情報セキュリティ管理

1. 情報資産を洗い出して分類する

何を守るのかを決めないと守れない。情報資産の洗い出し、台帳への記録、分類とラベリング、そして最後の廃棄までを押さえます。

情報セキュリティの出発点は「守るべきものは何か」をはっきりさせることです。ここで守る対象を情報資産と呼びます。情報資産は紙やデータだけではありません。顧客名簿や設計図などのデータ、契約書や申込書などの書類、それを扱うパソコン・サーバ・USBメモリ・スマートフォンなどの機器、業務アプリケーションやOSなどのソフトウェア、そして担当者しか知らない手順やノウハウといった人が持つ知識、さらに会社の信用やブランドといった無形資産まで含みます。守る範囲を狭く考えると、そこから漏れたところが弱点になります。

洗い出した情報資産は情報資産台帳（情報資産管理台帳）にまとめます。台帳に書くのは、資産名、資産の管理責任者（オーナー）、保管場所、媒体の種類（紙・電子・機器）、機密度、重要度、そして数量や利用者の範囲です。台帳がないと「誰の持ち物か分からない情報」が生まれ、事故が起きても被害範囲を特定できません。台帳は作って終わりではなく、定期的な棚卸しで実物と突き合わせ、増えた資産・廃棄した資産を反映して最新に保ちます。

台帳ができたら情報を分類します。よく使われるのは、外部に出ると重大な影響が出る「機密（極秘）」、社内に限って共有する「社外秘」、誰が見てもよい「公開」といった段階です。分類の基準は機密性だけでなく、失われたときの影響（完全性・可用性）も見て決めます。分類したら、その区分がひと目で分かるようにラベリングします。紙なら表紙や欄外への表示、電子ファイルならファイル名やヘッダ、フォルダ単位の表示です。ラベルがあるから、扱う人は「これはメール添付してよいのか」を判断できます。

資産には役割を決めます。管理責任者（情報資産のオーナー）は、その資産の分類を決め、誰にどこまでのアクセスを許すかを承認し、定期的に見直す責任を負います。利用者は、決められた分類とルールの範囲内で使い、持ち出しや複製は承認を得て行い、異常に気付いたら報告します。「管理責任者は分類と承認、利用者は遵守と報告」という分担が基本です。

情報には一生があります。作成（取得）、利用、保管、移送（持出し・送付）、廃棄というライフサイクルの各段階に、それぞれ守るべきことがあります。作成時は分類を決める、利用時はアクセス権の範囲で使う、保管時は施錠保管や暗号化、移送時は封緘・書留・暗号化・受渡し記録、そして最後が廃棄です。

廃棄はもっとも忘れられやすく、もっとも事故が起きやすい段階です。紙はシュレッダーで細断するか溶解処理にします。電子データは、ごみ箱を空にしただけ、クイックフォーマットしただけでは復元できてしまうので、データ消去ソフトによる上書き消去や暗号化消去を行います。ハードディスクやSSDを処分するときは物理破壊（穿孔・破砕）が確実です。処分を外部業者に委託するときは、作業の立会いか、破壊証明書・データ消去証明書の受領によって、確かに消去されたことを記録として残します。

