RTOとは？

RTOの意味

障害発生からシステムや業務を復旧させるまでに許容される目標時間。BCPにおいて、業務ごとにどれだけ早く復旧させる必要があるかを定める指標。

RTOの具体例

基幹の受発注システムのRTOを「4時間」と設定した場合、障害発生から4時間以内に業務を再開できる体制を整えておく必要がある。

RTOは試験でどう引っ掛けられる？

RTO（復旧までの時間）とRPO（データをどこまで遡って復旧できるか）は対になる概念だが、意味する対象が異なるため混同しやすい。

RTOと関連する用語

• RPO
• MTPD
• BCP

RTOが出た過去問

• 事業継続計画で用いられる用語であり，インシデントの発生後，次のいずれかの事項までに要する時間を表すものはどれか。 (1) 製品又はサービスが再開される。 (2)…

  正解：RTO

  要点：RTOは復旧までに許容される時間、RPOはどこまで遡るかの時点

  RTO（Recovery Time Objective、目標復旧時間）は、インシデント発生からサービスや事業活動の再開、資源の復旧までに許容される時間を表す指標である。事業継続計画では、どこまでの停止に耐えられるかをRTOとして定め、復旧手順を設計する。

  出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問41（IPA）

• 企業活動におけるBCPを説明したものはどれか。

  正解：災害やシステム障害など予期せぬ事態が発生した場合でも、重要な業務の継続を可能とするために事前に策定する行動計画のこと

  要点：BCPは有事に重要業務を継続するための事前の行動計画

  BCP（事業継続計画）は、災害やシステム障害などで通常の業務遂行が困難になった場合に備え、重要業務を目標時間内に再開・継続するための手順や体制、代替手段をあらかじめ定めた計画である。重要業務の絞込みと、RTO・RPOなど目標の設定が中核となる。

  出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問50（IPA）

• ディザスタリカバリを計画する際の検討項目の一つであるRPO（Recovery Point Objective）はどれか。

  正解：システムが再稼働したときに、災害発生前のどの時点の状態までデータを復旧しなければならないかを示す指標

  要点：RPOは戻せるデータの時点、RTOは復旧までの時間

  RPO（目標復旧時点）は、障害や災害からの復旧時に「どの時点のデータまで戻せればよいか」を示す指標で、許容できるデータ損失量を表す。RPOを短くするほどバックアップやレプリケーションの頻度を上げる必要がありコストが増える。復旧までの時間を表すRTO（目標復旧時間）と混同しないことが重要である。

  出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問4（IPA）

• A社は従業員200名の電子機器メーカーである。東京に本社があり、新潟に工場がある。A社では、ファイルサーバを次のように運用している。・ファイルサーバは本社と工場…

  正解：a1=火曜日の正午、a2=4.50、a3=CISO

  要点：RPOは遡れる時点、復旧時間はフルと増分の合計で見積もる

  RPOは、障害時にどこまで過去のデータであれば許容できるかを示す指標です。RPOが72時間なので、金曜日の正午に障害が起きた場合は少なくとも72時間前の火曜日正午時点のデータまで復元できればよいことになります。木曜日正午の障害では、土曜のフルバックアップに火曜と木曜の増分2回を適用するので、4＋0.25×2＝4.50時間掛かります。またICT継続の計画書は、情報セキュリティを統括する立場であるCISOが承認します。

  出典：令和8年度 （公開問題） 情報セキュリティマネジメント試験 kamokuAB 問14（IPA）