基本情報技術者 2019年 春期 午前（科目A） 問60

バックアップ媒体の保管場所【午前解説】

正解の理由

解法ステップ

1. 問題の目的を確認：事業継続のためのバックアップ管理が問われていると読み取る。
2. 基準の要点を思い出す：地理的分離、オフサイト保管、復旧試験、責任分掌、契約管理。
3. 各選択肢を基準と照合：手順や試験、外部保管は基準に合致、サーバ近傍保管は基準に反するかを判定する。
4. 最終判断：基準違反となる選択肢を監査指摘として選ぶ（今回は保管場所の不適切性）。

選択肢別の誤答解説

• ア: バックアップ取得手順書を作成し、取得担当者を定めていた。
  • 解説：手順書と担当者の明確化は管理上の適切な措置であり、むしろ評価点になります。監査指摘事項ではありません。
• イ: バックアップを取得した電子記録媒体からデータベースを復旧する試験を、事前に定めたスケジュールに従って実施していた。
  • 解説：定期的な復旧試験は重要な管理活動であり、基準に沿った良い実践です。指摘対象にはならない。
• ウ: バックアップを取得した電子記録媒体を、機密保持を含む契約を取り交わした外部の倉庫会社に委託保管していた。
  • 解説：外部倉庫へオフサイト保管し、機密保持契約があるなら基準に適合する管理であり評価されます。契約内容・管理状況の有無を確認する監査は行うが、契約が適切なら指摘は不要。
• エ: バックアップを取得した電子記録媒体を、業務システムが稼働しているサーバの近くで保管していた。
  • 解説：正解。サーバとバックアップが近接していると同時被災のリスクが高く、基準が求める地理的分離に反するため監査指摘事項です。

よくある誤解

• 「バックアップが存在すれば十分」：媒体があっても異なる場所に保管されていなければ災害で同時に消失するため不十分です。
• 「倉庫委託はリスク」：外部委託は契約や管理が適切ならむしろリスク低減になります。契約（機密保持・保管環境・搬送管理）を確認すべきです。
• 「復旧試験をやっていれば保管場所は問題ない」：復旧試験が有効でも、試験で想定していない災害シナリオ（本番と同時被災）を考慮していなければ不足です。

補足コラム

• オフサイト保管の実務ポイント：複数拠点での保持（3-2-1ルールの考え方）、定期的なローテーション、暗号化とアクセス管理、輸送時の保護措置を組み合わせると効果的です。
• 監査では「存在」だけでなく「有効性」を見る：手順がある・媒体があるだけでは不十分で、実際に復旧できること、災害シナリオで有効かを確認します。
• 契約に含めるべき項目例：保管環境（耐火・耐水）、アクセス制御、保管履歴の記録、事故対応、機密保持条項、保険など。

FAQ