用語

情報資産

組織にとって価値があり守るべき対象。データや書類だけでなく、それを扱う機器・ソフトウェア、担当者の知識やノウハウ、企業の信用やブランドといった無形のものも含む。

情報資産台帳

洗い出した情報資産を一覧にした管理簿。資産名・管理責任者・保管場所・媒体・機密度・重要度などを記録し、定期的な棚卸しで最新の状態に保つ。

管理責任者（資産のオーナー）

その情報資産の分類を決め、アクセス権を承認し、定期的に見直す責任を持つ人。利用者は決められたルールの範囲内で使い、異常があれば報告する立場。

ラベリング

情報の分類区分を、紙なら表示、電子ならファイル名やヘッダなどで見て分かるようにすること。扱う人が取扱いを判断できるようにするために行う。

情報のライフサイクル

作成・利用・保管・移送・廃棄という情報の一生。段階ごとに必要な管理策が異なり、とくに移送と廃棄で事故が起きやすい。

データ消去証明書

記憶媒体のデータ消去や物理破壊を委託したときに、作業が確かに行われたことを示す書面。立会いとあわせて、廃棄の証拠を残す手段になる。

例題

出典・根拠：IPA「情報セキュリティマネジメント試験（レベル2）」シラバス Ver.4.1 科目A 大分類1：技術要素　中分類1：セキュリティ　小分類2 情報セキュリティ管理（情報資産の調査・分類、情報資産台帳）／JIS Q 27000 用語

2. リスクアセスメント

リスク特定→リスク分析→リスク評価という順序と、回避・移転・低減・受容という4つの対応。試験で最も問われる骨格です。

リスクマネジメントは、組織の目的の達成を邪魔しうる不確かさを、洗い出して、評価して、対応して、見直し続ける一連の活動です。大きな流れは、まず適用範囲や前提を決め（状況の確定）、次にリスクアセスメントを行い、その結果に基づいてリスク対応を決め、実施し、監視とレビューで見直す、というサイクルになります。関係者への説明や意見交換であるリスクコミュニケーションは、この全体を通じて行います。

この中でリスクアセスメントは、リスク特定→リスク分析→リスク評価の3つで構成されます。この順序は繰り返し問われるので確実に覚えてください。リスク特定は、どんなリスクがあるかを見つけて書き出す段階です。情報資産・脅威・脆弱性の組合せで洗い出します。リスク分析は、見つけたリスクの起こりやすさ（発生可能性）と、起きたときの影響の大きさを見積もり、リスクの大きさ（リスクレベル）を求める段階です。リスク評価は、分析で求めた大きさをあらかじめ決めておいたリスク基準と照らして、対応が必要か、どれを優先するかを決める段階です。「見つける→測る→比べる」と覚えると順序を間違えません。

比べるための物差しをリスク基準といいます。中でも「ここまでなら受け入れてよい」という線がリスク受容基準です。この基準は組織が自分で決めるもので、経営層が承認します。基準がないと、分析して数字が出ても対応するかどうかを判断できません。

リスク分析のやり方には定性的評価と定量的評価があります。定性的評価は、発生可能性と影響度を「大・中・小」や3段階・5段階の点数で表し、リスクマトリックス（発生可能性を縦軸、影響度を横軸に取った表）で大きさを決めます。手早くでき、金額で表しにくいリスク（信用の低下など）も扱えるのが利点です。定量的評価は、被害を金額で見積もります。代表的な考え方が年間予想損失額です。

1回事故が起きたときの損失額を単一予想損失額（SLE）、その事故が1年間に起きると見込まれる回数を年間発生率（ARO）といい、年間予想損失額（ALE）はALE＝SLE×AROで求めます。たとえば1回で500万円の損失が出る事故が2年に1回（ARO＝0.5）起きるなら、ALEは500万円×0.5＝250万円です。ALEは対策の費用対効果を判断するのに使えます。対策に年150万円かかり、それによってALEが250万円から50万円に下がるなら、削減額200万円に対して費用150万円なので、金額の面では合理的だと言えます。

評価の結果を受けて行うのがリスク対応です。よく使われる4分類は、回避・移転（共有）・低減（軽減）・受容（保有）です。回避はリスクの原因となる活動そのものをやめることで、たとえば採算の見込みが薄いうえに個人情報を大量に扱う事業から撤退する、危険なサービスの提供を中止する、といった対応です。移転（共有）は、リスクによる損失を他者と分け合うことで、保険に加入する、業務を専門の外部事業者に委託して契約で責任を分担する、といった対応です。低減（軽減）は、対策を打って発生確率を下げたり影響を小さくしたりすることで、ウイルス対策ソフトの導入、暗号化、バックアップ取得、教育などが当たります。受容（保有）は、リスクが受容基準の範囲内で影響も小さいため、あえて対策を取らずそのまま受け入れることです。なお、対策を打っても残るリスクを残留リスクといい、これを受け入れるかどうかは経営層が承認します。「保険＝移転」「撤退＝回避」「対策＝低減」「そのまま＝受容」という対応づけが頻出です。

