RTO・RPOとは？

RTO・RPOの意味

RTO（目標復旧時間）は障害発生からサービス復旧までの目標時間、RPO（目標復旧時点）はどの時点のデータまで復旧できるようにするかの目標を表す指標。バックアップ方式（フル・差分・増分）や取得間隔の設計に直結する。

RTO・RPOの具体例

「RTOは4時間以内、RPOは直近1時間以内」と定めた場合、障害発生から4時間以内にサービスを再開し、失われるデータは最大でも1時間分に抑えられるようバックアップ間隔を設計する。事業継続計画において、インシデント発生後どちらの目標時点までに何をすべきかを問う計算・選択問題がFEで出題される。

RTO・RPOは試験でどう引っ掛けられる？

RTOは「時間の長さ（復旧までの所要時間）」、RPOは「データのどの時点まで戻せるか」を表すという対象の違いを混同しやすい。

RTO・RPOと関連する用語

• BCP（事業継続計画）
• バックアップ運用（フル・差分・増分）

RTO・RPOが出た過去問

• 事業継続計画で用いられる用語であり，インシデントの発生後，次のいずれかの事項までに要する時間を表すものはどれか。 (1) 製品又はサービスが再開される。 (2)…

  正解：RTO

  要点：RTOは復旧までに許容される時間、RPOはどこまで遡るかの時点

  RTO（Recovery Time Objective、目標復旧時間）は、インシデント発生からサービスや事業活動の再開、資源の復旧までに許容される時間を表す指標である。事業継続計画では、どこまでの停止に耐えられるかをRTOとして定め、復旧手順を設計する。

  出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問41（IPA）

• 企業活動におけるBCPを説明したものはどれか。

  正解：災害やシステム障害など予期せぬ事態が発生した場合でも、重要な業務の継続を可能とするために事前に策定する行動計画のこと

  要点：BCPは有事に重要業務を継続するための事前の行動計画

  BCP（事業継続計画）は、災害やシステム障害などで通常の業務遂行が困難になった場合に備え、重要業務を目標時間内に再開・継続するための手順や体制、代替手段をあらかじめ定めた計画である。重要業務の絞込みと、RTO・RPOなど目標の設定が中核となる。

  出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問50（IPA）

• ディザスタリカバリを計画する際の検討項目の一つであるRPO（Recovery Point Objective）はどれか。

  正解：システムが再稼働したときに、災害発生前のどの時点の状態までデータを復旧しなければならないかを示す指標

  要点：RPOは戻せるデータの時点、RTOは復旧までの時間

  RPO（目標復旧時点）は、障害や災害からの復旧時に「どの時点のデータまで戻せればよいか」を示す指標で、許容できるデータ損失量を表す。RPOを短くするほどバックアップやレプリケーションの頻度を上げる必要がありコストが増える。復旧までの時間を表すRTO（目標復旧時間）と混同しないことが重要である。

  出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問4（IPA）

• A社は従業員200名の電子機器メーカーである。東京に本社があり、新潟に工場がある。A社では、ファイルサーバを次のように運用している。・ファイルサーバは本社と工場…

  正解：a1=火曜日の正午、a2=4.50、a3=CISO

  要点：RPOは遡れる時点、復旧時間はフルと増分の合計で見積もる

  RPOは、障害時にどこまで過去のデータであれば許容できるかを示す指標です。RPOが72時間なので、金曜日の正午に障害が起きた場合は少なくとも72時間前の火曜日正午時点のデータまで復元できればよいことになります。木曜日正午の障害では、土曜のフルバックアップに火曜と木曜の増分2回を適用するので、4＋0.25×2＝4.50時間掛かります。またICT継続の計画書は、情報セキュリティを統括する立場であるCISOが承認します。

  出典：令和8年度 （公開問題） 情報セキュリティマネジメント試験 kamokuAB 問14（IPA）