基本情報技術者 2016年 秋期 午前（科目A） 問60

事業継続計画(BCP)の監査で適切と判断されるものはどれか【午前2 解説】

要点まとめ

• 結論: 正解は ア — 従業員の緊急連絡先リストを作成し最新版に更新していることは、緊急時の初動と連絡確保に直結するBCPの基本要件です。
• 根拠: BCP監査では「連絡体制の確立」「情報の可用性」「文書の維持管理と更新履歴」が重視され、連絡先情報は即応性を担保します。
• 差がつくポイント: 単一保管、全業務同一対応、平時の非公開などは運用上の欠点となり、可用性・優先順位・訓練という評価軸で減点対象になります。

正解の理由

よくある誤解

• 「重要書類を1か所で集中保管すれば安全」は誤り。災害や破損で一括喪失するリスクがあり、分散保管やバックアップが必要です。
• 「全業務を同じレベルでBCP策定すべき」は非現実的。重要業務には優先順位を付け、復旧目標や代替手段を差をつけて策定すべきです。
• 「BCPは平時に非公開にすれば安全」は過小評価。従業員が手順を知らなければ実効性が失われるため、必要な範囲で周知・訓練が必須です。

解法ステップ

1. 問題文で「監査」「適切な状況」をキーに、監査で重視される観点（可用性、更新、アクセス、優先順位）を列挙する。
2. 各選択肢を監査観点に照らし合わせ、実務での妥当性（冗長性・更新性・周知性）を評価する。
3. 最も実務的かつ監査で証明しやすいものを選ぶ（連絡網の整備・更新はその典型）。

選択肢別の誤答解説

• ア: 正解。緊急連絡先の整備・最新版維持は初動対応の必須要素であり、監査で評価される。更新履歴やアクセス手順があればさらに高評価。
• イ: 誤り。重要書類を1か所に集中保管するのは可用性と冗長性の観点で不適切で、災害時に単一障害点となる。分散保管や電子バックアップが必要。
• ウ: 誤り。全業務を同一レベルでBCP策定するのは非現実的で資源の無駄。業務重要度に応じた優先順位（BIAに基づく）と復旧目標の設定が求められる。
• エ: 誤り。BCPを平時に従業員へ非公開にする運用は、周知・訓練不足を招き実効性が低下する。公開範囲を限定する場合でも、従業員向けの必要情報は共有すべき。

補足コラム

• 監査で高く評価されるBCPのポイントは「計画の存在」だけでなく「運用の証跡（例：最新版の配布記録、訓練記録、更新履歴、連絡試験）」です。
• 緊急連絡先は紙・電子の複数媒体、オフサイト保管、暗号化やアクセス制御を組み合わせて可用性と機密性を両立させます。
• 優先順位付け（業務の分類とRTO/RPO設定）、定期的な訓練（卓上演習、実働演習）、外部連携（取引先・支援組織）も重要な監査ポイントです。ISO 22301等の規格を参考にするのも有効です。

FAQ