リスク保有（受容）を選ぶのは「面倒だから放置する」ことではありません。対策費用が想定損失を上回る、影響が受容基準の範囲内である、といった根拠を示し、責任者が判断して記録に残すのが正しい保有です。また、リスクの大きさや対応方針は関係者と共有し、意見を交換します。これがリスクコミュニケーションで、経営層・現場・取引先・顧客との認識のずれをなくす役割を持ちます。

用語

リスクアセスメント

リスク特定・リスク分析・リスク評価の3つからなる一連の活動。どんなリスクがあるかを洗い出し、大きさを見積もり、リスク基準と比べて対応の要否と優先順位を決める。

リスク特定

アセスメントの最初の段階。情報資産・脅威・脆弱性の組合せから、どのようなリスクが存在するかを発見し、認識し、記述する。ここでは大きさの判断はしない。

リスク分析

特定したリスクについて、発生可能性と起きたときの影響の大きさを見積もり、リスクレベルを決める段階。定性的評価と定量的評価がある。

リスク評価

分析で求めたリスクレベルをリスク基準と比較し、対応が必要かどうか、どれから対応するかを決める段階。アセスメントの最後に位置する。

リスク受容基準

組織が「ここまでの大きさなら受け入れてよい」と定めた線。経営層が承認する。この基準がなければ評価の判断ができない。

年間予想損失額（ALE）

1年間に見込まれる損失額。単一予想損失額（SLE）に年間発生率（ARO）を掛けて求める。ALE＝SLE×ARO。対策費用と比較して費用対効果を判断できる。

リスクマトリックス

発生可能性と影響度をそれぞれ段階で表し、交差する位置でリスクの大きさを判定する表。定性的評価でよく用いられる。

残留リスク

リスク対応を実施したあとも残るリスク。ゼロにはできないため、残った分を受け入れるかどうかを責任者（経営層）が判断し承認する。

リスクコミュニケーション

リスクとその対応について、経営層・従業員・取引先・顧客などの関係者と情報を共有し意見を交換する活動。認識のずれを防ぐ。

例題

出典・根拠：IPA「情報セキュリティマネジメント試験（レベル2）」シラバス Ver.4.1 科目A 大分類1：技術要素　中分類1：セキュリティ　小分類2 情報セキュリティ管理（リスクマネジメント、リスクアセスメント、リスク対応）／JIS Q 27000 用語／JIS Q 31000

3. ISMSと規格

ISMSの考え方と、JIS Q 27001と27002の違い、PDCA、適合性評価制度、プライバシーマークまでを整理します。

ISMS（情報セキュリティマネジメントシステム）は、情報セキュリティを個々の技術的な対策だけに任せず、組織の仕組みとして継続的に管理する枠組みです。目的は、情報の機密性・完全性・可用性を維持しながら、リスクを組織が受け入れられる水準に保つことです。特定の製品を入れれば実現するものではなく、方針を決め、リスクアセスメントを行い、管理策を選び、実施し、監視し、改善するという一連の活動全体を指します。

規格の役割分担をはっきりさせましょう。JIS Q 27001は、ISMSに対する要求事項を定めた規格です。「組織はこうしなければならない」という形で書かれ、認証の基準になります。一方JIS Q 27002は、情報セキュリティ管理策の実践のための規範（ガイドライン）です。個々の管理策をどう実装すればよいかの手引きであり、要求事項ではありません。つまり「27001＝要求事項・認証の対象、27002＝実践の手引き」です。この2つを入れ替えた誤りの選択肢が頻繁に出るので、番号と役割をセットで覚えてください。なお、用語や概要を定めているのがJIS Q 27000です。

