情報セキュアド 平成16年度試験 問題(午後2 問2)
問2 事業継続計画の策定に関する次の記述を読んで，設問1〜5に答えよ。
L社は，土地，建物の売買仲介業や賃貸仲介業などを営む，社員数820名の不動産会社である。東京に本社を置き，全国120か所に営業所をもつ。L社が扱っている土地，建物の物件数は，常時約13万件である。本社には，営業統括本部，経営企画部，総務部，人事部，財務部，情報システム部がある。営業統括本部は，全国の営業所を統括している。L社では，5年前から，表1に示すサブシステムで構成される情報システム（以下，Lシステムという）を運用してきた。
| サブシステム | 内容 | サーバ |
| 人事 サブシステム |
人事部と営業所の人事担当者が社員情報を入力し，集計表作成，辞令作成，人事一覧表作成，人事考課デー タ管理などを行っている。 | 人事サーバ |
| 会計 サブシステム |
財務部と営業所の会計担当者が会計データを入力し，予算管理，資金管理，伝票処理などを行っている。 | 会計サーバ |
| 営業管理 サブシステム |
営業所の営業担当者が不動産情報を入力し，物件管理，契約書作成，顧客情報管理，営業履歴管理を行っている。営業管理サーバには，L社の取り扱う不動産サブシステム 情報と顧客の個人情報が保管されている。個人情報保護の観点から，顧客の個人情報は，営業所では保管せずに，営業管理サーバ上で厳重に集中管理している。 | 営業管理サーバ |
| 不動産Web サブシステム |
営業管理サーバから不動産情報だけを取り出して，インターネットで一般顧客に公開している。営業所の社員も不動産サーバにアクセスし，自社で取り扱う不動産情報を検索している。 | 不動産サーバ |
| 広報Web サブシステム |
企業概要，事業内容，営業所情報などの企業情報を提供する。広報サーバ内のコンテンツは，総務部が各部暑から収集し，社外に公開している。 | 広報サーバ |
| 電子メール サブシステム |
Lシステム内のネットワーク又はインターネットを通じて，電子メールを送受信している。 | メールサーバ |
Lシステムの各サーバは，本社から徒歩で10分ほどの所にある，外部委託先のM社のデータセンタ（以下，Mセンタという）に設置され，ハウジングサービスを受けている。また，L社本社や営業所とMセンタ間は，IP-VPNで接続されている。各サーバは，本社の情報システム部で管理していて，トラブルが発生した場合，情報システム部のパソコンで状況を確認し，情報システム部の部員がMセンタに直接赴いて，作業を行うことになっている。図1に，Lシステムの構成を示す。
〔情報セキュリティポリシの策定〕
L社では，Lシステムの導入後，業務のLシステムへの依存度がきわめて高くなってきた。情報セキュリティに関する事故や事件が社会問題となり，情報セキュリティの確保が企業の経営課題と認識される中，L社の経営会議でもLシステムの情報セキュリティ対策について検討を重ねてきた。その一つとして，昨年，情報システム部が中心となって，ISMS認証基準などを参考に情報セキュリティポリシを策定した。情報セキュリティポリシの策定後，順次，サブシステムの運用体制や運用手順を見直していて，今回，事業継続計画（Business Continuity Plan）を策定することになった。
情報セキュリティポリシでは，事業継続計画に関して図2のように定めている。
|
〔事業継続計画の検討〕
事業継続計画の策定は，情報システム部のX部長，Y課長，情報セキュリティスペシャリストのZ主任を中心としたプロジェクトチームで行われた。X部長，Y課長とZ主任は，図2を基に事業継続計画を検討した。
| X部長： | 事業継続計画では，限られた時間内で，各サーバを順次復旧することを考えなければいけないな。適切な時間内にシステムを復旧させるためには，各サーバの許容停止時間を決めるべきだが，どうやって決定すればよいかな。 |
