マナビング情報セキュリティマネジメント
回別一覧 →
総合トップへ

RPOからさかのぼる時点とリストア時間、承認者の選び方

情報セキュリティマネジメント試験 令和8年度 問14 ／ セキュリティ › 情報セキュリティ管理

過去問にチャレンジ

令和8年度 問14

A 社は従業員200 名の電子機器メーカーである。東京に本社があり，新潟に工場がある。 A 社では，ファイルサーバを図1 のように運用している。

図1

A 社はISMS 認証を取得しており，最高情報セキュリティ責任者（CISO）を中心に情報セキュリティに取り組み，定期的に，情報セキュリティリスクアセスメントを行っている。今般，ISMS 認証基準がJIS Q 27001:2023 に改正されたことを受け，情報セキュリティリーダーのB さんは，新基準への移行審査に向けて準備することになった。改正によって新たに追加された情報セキュリティ管理策について，B さんは情報システム部の担当者に取組状況を確認し，その評価結果を表1 にまとめた。 表1 B さんの評価結果（抜粋）

表1 B さんの評価結果（抜粋）

B さんは，移行審査前の内部監査で，内部監査室から表1 の項番1 に関するファイルサーバの運用について何点か質問を受け，表2 のとおり回答した。

表1

設問 表2 中のa1～a3に入れる字句の適切な組合せを，a に関する解答群の中から選べ。 a に関する解答群

令和8年度 問14の図
  1. ア

    a1：月曜日の正午／a2：4.25／a3：CISO

  2. イ

    a1：月曜日の正午／a2：4.25／a3：情報システム部の担当者

  3. ウ

    a1：月曜日の正午／a2：4.25／a3：内部監査室長

  4. エ

    a1：月曜日の正午／a2：4.50／a3：CISO

  5. オ

    a1：月曜日の正午／a2：4.50／a3：情報システム部の担当者

  6. カ

    a1：火曜日の正午／a2：4.25／a3：情報システム部の担当者

  7. キ

    a1：火曜日の正午／a2：4.25／a3：内部監査室長

  8. ク

    a1：火曜日の正午／a2：4.50／a3：CISO

  9. ケ

    a1：火曜日の正午／a2：4.50／a3：情報システム部の担当者

  10. コ

    a1：火曜日の正午／a2：4.50／a3：内部監査室長

解答・解説を見る

会話形式の解説

講師講師
今回は、A社のファイルサーバの運用について、表2の空欄a1〜a3の組合せを選ぶ問題です。a1は復元すべき時点、a2はリストアの時間、a3は計画の承認者です。順に見ていきましょう。
受験者受験者
a1は図1の注記に出てくるRPOを使うのだと思います。ただ、RPOとRTOの区別があいまいです。
講師講師
RPOは目標復旧時点、つまり、どの時点のデータまで取り戻すかの目標です。図1の注記では72時間と決まっています。障害の発生時刻から72時間さかのぼった時点が、少なくとも復元すべきデータです。
受験者受験者
金曜正午から72時間、つまり3日さかのぼると、木曜、水曜、火曜で火曜正午ですね。月曜正午は4日前なので外れます。
講師講師
そのとおりです。a1は火曜日の正午です。月曜日の正午を含む選択肢は、ここで外せます。
受験者受験者
次のa2ですが、フルバックアップが4時間、増分バックアップが1回0.25時間なので、4+0.25=4.254 + 0.25 = 4.25 時間でよいのでしょうか。
講師講師
そこが迷いやすい点です。増分バックアップは、前回のバックアップからの変更分だけを保存する方式です。リストアにはフルと、その後の増分すべてを使います。
受験者受験者
木曜正午の障害だと、土曜のフルの後に、火曜と木曜の増分がありますね。木曜の分も使えるのですか。
講師講師
木曜の増分は午前2時から取得するので、正午より前に取得済みです。ですから、火曜分と木曜分の2回分を使い、4+0.25×2=4.504 + 0.25 \times 2 = 4.50 時間がa2です。
受験者受験者
4.25時間は、増分を1回分しか数えていない場合の数字なのですね。最後のa3は、計画を作って実行する情報システム部の担当者が承認するのは自然に見えます。
講師講師
計画を実行する担当者が自分で承認すると、自分の計画を自分で認めることになります。これは職務の分離、つまり実行する人と承認する人を分ける考え方に反します。
受験者受験者
では、内部監査室長はどうでしょうか。第三者の立場なので、適任のようにも思えます。
講師講師
内部監査室は、その計画を監査する側です。監査する側が監査対象の計画を承認すると、監査の独立性が損なわれます。ですから内部監査室長も当てはまりません。
受験者受験者
残るのはCISOですね。A社の情報セキュリティの取組の中心として責任と権限を持つ人なので、承認者にふさわしいと思います。
講師講師
そのとおりです。a1が火曜日の正午、a2が4.50、a3がCISOの組合せで、正解はクです。
受験者受験者
まとめると、RPOは障害時刻からさかのぼる、リストアはフルとその後の増分すべて、承認は実行者でも監査する側でもない責任者、ということですね。

