情報セキュリティマネジメント 2017年 春期 午前（科目A） 問39

障害時の連絡・報告体制【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 監査の評価基準を確認する：管理策の「有無」だけでなく「妥当性（adequacy）」や「効果性（effectiveness）」を見る。
2. 各選択肢が基準に照らして「不備（改善が必要）」か「適合（要件充足）」か判定する。
3. 「一律の連絡ルート」が実務上どんな問題を起こすかを想定する（重大障害で連絡遅延、担当が不明で対応遅延など）。
4. 不備に該当する選択肢を選ぶ。今回の不備は「連絡・報告体制の不適切さ（緊急度・影響に応じた分岐がない）」です。

選択肢別の誤答解説

• ア: システム障害対応マニュアルが作成され、オペレータへの周知が図られている。
  解説：マニュアル作成と周知は基本的な管理策です。運用が行われている証拠となるため、通常は監査指摘にはなりにくいです。ただし、内容が不十分なら別途指摘対象になります。
• イ: システム障害でデータベースが被害を受けた場合を想定し、規程に従ってバックアップをとっている。
  解説：バックアップ（データ復旧のための保存）が規程どおり実行されているなら、重要な防御策が整っています。実際の監査では「バックアップの頻度・検証（実際に復旧できるかの確認）」を確認しますが、問題文だけでは不備とは言えません。
• ウ: システム障害の種類や発生箇所、影響度合いに関係なく、共通の連絡・報告ルートが定められている。
  解説：これが監査指摘になる理由は、障害の重大度や種類に応じた「優先度」と「連絡先（オンコール担当者、管理職、外部委託先など）」が明確でないと復旧遅延や二次被害のリスクが高まるためです。したがって監査報告で改善を求めるべきです。
• エ: 全てのシステム障害について、障害記録を残し、責任者の承認を得ることが定められている。
  解説：障害記録（ログや報告書）と責任者承認は管理上の良い慣行です。場合によっては軽微な障害に対して運用負荷が高くなるため「運用改善の指摘（所見）」にはなり得ますが、選択肢の表現だけでは監査指摘（重大な不備）とは判断しにくいです。

よくある誤解

• 「連絡経路は一本化すれば混乱しない」は誤り：一本化すると軽微な障害でも上位へ行き、重要な連絡が埋もれる／重大障害の際に迅速に専門担当へ回らない恐れがあります。
• 「記録が残っていれば十分だ」は誤り：記録は重要ですが、リアルタイム対応（誰にどう連絡するか）が定まっていないと被害拡大を防げません。記録と迅速な連絡経路の両方が必要です。

補足コラム

• 事前定義：障害レベル判定基準を作る（影響範囲、時間的影響、業務停止の有無）。
• 連絡ルート：レベル毎に連絡先と対応時間帯（在席・オンコール）を明示。
• 定期訓練：想定訓練でルートの有効性を確認。
• 見直し：発生履歴を元にルートを改善。

FAQ