| Z主任： | そうですね。情報セキュリティポリシにあるように［ a ］を行い，その結果を用いて，サーバ類が停止した場合の業務への影響を考えることが重要です。Lシステムでは，サーバの停止時間を，ほぼ業務が中断する時間と考えることができます。被災で業務が中断した場合，バックアップシステムに移行して業務を継続するか，又は，手作業などの代替手段によって業務を継続することによって対応できます。ですから，サーバの許容停止時間を検討するには，代替手段の調査も必要です。 |
| Y課長： | まずは，Lシステムの各サーバについて，業務への影響度や代替手段を調査し，サーバの許容停止時間を決定します。 |
| X部長： | それに加えて，Lシステムのバックアップシステムを具体的に検討するには，設置場所の選定やバックアップ方法の見直しが必要だろう。 |
| Y課長： | 分かりました。 |
〔サーバの許容停止時間の検討〕
Y課長とZ主任は，各サーバが停止した場合の業務への影響度と代替手段を調査した。調査は，各部署や営業所の社員に対するヒアリングによって実施された。その調査結果を基に，プロジェクトチーム内でサーバの許容停止時間を，表2のようにまとめた。
| サーバ | 業務への 影響度 |
代替手段 | 許容停止時間 | |
| 有無 | 内容 | |||
| 人事サーバ | 中 | 有 | 各営業所で，紙媒体の帳票を用いて手作業で行う。 | レベル3 |
| 会計サーバ | 大 | 有 | 各営業所で，紙媒体の帳票とパソコンの表計算ソフトを使って作業を行う。 | レベル2 |
| 営業管理サーバ | 大 | 無 | − | レベル1 |
| 不動産サーバ | 大 | 無 | − | レベル1 |
| 広報サーバ | 中 | 無 | − | レベル2 |
| メールサーバ | 中 | 有 | ほかの通信手段で対応する。 | レベル3 |
| DNSサーバ | 大 | 無 | − | レベル1 |
| 注 許容停止時間の目安 | レベル1：24時間以内に復旧する |
| レベル2：3日以内に復旧する | |
| レベル3：10日以内に復旧する |
〔バックアップシステムの具体的な検討〕
プロジェクトチームは，バックアップシステムの具体的な検討を行った。本社とMセンタを含む広域災害が起こった場合を想定し，本社から電車で約1時間半の距離にあるD社のデータセンタ（以下，Dセンタという）にバックアップシステムを設置することにした。
Y課長とZ主任は，Dセンタの運用と新しい日常バックアップ方法の概要を，図3のようにまとめた。
(1)バックアップシステムの設置とネットワークの確保
|
Y課長は，Dセンタの運用と新しいバックアップ方法の概要をX部長に報告した。
| X部長： | Dセンタにレベル1のサーバと，そのサーバを管理するパソコンだけを設置するのだな。それ以外は，どうするのかね。 |
| Z主任： | はい。レベル2，3のサーバを復旧するために必要なハードウェアやソフトウェアは，事前に必要機材一覧にまとめておきます。これらは，Lシステムの構築を依頼したシステムインテグレータのE社に事前に連絡をとり，被災時に納入できるようにしておきます。また，バックアップデータには，我が社の営業情報や顧客の個人情報が多く含まれているので，バックアップデータの保管委託先としては，厳重な保管管理で有名なC社を選定しました。C社に保管するバックアップデータは，必要機材一覧に記載された機材とは別に管理します。 |
〔事業継続計画の策定〕
Y課長とZ主任は，事業継続計画の策定に当たって，盛り込むべき内容を調査し，その結果を図4のようにまとめた。
1．事前の準備
|
プロジェクトチームでは，図4に基づいて，事業継続計画案として非常時対応手順（案），被災時連絡先一覧（案），必要機材一覧（案）をまとめた。ここでは，非常時対応手順（案）と被災時連絡先一覧（案）を図5，6に示す。
