ISMS・諸規程・情報セキュリティ継続｜平成29年度 春期 情報セキュリティマネジメント試験 午前 問4

• 業務の継続性を維持するために必要な人員計画と要求される交代要員のスキルを示す指標
• 災害発生時からどのくらいの時間以内にシステムを再稼働しなければならないかを示す指標
• 災害発生時に業務を代替する遠隔地のシステム環境と，通常稼働しているシステム環境との設備投資の比率を示す指標
• ✓ これが正解システムが再稼働したときに，災害発生前のどの時点の状態までデータを復旧しなければならないかを示す指標

解説

RPOは、どの時点のデータまで戻すかの目標です。

災害でシステムが止まったときの備えを考えるときは、二つの目標を分けて決めます。一つは、いつまでに動かし直すかという時間の目標、もう一つは、どの時点の状態までデータを戻すかという時点の目標です。RPOは後者に当たり、システムが再稼働したときに、災害発生前のどの時点の状態までデータを復旧しなければならないかを示します。ここが決まると、どれくらいの間隔でバックアップを取ればよいかも決まります。一日に一度しか控えを取らない運用なら、最大で一日ぶんのデータは失われても仕方がない、という取り決めになるからです。時間の側の目標はRTOと呼ばれ、二つは別の指標として使い分けます。

ほかの選択肢はなぜ違うのか

• 必要な人員の計画や、交代要員に求められる技能を表す指標は、人の手当てをどうするかという話です。データをどこまで戻すかという復旧の目標とは、測っている対象そのものが違います。
• 災害の発生からどれだけの時間で再稼働させるかを表すのは、時間の側の目標であるRTOです。同じ復旧の目標でも、時間を測るものと時点を測るものとで役割が分かれます。
• 遠隔地の設備と通常の設備との投資額の比率は、費用をどう配分したかを表す数字です。どこまで復旧するかという水準を定めるために使われる指標ではありません。

この問題に関係する言葉

• RPO障害が起きたとき、どの時点のデータまで戻せればよいかの目標。復旧までの時間の目標であるRTOとは別の指標です。
• RTO障害が起きてから、どれだけの時間で業務を再開させるかの目標。失ってよいデータ量の目標であるRPOとは別の指標です。
• ディザスタリカバリ災害で止まったシステムを、復旧させるための備えのことです。どの時点まで戻すかをRPO、いつまでに戻すかをRTOで決めます。
• バックアップ失っても元に戻せるよう、データの複製を別に取っておくこと。取るだけでなく、戻せるかを確かめておくのが要点です。

出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問4

この問題を演習で解く

同じ単元をまとめて解くならISMS・諸規程・情報セキュリティ継続へ。

この解説に誤りを見つけたら教えてください。直して、直した記録を残します。誤りを報告する（メールが開きます）