成し，取得担当者を定めていた。
- イ
バックアップを取得した電子記録媒体からデータベースを復旧する試験を，事前に定めたスケジュールに従って実施していた。
- ウ
バックアップを取得した電子記録媒体を，機密保持を含む契約を取り交わした外部の倉庫会社に委託保管していた。
- エ
バックアップを取得した電子記録媒体を，業務システムが稼働しているサーバの近くで保管していた。
会話形式の解説
講師この問題では、バックアップを取得しているかに加え、災害時にも復旧に使えるかを考えます。
受験者手順書を作って担当者を決めていても、保管方法まで確認する必要があるのですね。
講師はい。手順書と担当者を定めることは、取得作業の進め方と責任を明確にします。この状況だけでは指摘事項になりません。
受験者予定どおりに復旧試験をするのは、取得したデータを実際に使えるか確かめるためですか。
講師そのとおりです。記録媒体からデータベースを復旧する試験を行っているので、これも指摘事項には当たりません。
受験者外部の倉庫会社への保管は、委託している点が気になります。
講師機密保持を含む契約を結んでいます。外部に委託しているという事実だけでは、保管上の不備とは判断できません。
受験者では、稼働中のサーバの近くに媒体を置く場合はどうでしょうか。
講師災害でサーバが被害を受けたとき、近くのバックアップも同時に失われるおそれがあります。復旧に使えなくなる可能性があるため、監査報告書で指摘すべきです。
受験者バックアップがあっても、本番システムと一緒に失われる場所では事業継続に役立たないのですね。
講師はい。監査では、取得の手順や復旧試験に加えて、本番システムが被災してもバックアップを使える保管場所かを確かめます。
まとめ
事業継続のためのバックアップは、本番システムが被災しても利用できる場所に保管する必要があります。媒体を稼働中のサーバの近くに置くと、両方が同時に失われるおそれがあるため、監査で指摘すべきです。手順書と担当者の設定、予定に従った復旧試験、機密保持を含む契約を結んだ外部委託は、それぞれの状況だけでは指摘事項になりません。
解答・解説
正解はエです
この問題のテーマ
事業継続のために取得したバックアップの保管方法について、監査で指摘すべき不備を見分ける問題です。
解き方の考え方
自然災害に備えるには、バックアップを取得するだけでなく、本番システムが被災しても使える状態にしておく必要があります。各選択肢が、取得・復旧の確認・保管のどの段階を扱っているかを整理し、災害時にデータを復旧できなくなる状況を探します。
選択肢ごとの解説
- ×ア バックアップ取得手順書を作成し，取得担当者を定めていた。バックアップ取得手順書があり、担当者も決まっています。取得作業の進め方と責任の所在を明確にする管理なので、この状況だけでは指摘事項になりません。
- ×イ バックアップを取得した電子記録媒体からデータベースを復旧する試験を，事前に定めたスケジュールに従って実施していた。予定に従って、記録媒体からデータベースを復旧する試験を行っています。実際に復旧できるかを確かめる取組なので、指摘事項には当たりません。
- ×ウ バックアップを取得した電子記録媒体を，機密保持を含む契約を取り交わした外部の倉庫会社に委託保管していた。外部の倉庫会社と機密保持を含む契約を結んで保管しています。外部に委託しているという事実だけでは、保管上の不備とは判断できません。
- ○エ バックアップを取得した電子記録媒体を，業務システムが稼働しているサーバの近くで保管していた。記録媒体を稼働中のサーバの近くに置くと、災害時に本番データとバックアップが同時に失われるおそれがあります。事業継続に必要な保管場所の分離ができていないため、監査報告書に記載すべき事項です。
POINT
- バックアップは、本番システムの被災を避けられる場所に保管します。
- 取得した媒体から復旧できるか、試験で確認します。
- 監査では、管理策の有無だけでなく、災害時にデータを利用できるかを考えます。