基本情報技術者試験 - 令和6年1月修了 - 問45

A社では，自然災害などの際の事業継続を目的として，業務システムのデータベースのバックアップを取得している。その状況について， “情報セキュリティ管理基準（平成28年）” に従って実施した監査結果として判明した状況のうち，監査人が指摘事項として監査報告書に記載すべきものはどれか。

ア	バックアップ取得手順書を作成し，取得担当者を定めていた。
イ	バックアップを取得した電子記録媒体からデータベースを復旧する試験を，事前に定めたスケジュールに従って実施していた。
ウ	バックアップを取得した電子記録媒体を，機密保持を含む契約を取り交わした外部の倉庫会社に委託保管していた。
エ	バックアップを取得した電子記録媒体を，業務システムが稼働しているサーバの近くで保管していた。

◀ 問44　|　▲ 令和6年1月修了問題一覧　|　問46 ▶

答え：エ
分野：マネジメント系 › サービスマネジメント › システム監査 › システム監査

同一問題 ：〔令4修1問58〕〔令2修7問60〕〔平31春問60〕

解説：
情報セキュリティ管理基準に照らして，データベースのバックアップ運用について監査した結果，指摘事項として報告すべき状況を選ぶ問題です。バックアップの目的の一つは，災害などで元のシステムやデータが失われた場合に備えることにあります。

ところが，バックアップを取得した記録媒体を，業務システムが稼働しているサーバのすぐ近くに保管していると，地震や火災などの災害が起きた際に，元のデータとバックアップの両方が同時に被害を受けてしまう可能性があります。これでは事業継続を目的としたバックアップの意味が薄れてしまうため，監査での指摘事項として報告すべき状況にあたります。従って，正解は「エ」です。

「ア」の手順書の作成や担当者の明確化，「イ」の復旧試験の定期的な実施，「ウ」の機密保持契約を結んだ外部倉庫会社への委託保管は，いずれもバックアップ運用として適切かつ望ましい対応であり，特に指摘すべき問題点とはいえません。