ITパスポート 2021年 問52

BCP に関するマネジメント活動の選択【ITパスポート 解説】

正解の理由

• a（重要データのバックアップを定期的に取得する）…データ保全の方針策定や運用ルール（頻度・保管先など）を決めて実行・監督するのはマネジメントの役割です。
• b（非常時用の発電機と燃料を確保する）…電源喪失に備えた資機材の調達や契約、維持管理の決定は管理的判断です。
• c（複数の通信網を確保する）…通信の冗長化（代替経路や回線契約）を計画し確保するのも管理的活動です。
• d（復旧手順の訓練を実施する）…計画を実効化するための訓練（演習）は、マネジメントが計画し評価する重要な業務です。

解法ステップ

1. 「マネジメントの視点」を定義する：計画・方針・資源配分・監督・訓練・評価などの業務管理的な活動を指すと確認する。
2. 各選択肢（a〜d）が、単なる現場作業か、管理的な判断・計画・準備・訓練に当たるかを判別する。
3. 管理層が決めるべき事項（方針や確保・訓練など）であれば「マネジメントの視点」に含める。
4. 全て該当するものを含む選択肢を選ぶ。今回はいずれも該当するため、全選択肢が入っている イ を選ぶ。

選択肢別の誤答解説

• ア: a, b, c
  d（復旧手順の訓練）を除いている点が問題です。訓練（演習）は計画の有効性を確認し改善するため、BCPのマネジメントで必須です。よって不正解です。
• イ: a, b, c, d
  a〜d 全てが BCP のマネジメント活動に該当します。方針策定・資源確保・通信冗長化・訓練の全てが含まれるため正解です。
• ウ: a, d
  b（非常時用発電機と燃料の確保）と c（複数通信網の確保）を除外しています。BCPはシステムだけでなく電力や通信などの基盤も含むため、これらがないのは不十分で不正解です。
• エ: b, c, d
  a（重要データのバックアップ）が抜けています。データの保全は復旧の基本であり、方針・実行ルールの決定はマネジメントの重要な責務なので不正解です。

よくある誤解

1. 「バックアップは現場（技術者）だけの仕事」と考える
   → バックアップの実施は技術者が行う場合が多いですが、何を・いつ・どこに保管するか（頻度や保存期間、オフサイト保管など）はマネジメントが決め、運用を監督します。
2. 「BCPはIT機器だけの対策だ」と思う
   → BCP は業務継続を目的とするため、電力（非常用発電機・燃料）や通信回線、人的対応、拠点の確保など、IT以外の要素も含みます。
3. 「計画を立てれば十分。訓練は不要」と考える
   → 計画が実際に機能するかは演習でしか確認できません。訓練で問題点を洗い出し改善するのがマネジメントの重要な仕事です。

補足コラム

• DRP（Disaster Recovery Plan：災害復旧計画）との違い
  → BCP は事業全体の継続計画であり、DRP は主にシステムやITの復旧に特化した計画です。DRP は BCP の一部として位置づけられることが多いです。
• RTO / RPO（BCP・DRPでよく出る指標）
  → RTO（Recovery Time Objective：復旧目標時間）は業務やシステムが停止してからどれくらいの時間で復旧するかの目標。
  → RPO（Recovery Point Objective：復旧目標時点）はどの時点までのデータを復元できればよいか（データの最大許容損失時間）を示します。これらはバックアップ頻度や資源確保の判断に直結します。
• 実務メモ（誰が何を決めるかの例）
  → 経営層：BCP の方針・予算決定、最小限の事業継続レベルの設定（RTO/RPO）
  → 情報システム部門：技術的設計・バックアップ手順・回線契約管理
  → 総務/施設管理：発電機・燃料・非常用備品の調達・維持管理
  → 全社：訓練・周知・改善活動

FAQ