| 1．非常時対応チームの設置 （省略） 2．Dセンタのバックアップシステムへの移行の判断 （省略） 3．Dセンタのバックアップシステムへの移行準備
（省略） 5．MセンタでのLシステムの復旧作業 （省略） |
〔事業継続計画案の評価試験の実施〕
事業継続計画案が一通り作成され，事業継続計画案が有効かどうかを評価するために評価試験を実施することにした。評価試験は，初めに小規模なテストデータを使う試験と，次に，事業継続計画の完成度を高めるために，C社に保管してあるバックアップデータを使う試験の，2段階で行うことにした。また，必要なハードウェアはレンタル会社から借りることにした。
最初の試験は，Mセンタの隣のビルから火災が発生し，Mセンタに延焼したので，すべてのサーバが利用不可能になることを想定して行った。
最初の試験は予定どおり終了し，Y課長とZ主任は，試験の結果をX部長に報告した。
| Y課長： | 最初の試験は，非常時対応チームの設置から，移行チームによる小規模なテストデータを使ったバックアップシステムの正常稼働の確認まで，予定どおり行うことができました。今回は，情報システム部だけで移行チームを編成したこともあり，バックアップシステムへの移行作業も順調に終わりました。次回の試験では，C社に保管してあるバックアップデータを使う予定です。 |
| X部長： | なるほど。C社に保管してあるバックアップデータを使えば，より一層，実際の環境に近くなるな。次回の試験では，移行チームとして情報システム部以外の社員も参加させたいが，平常業務中では，協力を求めることは難しいだろうな。何かいいアイデアはないか。 |
| Y課長： | そうですね。それでは，当社の社員の代わりに外部の人間に参加させることにして，E社と新たに試験のための業務委託契約を結びたいと思います。 |
| Z主任： | 今回の試験で，非常時対応手順どおりに実施できることが確認できました。次回の試験で，C社に保管してあるバックアップデータを使い，移行チームには情報システム部以外の者に参加してもらうことによって，事業継続計画の完成度も高まります。ただし，次回の試験方法では，情報漏えい防止の観点から不安な点があります。その対策も含めて，〔2〕次回の試験計画を立てたいと思います。 |
以上の議論を基に，次回の試験計画が策定され，評価試験が実施された。評価試験は順調に終了し，事業継続計画案は正式に承認された。
設問1 本文中の［ a ］，［ c ］，［ e ］，［ f ］に入れる適切な字句を答えよ。
| (1) | ［ a ］，［ c ］については，解答群の中から選び，記号で答えよ。 解答群
|
||||||
| (2) | ［ e ］，［ f ］については，被災時における適切な連絡手段を，それぞれ10字以内で答えよ。 |
設問1の解答例へ
設問2 表2に関する次の問いに答えよ。
| (1) | 被災時に遅延や混乱なく代替手段をとるために，帳票，表計算ソフト，ほかの通信手段の準備以外に，事前に行っておくべき運用面での対策を，20字以内で述べよ。 |
| (2) | 表2中で，営業管理サーバの代替手段を“無”と判断した理由を二つ挙げ，それぞれ20字以内で述べよ。 |
設問2の解答例へ
設問3 レベル1のサーバを，被災時に迅速に復旧できるようにするために行っておくべきこととして，図3中の［ b ］に入れる適切な字句を，40字以内で述べよ。
設問3の解答例へ
設問4 図5に関する次の問いに答えよ。
| (1) | 図5中の［ d ］に入れる適切な字句を，30字以内で述べよ。 |
| (2) | 下線〔1〕を検討する場合，考慮すべき重要な“時間”を三つ挙げ，それぞれ20字以内で具体的に述べよ。 |
設問4の解答例へ
設問5 情報漏えい防止の観点から，本文中の下線〔2〕に盛り込まれた対策を二つ挙げ，それぞれ40字以内で述べよ。
設問5の解答例へ
メニューへ戻る