組織のISMSが27001の要求事項を満たしているかを、第三者である認証機関が審査して認証するのがISMS適合性評価制度です。日本ではISMS-AC（情報マネジメントシステム認定センター）が認証機関を認定し、認定された認証機関が組織を審査します。認証は取れば終わりではなく、定期的な維持審査と数年ごとの更新審査を受け続けます。

ISMSの運用はPDCAサイクルで回します。Plan（計画）で、適用範囲を決め、情報セキュリティ方針を定め、リスクアセスメントを行い、管理策を選定します。Do（実行）で、管理策を導入し、教育を行い、日々運用します。Check（点検）で、監視・測定を行い、内部監査を実施し、マネジメントレビューで経営層が有効性を評価します。Act（改善）で、不適合の是正処置を行い、仕組みそのものを見直します。この繰り返しが継続的改善です。

Planの成果物として重要なのが適用宣言書です。適用宣言書には、選択した管理策とその選択理由、実施状況、そして採用しなかった管理策についてはその除外理由を記載します。「なぜこの管理策を選び、なぜこれは要らないと判断したか」を説明する文書だと理解してください。もう一つの中核が情報セキュリティ方針で、組織としての基本的な考え方と経営層のコミットメントを示し、全員に周知します。

点検の要が内部監査とマネジメントレビューです。内部監査は、決めたとおりに運用されているか、有効に機能しているかを組織自身が確認する活動で、客観性を保つため監査人は自分の担当業務を監査しません。マネジメントレビューは、監査結果や指標、インシデントの状況などを踏まえ、経営層がISMSの適切性・妥当性・有効性を評価し、改善や資源配分を指示する場です。

個人情報を扱う仕組みには別の規格があります。JIS Q 15001は個人情報保護マネジメントシステム（PMS）の要求事項を定めた規格で、これに適合していることを審査して付与されるのがプライバシーマーク（Pマーク）です。「27001＝ISMS認証、15001＝プライバシーマーク」という対応で覚えます。ISO/IEC 27017はクラウドサービスの情報セキュリティ管理策に関する規範、ISO/IEC 27701はプライバシー情報マネジメント（PIMS）に関する規格です。制御システム向けのマネジメントシステムはCSMS（サイバーセキュリティマネジメントシステム）と呼ばれ、その適合性評価制度もあります。また、企業の情報セキュリティ対策の水準を第三者が評価して等級で示す情報セキュリティ格付という仕組みもあります。

用語

ISMS

情報セキュリティマネジメントシステム。情報の機密性・完全性・可用性を維持し、リスクを受容可能な水準に保つための組織的な仕組み。技術対策だけでなく方針・運用・改善までを含む。

