平成31年度 春期 基本情報技術者試験 午前 問60
マネジメント／システム監査A社では，自然災害などの際の事業継続を目的として，業務システムのデータベースのバックアップを取得している。その状況について，“情報セキュリティ管理基準（平成28年）”に従って実施した監査結果として判明した状況のうち，監査人が指摘事項として監査報告書に記載すべきものはどれか。
出典：平成31年度 春期 基本情報技術者試験 午前 問60
- アバックアップ取得手順書を作成し，取得担当者を定めていた。
- イバックアップを取得した電子記録媒体からデータベースを復旧する試験を，事前に定めたスケジュールに従って実施していた。
- ウバックアップを取得した電子記録媒体を，機密保持を含む契約を取り交わした外部の倉庫会社に委託保管していた。
- エバックアップを取得した電子記録媒体を，業務システムが稼働しているサーバの近くで保管していた。
正解：エ
解説
バックアップを取得した記録媒体を業務システムが稼働しているサーバの近くで保管していると，地震や火災などの自然災害でサーバとバックアップ媒体が同時に被災し，両方とも失われるおそれがあります。事業継続を目的としたバックアップの趣旨に反するため，監査人が指摘すべき事項に当たります。
選択肢ごとの解説
- ア誤り。手順書を整備し取得担当者を定めることは適切な管理体制であり，指摘事項には当たりません。
- イ誤り。復旧試験を事前のスケジュールに従って実施していることは望ましい対応であり，指摘事項には当たりません。
- ウ誤り。機密保持契約を結んだ外部倉庫会社への委託保管は，災害時のリスク分散として適切な対応であり，指摘事項には当たりません。
- エ正しい。バックアップ媒体を業務サーバの近くで保管すると，同一の災害で両方とも失われるおそれがあり，事業継続の目的を果たせないため指摘事項に当たります。