A社では、自然災害などの際の事業継続を目的として、業務システムのデータベースのバックアップを取得している。その状況について、"情報セキュリティ管理基準（平成28年）"に従って実施した監査結果として判明した状況のうち、監査人が指摘事項として監査報告書に記載すべきものはどれか。

選択肢

• アバックアップ取得手順書を作成し、取得担当者を定めていた。
• イバックアップを取得した電子記録媒体からデータベースを復旧する試験を、事前に定めたスケジュールに従って実施していた。
• ウバックアップを取得した電子記録媒体を、機密保持を含む契約を取り交わした外部の倉庫会社に委託保管していた。
• エバックアップを取得した電子記録媒体を、業務システムが稼働しているサーバの近くで保管していた。

正解と解説

正解：エ バックアップを取得した電子記録媒体を、業務システムが稼働しているサーバの近くで保管していた。

バックアップは、災害などで元のシステムが被害を受けても失われない場所に保管する必要がある。稼働中のサーバの近くに置いていては、火災や水害、地震で本体と媒体が同時に失われ、事業継続の目的を果たせない。したがってこの状況は指摘事項に当たる。手順書の整備、復旧試験の定期実施、契約を伴う外部保管はいずれも望ましい実施状況である。

選択肢ごとの解説

• ア手順書と担当者を定めるのは適切な管理状況で、指摘の対象にならない。
• イ復旧試験を計画的に実施しているのは望ましい状態。
• ウ機密保持契約を結んだうえでの遠隔地保管は適切な運用。
• エ正解。サーバの近くでの保管では同時被災の恐れがあり、指摘すべき状況。

同じ分野の他の問題

• サーバ室の物理的な安全対策の状況について，情報セキュリティ管理基準（平成28年）に照らして，情報セキュリティ監査を行って…2025年度 公開問題 科目A 問15
• A社では,従業員が自宅のPCからインターネット経由で自社のネットワークに接続して仕事を行うテレワーキングの実施を計画して…2023年度 公開問題 科目A 問14
• 情報セキュリティ監査において、可用性を確認するチェック項目はどれか。2018年度 春期 午前 問60
• システムテストの監査におけるチェックポイントのうち、最も適切なものはどれか。2019年度 秋期 午前 問58
• 外部保管のために専門業者に機密情報を含むバックアップ媒体を引き渡す際の安全性について，情報セキュリティ監査を実施した。そ…2018年度 秋期 午前 問59