JIS Q 27001

ISMSの要求事項を定めた規格。認証の基準となり、「〜しなければならない」という形で組織がすべきことを規定する。

JIS Q 27002

情報セキュリティ管理策の実践のための規範。個々の管理策をどう実装するかの手引きであり、認証の要求事項ではない。

適用宣言書

選択した管理策とその選択理由、実施状況、および採用しなかった管理策の除外理由を記載した文書。管理策の取捨選択の根拠を示す。

ISMS適合性評価制度

組織のISMSがJIS Q 27001の要求事項に適合しているかを第三者の認証機関が審査し認証する制度。認定機関がその認証機関を認定する。

マネジメントレビュー

内部監査結果や測定値、インシデント状況などを踏まえ、経営層がISMSの適切性・妥当性・有効性を評価し、改善や資源配分を指示する活動。

JIS Q 15001

個人情報保護マネジメントシステム（PMS）の要求事項を定めた規格。この規格への適合を審査して付与されるのがプライバシーマーク。

ISO/IEC 27017

クラウドサービスに関する情報セキュリティ管理策の実践の規範。クラウド事業者と利用者それぞれの立場での管理策の指針を示す。

ISO/IEC 27701

プライバシー情報マネジメントシステム（PIMS）に関する規格。ISMSの枠組みを拡張し、個人情報の取扱いに関する要求事項と手引を示す。

例題

出典・根拠：IPA「情報セキュリティマネジメント試験（レベル2）」シラバス Ver.4.1 科目A 大分類1：技術要素　中分類1：セキュリティ　小分類2 情報セキュリティ管理（ISMS、情報セキュリティマネジメント）／JIS Q 27000／JIS Q 27001／JIS Q 27002／JIS Q 15001／ISO／IEC 27017／ISO／IEC 27701

4. 規程と体制をつくる

情報セキュリティポリシの3階層と、それぞれに何を書くか。CISOや委員会といった体制、周知・例外承認・見直しの手続まで。

決めごとがなければ、現場は判断できません。組織のルールを文書として整えたものが情報セキュリティポリシです。一般に3階層で構成されます。上から順に、基本方針（情報セキュリティポリシの狭義の意味で使われることもあります）、対策基準、実施手順です。上位ほど抽象的で変わりにくく、下位ほど具体的で頻繁に更新されます。

基本方針には、組織として情報セキュリティに取り組む目的、適用範囲、経営陣の責任とコミットメント、遵守の義務と違反時の措置といった、組織の姿勢を書きます。経営層が承認し、全従業員はもちろん、必要に応じて外部にも公開します。中身に具体的な製品名や設定値は書きません。

対策基準には、基本方針を実現するために守るべき事項を分野ごとに書きます。たとえばアクセス制御、パスワードの要件、可搬媒体の持出し、外部委託先の管理、事故発生時の報告といったテーマごとに、何をしなければならないかを定めます。「何をするか（What）」のレベルです。

実施手順には、対策基準を実際にどう行うかを具体的に書きます。手順書・マニュアル・チェックリストの類で、操作の画面や設定値、担当者、記録の残し方まで含みます。「どうやるか（How）」のレベルで、システムの変更に応じて頻繁に改訂されます。試験では、この3階層の順序と、どの内容がどの階層に当たるかがよく問われます。

ポリシは経営の問題です。経営陣は方針を承認し、必要な人・予算・時間を割り当て、自ら遵守する姿勢を示します。これがコミットメントです。実務の責任者として置かれるのがCISO（最高情報セキュリティ責任者）で、組織全体の情報セキュリティ戦略と施策を統括し、経営層に報告します。部門横断で方針・規程の審議や重要事案の判断を行う場が情報セキュリティ委員会です。あわせて、情報資産の管理責任者、システム管理者、一般の利用者など、役割と責任を割り当てて文書化します。誰の仕事か決まっていない作業は、実際には誰もやりません。

作った規程は、周知して初めて効きます。入社時教育、定期的な研修、eラーニング、標的型攻撃メールの訓練などを通じて、対象者に応じた内容で継続的に伝えます。理解度の確認や遵守の誓約を取る方法もあります。周知していないルール違反を一方的に責めることはできません。

現場では、規程どおりにできない事情が出てきます。そのときに必要なのが例外承認の手続です。勝手に破るのでも我慢するのでもなく、申請書に理由・期間・代替の管理策を書いて所定の責任者の承認を受け、記録に残し、期限が来たら見直します。例外を無記録で許すと規程は形骸化します。また規程自体も、法改正、新しい技術やサービスの導入、組織変更、インシデントの発生、内部監査の指摘などを機に、定期的に見直します。

経営層向けの指針としては、経済産業省とIPAが公表するサイバーセキュリティ経営ガイドラインがあります。経営者が認識すべき3原則と、経営者がCISO等に指示すべき重要10項目で構成され、セキュリティを投資として捉え、自社だけでなく取引先を含めた対策や、有事に備えた体制整備を求めています。

