情報セキュリティマネジメント試験 無料問題 7 / 10 ・ 分野3: その他の分野
業務システムについて「障害が起きても、前日の夜に取ったバックアップの状態まで戻せればよい」と決めた。中小企業の情報セキュリティ対策ガイドラインの用語で、この「どこまで戻すか」の目標を表すものはどれか。
- 目標復旧時間（RTO）
- 目標復旧時点（RPO）
- 最大許容停止時間
- 運用に要求される稼動率
正解と解説を見る
正解: B
正解の理由
ガイドラインは、事業上重要なシステムについて、目標復旧時間（RTO）と目標復旧時点（RPO）に合わせてバックアップ取得や手順整備を行い、訓練で実効性を検証するよう求めている。そのうえで RPO を Recovery Point Objective の略語で、目標とする復旧の時点（直近のバックアップ時点）を指すと説明している。設問の「前日の夜のバックアップの状態まで」は、この時点の目標に当たる。
違う選択肢
「目標復旧時間（RTO）」… ガイドラインは RTO を、目標復旧レベルまでの復旧に要する時間を指すとしている。何時間で戻すかという時間の目標で、どの状態のデータまで戻すかの目標ではない。
「最大許容停止時間」… システム管理基準は、優先して復旧する業務について、最大許容停止時間を目標復旧時間と並べて定めるとしている。業務が止まっていてよい時間の上限で、どの時点のデータまで戻すかの目標ではない。
「運用に要求される稼動率」… システム管理基準は、情報システムの運用に要求される稼動率を確保して可用性を維持することを管理活動に挙げている。どれだけ止まらずに動いているかの値で、戻す先のデータの時点を表すものではない。
押さえどころ
RPO は「どの時点のデータまで戻すか」、RTO は「どれだけの時間で戻すか」。RPO を前日の夜とするなら、少なくとも毎晩バックアップを取っている必要がある。つまり RPO はバックアップの頻度を決め、RTO は復旧の手順と体制を決める。