解説

システム監査における指摘事項を選ぶ問題です。本問は、事業継続を目的としたデータベースのバックアップの状況について、監査人が「問題あり」として監査報告書に記載すべき不適切な状況を選びます。自然災害などの際の事業継続を目的とするバックアップでは、災害が起きてもバックアップが被災しないよう、本番システムから地理的に離れた安全な場所に保管すること（遠隔地保管）が原則です。エの「バックアップを取得した電子記録媒体を、業務システムが稼働しているサーバの近くで保管していた」は、災害が発生すると本番システムもバックアップも同時に被災してしまい、事業継続の目的を達成できません。これは明らかな不備であり、監査人が指摘すべき事項です。エが正解です。他の選択肢（手順書の作成と担当者の明確化、復旧試験の定期実施、機密保持契約を結んだ外部倉庫への委託保管）は、いずれもバックアップ運用として適切に管理されている良好な状況であり、指摘事項には当たりません。「指摘すべきもの＝不適切な状況」を選ぶという設問の方向性を正確に読み取ることが、この種の監査問題の第一歩です。

なぜ他の選択肢は違うのか

選択肢 ア

バックアップ取得手順書を作成し、取得担当者を定めていたことは、バックアップ運用が適切に管理されている良好な状況です。手順の標準化と責任者の明確化は、確実なバックアップ取得のために望ましい統制であり、監査人が問題視する指摘事項ではありません。設問が問う「指摘すべき不適切な状況」とは逆の、模範的な状態です。

選択肢 イ

バックアップした媒体からの復旧試験を、事前に定めたスケジュールに従って実施していたことは、適切な運用です。バックアップは取得するだけでなく、いざというときに確実に復旧できることをあらかじめ定期的に検証することが極めて重要であり、計画的な復旧試験はむしろ高く評価されるべき良好な統制です。問題視すべき指摘事項ではありません。

選択肢 ウ

バックアップ媒体を、機密保持を含む契約を取り交わした外部の倉庫会社に委託保管していたことは、適切な遠隔地保管の一形態です。本番システムから離れた外部の場所に、機密保持契約という安全管理措置を講じた上で保管しており、災害に備える事業継続の観点でも、情報漏えいを防ぐ情報管理の観点でも問題はありません。監査人が問題視する指摘事項には当たりません。

解くときのポイント

事業継続目的のバックアップは本番から離れた遠隔地保管が原則。「サーバの近くで保管」は災害時に共倒れするため指摘事項。設問が問うのは『不適切な状況』である点を読み違えないこと。