用語

情報セキュリティポリシ

組織の情報セキュリティに関する規程の体系。一般に基本方針・対策基準・実施手順の3階層で構成し、上位ほど抽象的、下位ほど具体的になる。

基本方針

ポリシの最上位。取組みの目的、適用範囲、経営陣の責任とコミットメント、遵守義務などを示す。経営層が承認し、外部に公開することもある。

対策基準

ポリシの中間層。基本方針を実現するために守るべき事項を、アクセス制御や媒体の持出しなど分野ごとに定める。「何をするか」のレベル。

実施手順

ポリシの最下層。対策基準を実行するための具体的な手順書・マニュアル・チェックリスト。「どうやるか」のレベルで、頻繁に改訂される。

CISO

最高情報セキュリティ責任者。組織全体の情報セキュリティ戦略と施策を統括し、経営層に報告する役割を担う責任者。

情報セキュリティ委員会

部門横断で情報セキュリティの方針・規程の審議や重要事案の判断を行う組織。経営層や各部門の責任者で構成されることが多い。

例外承認

規程どおりに実施できない場合に、理由・期間・代替の管理策を明示して所定の責任者の承認を受け、記録に残す手続。期限が来たら見直す。

サイバーセキュリティ経営ガイドライン

経済産業省とIPAが公表する経営者向けの指針。経営者が認識すべき3原則と、経営者がCISO等に指示すべき重要10項目からなる。

例題

出典・根拠：IPA「情報セキュリティマネジメント試験（レベル2）」シラバス Ver.4.1 科目A 大分類1：技術要素　中分類1：セキュリティ　小分類2 情報セキュリティ管理（情報セキュリティポリシ、組織における体制）／サイバーセキュリティ経営ガイドライン（経済産業省・IPA）

5. 事業を止めない備え

BCPとBCM、RTO・RPO・RLO、BIA、そしてバックアップの方式と3-2-1ルール。止まっても戻せる体制を作ります。

災害、大規模なシステム障害、ランサムウェア感染。どれだけ対策しても、事業が止まる事態は起こりえます。そこで必要になるのが事業継続の備えです。BCP（事業継続計画）は、そうした事態が起きたときに、重要な業務をどう継続し、どう復旧させるかを定めた計画そのものです。これに対しBCM（事業継続マネジメント）は、BCPを策定し、教育・訓練を行い、実施状況を点検して見直すという、継続的な運用の仕組み全体を指します。「BCPは計画（文書）、BCMはその計画を作って回し続ける管理活動」という関係です。

計画を作る前提として行うのが事業影響度分析（BIA）です。どの業務が止まると、いつまでに、どれくらいの損害が出るのかを分析し、優先して復旧すべき重要業務と、その業務が依存している資源（システム、人、場所、取引先）を洗い出します。すべてを同時に復旧することはできないので、優先順位を先に決めておくわけです。

復旧の目標は3つの指標で表します。RTO（目標復旧時間）は、障害発生から復旧までにかけてよい時間の目標です。「4時間以内に業務を再開する」という形で表します。RPO（目標復旧時点）は、どの時点のデータまで戻せればよいかという目標で、言い換えるとどれだけのデータ損失を許容するかです。「直近24時間以内のデータまで戻せればよい」と決めたなら、バックアップは少なくとも1日1回必要になります。RLO（目標復旧レベル）は、復旧した時点でどの水準まで業務を回復させるかの目標で、「まず受注業務だけを平常時の50%の処理能力で再開する」といった形です。RTOは時間、RPOは時点（データの鮮度）、RLOは水準。ここは入れ替えた誤りの選択肢が定番なので、しっかり区別してください。