まとめ

この問題は、ファイルサーバの運用を題材に、RPOから復元すべき時点、リストアに掛かる時間、ICT継続計画の承認者を組み合わせて選ぶものです。RPOは72時間なので、金曜正午から72時間さかのぼった火曜正午がa1です。木曜正午の障害では、土曜のフルバックアップと、正午より前に取得済みの火曜・木曜の増分バックアップ2回分を使うため、4+0.25×2=4.504 + 0.25 \times 2 = 4.50 時間がa2です。計画の承認者は、実行する担当者だと職務の分離に反し、内部監査室長だと監査の独立性が損なわれるので、責任と権限を持つCISOがa3です。正解はクです。

解答・解説

正解はクです

この問題のテーマ

ファイルサーバのバックアップ運用について、RPOから復元すべき時点、リストアに掛かる時間、ICT継続計画の承認者を求める問題です。

解き方の考え方

最初に、図1の注記にあるRPO（目標復旧時点。どの時点のデータまで取り戻すかの目標）を確かめます。RPOは72時間なので、金曜正午から72時間さかのぼった火曜正午がa1です。次に、木曜正午の障害で使うバックアップを図1の取得日から数えます。土曜のフルバックアップと、火曜・木曜の増分バックアップ2回分を使うので、4+0.25×2=4.504 + 0.25 \times 2 = 4.50 時間がa2です。最後に、職務の分離と監査の独立性から、計画を承認する人をa3として選びます。

選択肢ごとの解説

  1. ×ア  a1：月曜日の正午／a2：4.25／a3：CISO
    a3のCISOは合っていますが、a2の4.25が誤りです。木曜正午の障害では増分バックアップを2回分リストアするため、4.50時間掛かります。
  2. ×イ  a1：月曜日の正午／a2：4.25／a3：情報システム部の担当者
    a2の4.25が誤りです（正しくは4.50時間）。また、情報システム部の担当者は計画を実行する側です。その担当者が承認すると自分で承認することになり、職務の分離に反します。
  3. ×ウ  a1：月曜日の正午／a2：4.25／a3：内部監査室長
    a2の4.25が誤りです。また、内部監査室長が承認すると、監査する側が監査対象の計画を承認することになります。そのため、監査の独立性が損なわれます。
  4. ×エ  a1：月曜日の正午／a2：4.50／a3：CISO
    a2とa3は合っていますが、a1の月曜正午が誤りです。金曜正午の72時間前は火曜正午です。
  5. ×オ  a1：月曜日の正午／a2：4.50／a3：情報システム部の担当者
    a1の月曜正午が誤りです。さらに、a3の担当者が承認すると計画を実行する本人による承認になり、職務の分離に反します。
  6. ×カ  a1：火曜日の正午／a2：4.25／a3：情報システム部の担当者
    a1は合っていますが、a2の4.25とa3の担当者が誤りです。リストアには4.50時間掛かります。また、計画の実行者が自分で承認するのは職務の分離に反します。
  7. ×キ  a1：火曜日の正午／a2：4.25／a3：内部監査室長
    a2の4.25とa3の内部監査室長が誤りです。監査する側が監査対象の計画を承認すると、監査の独立性が損なわれます。
  8. ○ク  a1：火曜日の正午／a2：4.50／a3：CISO
    a1の火曜正午とa2の4.50時間は、どちらも計算結果と一致します。a3も、A社の情報セキュリティの取組の中心として責任と権限を持つCISOが当てはまります。したがって、クが正解です。
  9. ×ケ  a1：火曜日の正午／a2：4.50／a3：情報システム部の担当者
    a1とa2は合っていますが、a3の担当者が誤りです。計画を実行する本人が承認することになり、職務の分離に反します。
  10. ×コ  a1：火曜日の正午／a2：4.50／a3：内部監査室長
    a1とa2は合っていますが、a3の内部監査室長が誤りです。監査する側が監査対象の計画を承認することになり、監査の独立性が損なわれます。

POINT

  • RPOで復元すべき時点は、障害の発生時刻からRPOの時間をさかのぼって求めます。
  • フルバックアップと増分バックアップの場合、リストアにはフルと、その後の増分すべてを使います。
  • 計画は、実行する担当者ではなく、責任と権限を持つ管理者が承認します。
  • 内部監査をする側は、監査対象の計画を承認しません。

※出典：令和8年度 情報セキュリティマネジメント試験 科目B 問14（一部改変）