応用情報技術者 2023年 秋期 午後 問11

解答の論理構成

1. a の判断根拠
   • 【問題文引用】表1「ウォームスタンバイ方式なので、暫定復旧までに時間が掛かる。」
   • 【問題文引用】表1「監査手続　aについて、業務部門と合意していることを確かめる。」
   • ウォームスタンバイは切替えに手間が掛かり、事業側が許容できる復旧時間との整合が欠かせません。業務部門と合意すべき指標は “いつまでに復旧するか” を表す「目標復旧時間（RTO）」です。
   • 解答群で該当するのは「カ：目標復旧時間」。
2. b の判断根拠
   • 【問題文引用】表1「危機事象発生時にCP発動が遅れる。」
   • 【問題文引用】表1「監査手続　bが明確に定められていることを確かめる。」
   • 発動遅延は“いつ・誰が・どの状態でCPを開始するか”が曖昧な場合に発生します。従って明確に定めるべきは「CP発動基準」です。
   • 解答群で該当するのは「イ：CP発動基準」。
3. c の判断根拠
   • 【問題文引用】表1「CP訓練の結果が適切に評価されず、潜在的な問題が発見されない。」
   • 【問題文引用】表1「監査手続　CP訓練結果のcがあらかじめ定められていることを確かめる。」
   • 評価が形骸化する典型例は“判定観点”が事前に決まっていないケースです。訓練結果を客観的に判定するために必要なのは「評価項目」です。
   • 解答群で該当するのは「オ：評価項目」。

誤りやすいポイント

• RTO と RPO を混同し、データ損失許容時間（RPO）を選んでしまう。設問は「暫定復旧までに時間が掛かる」と“時間軸”に着目している点がヒント。
• 「CP発動手順」と「CP発動基準」の取り違え。基準は発動するか否かの判定条件、手順は発動後の作業フロー。
• 訓練の「報告書様式」や「実施計画」と誤解してしまい、評価項目を外してしまう。設問は“結果が適切に評価されず”と評価の枠組みを問うている。

FAQ

解答の論理構成

1. 背景確認
   【問題文】には、ここ数年の状況として
   「システム障害発生時の影響の拡大、サイバー攻撃の脅威の増大など、事業継続に関わる新たなリスクが増加してきている。」
   と明記されています。
   これが“想定範囲が十分でなくなっている可能性”の根拠です。
2. 現行 CP の想定範囲
   同じく【問題文】には
   「CPのリスクシナリオとしては、大規模自然災害、システム障害、サイバー攻撃…」
   が挙げられており、カテゴリー自体は網羅しています。
3. 追加で着目すべきポイント
   下線部①では“想定範囲の不足”とありますが、現行 CP が5年前の前提で作られているため、 ・取引量増大に伴い「システム障害発生時の影響」が従来より大きくなる
   ・攻撃手口の高度化に伴い「サイバー攻撃の脅威」が従来より大きくなる
   という“深刻度の変化”が監査の重点になります。
4. したがって、監査手続の検討時に挙げるべきリスクは
   ・「システム障害発生時の影響が拡大するリスク」
   ・「サイバー攻撃の脅威が増大するリスク」
   となります。

誤りやすいポイント

• “想定外のリスク”と考え、まったく新しいカテゴリ（例：パンデミック）を書いてしまう。問題文は“影響が拡大”“脅威が増大”という“深刻度”の変化を示唆しています。
• 「大規模自然災害」も含め3つ列挙してしまう。設問は“二つ”のみ要求しています。
• “システム障害そのもの”と“影響の拡大”を混同して記述し、意図がぼやける。

FAQ

解答の論理構成

1. 監査手続を追加する理由
   • X氏は「CPの訓練に関連して、西センターでの復旧テストの実施時期がシステム稼働前であり、その後の変更状況を考慮すると…監査手続を作成すること」と指示しています。
   • したがって、通販システム稼働後に生じた“変更状況”を具体的に捉え、その影響を受ける対象を監査手続に反映させる必要があります。
2. 変更内容（d）の特定
   • 予備調査の「〔通販システムの概要〕」には「近年の取引量の増加に伴い、昨年通販システムサーバの処理能力を増強している。」と明記されています。
   • この“処理能力を増強”した事実こそが、稼働後に発生した代表的な変更です。
   • よって d には「サーバの処理能力を増強」が入ります。
3. 影響対象（e）の特定
   • Y氏は「通販システムが稼働後にdしていることを考慮して、eについても同様に必要な対応ができているか」と発言しています。
   • CPでは「西センターのバックオフィス系サーバを利用して通販システムを暫定復旧する」計画になっています。
   • つまり、処理能力を増強した“本番側”の変更に合わせて、“待機側”である「バックオフィス系サーバ」でも必要な対応（能力確保）ができているかを確認する文脈です。
   • よって e には「バックオフィス系サーバ」が入ります。

誤りやすいポイント

• “増強”ではなく“増設”や“増台”と書いてしまう
• 影響対象を「通販システムサーバ」と誤って書き、待機系である点を見落とす
• X氏の指示とY氏の返答を別々に読んで文脈をつなげられない

FAQ

解答の論理構成

• CPが想定する暫定復旧の手順には「さらに、ネットワークの切替えを含む必要な環境設定を行い、通販システムを暫定復旧する計画」と明記されている。
• 一方、実際の訓練内容は「バックオフィス系サーバに必要なソフトウェアをセットアップし、副バックアップデータを使用したデータベースの復元訓練まで行っている」とされ、ネットワーク切替えや環境設定は対象外である。
• このギャップを踏まえてY氏は「fについて、最低限机上での訓練を実施しなくて問題がないのかを確認する」と発言している。
• よって、fには復旧時に未訓練となっている作業内容、すなわち「ネットワークの切替えを含む必要な環境設定」が入る。

誤りやすいポイント

• 訓練で実施している作業（ソフトウェアセットアップ・データベース復元）と、計画に記載されているが訓練対象外の作業（ネットワーク切替え・環境設定）を混同しやすい。
• X氏の指示「暫定復旧が円滑に実施できないリスク」から、訓練不足部分がどこかを読み落とすと別の工程を選びがち。
• f直前のY氏の発言が「机上での訓練」となっている点を見逃し、実機訓練済みの内容を書いてしまうケース。

FAQ

解答の論理構成

1. 【問題文】では、CP発動時に「西センターのバックオフィス系サーバ上のシステム負荷の高い社内システムを停止する」と記載されています。
2. 同じく【問題文】で、社内システムには「ワークフローシステムやグループウェアなどの社内業務支援システム」が含まれ、「Z社が社内の業務とコミュニケーションを円滑化するため」に導入されたと説明されています。
3. したがって停止すると、社内で行っている各種業務処理や部門間・社員間の情報共有が滞るリスクが生じます。
4. 下線部②は「バックオフィス系サーバの社内システムを停止することによる影響が懸念される」点を問うているため、影響の本質は「社内業務とコミュニケーションの停滞」です。
5. よって解答は「社内の業務とコミュニケーションに支障をきたす」となります。

誤りやすいポイント

• 影響対象を“通販システムの顧客向けサービス”と誤解しやすい。実際に停止するのは社内システムなので外部顧客ではなく社内が影響を受けます。
• 「処理能力不足」や「データ損失」など技術面だけに着目し、業務プロセスや社員間連携の停止というビジネス面の影響を見落とす。
• 「バックオフィス系サーバには人事給与や会計もある」点ばかり強調してしまい、“コミュニケーション”への影響を回答に含め忘れる。

FAQ