戻すための土台がバックアップです。方式は3つあります。フルバックアップは対象データをすべて取得する方式で、取得に時間と容量を要しますが、復元はその1本だけで済みます。差分バックアップは、直前のフルバックアップ以降に変更されたデータを毎回すべて取得する方式で、日が経つほど1回の取得量は増えますが、復元にはフルバックアップと最新の差分1本があれば足ります。増分バックアップは、前回のバックアップ（フルでも増分でも）以降に変更された分だけを取得する方式で、取得は最も速く容量も小さい代わりに、復元にはフルバックアップとそれ以降のすべての増分が必要になります。「差分は最新の1本だけ、増分は全部いる」と覚えます。増分は媒体が1本でも壊れていると、それ以降を復元できません。

保管の考え方としてよく挙げられるのが3-2-1ルールです。データは原本を含めて3つ持つ、2種類の異なる媒体に保存する、そのうち1つは別の場所（オフサイト）に置く、という指針です。同じ建物の中に3世代置いていても、火災や水害では全部失われます。別の場所に1つ置くのはそのためです。

ランサムウェアへの備えとしては、これに加えてオフライン保管が重要です。ランサムウェアはネットワークでつながっている共有フォルダやNAS、場合によってはクラウドの同期先まで暗号化します。常時接続されているバックアップは一緒にやられます。そこで、取得後は接続を切って保管する（テープや外付け媒体を取り外す）、書き換えできない設定にする、といった対策を取ります。さらに、バックアップから本当に復元できるかを定期的に復元テストで確認します。取れているつもりで壊れていた、という事故は珍しくありません。

拠点が使えなくなる事態には代替拠点を用意します。あらかじめ機器を用意して短時間で切り替えられるホットサイト、機器はあるがデータ復元などの準備が必要なウォームサイト、場所だけ確保しておくコールドサイトがあり、上に行くほど早く復旧できる代わりに費用がかかります。RTOに見合ったものを選びます。そして、計画は訓練して初めて使えます。安否確認、代替手段での業務、システムの切替えなどを実際にやってみて、うまくいかなかった点を計画に反映する。この訓練と見直しの繰り返しがBCMの中身です。

用語

BCP（事業継続計画）

災害や大規模障害が発生したときに、重要な業務をどう継続し復旧させるかを定めた計画そのもの。優先する業務、復旧目標、代替手段、体制などを記載する。

BCM（事業継続マネジメント）

BCPを策定し、教育・訓練を行い、点検して見直すという継続的な管理活動の全体。BCPという文書を作って回し続ける仕組みを指す。

BIA（事業影響度分析）

業務が停止したときの影響の大きさと時間的な広がりを分析し、優先して復旧すべき重要業務とその依存資源を明らかにする活動。BCP策定の前提になる。

RTO（目標復旧時間）

障害発生から業務やシステムを復旧させるまでの目標時間。「4時間以内に再開する」のように時間で表す。

RPO（目標復旧時点）

どの時点のデータまで復旧させるかの目標。許容できるデータ損失の範囲を示し、必要なバックアップの取得間隔を決める根拠になる。

RLO（目標復旧レベル）

復旧した時点で業務をどの水準まで回復させるかの目標。「平常時の50%の処理能力で再開する」のように操業度で表す。

差分バックアップ

直前のフルバックアップ以降に変更された分をすべて取得する方式。復元にはフルバックアップと最新の差分1本があればよい。

増分バックアップ

前回のバックアップ以降に変更された分だけを取得する方式。取得は速いが、復元にはフルバックアップとそれ以降のすべての増分が必要。

3-2-1ルール

データは原本を含めて3つ持ち、2種類の異なる媒体に保存し、そのうち1つは別の場所に保管するというバックアップの指針。

例題

出典・根拠：IPA「情報セキュリティマネジメント試験（レベル2）」シラバス Ver.4.1 科目A 大分類1：技術要素　中分類1：セキュリティ　小分類2 情報セキュリティ管理（事業継続計画、事業継続管理、バックアップ）

演習：この章の問題を解く

ランダム出題の演習ツールです（JavaScript が有効な場合に動きます）。上の「確認問題」はそのままでもすべて読めます。