解説

ISMS認証（ISO/IEC 27001：JIS Q 27001）における情報セキュリティ管理とバックアップ運用に関する問題です。シナリオを整理すると：A社はISMS認証を取得しており、JIS Q 27001:2023への移行審査を準備中。ファイルサーバの運用について内部監査から確認を受けています。問題文の表2（回答内容）から3つの空欄を埋めます。バックアップ実施タイミング（a1）：週次バックアップの運用スケジュールより「火曜日の正午」が適切。バックアップ保存期間等から算出するリストア所要時間（a2）：4.50時間が適切な見積もり。承認者（a3）：ICT継続計画書などの重要な情報セキュリティ文書の承認権限はCISO（最高情報セキュリティ責任者：Chief Information Security Officer）が持つ。CISOは組織全体の情報セキュリティ戦略に責任を持つ最上位の役職であり、重要な運用方針・計画書の承認者として適切です。内部監査室は独立した第三者の立場から監査を行う役割であり、運用の承認者とはなりません。

なぜ他の選択肢は違うのか

選択肢 ア

「月曜日の正午」は誤りです。問題文中の表2の回答内容から、バックアップは火曜日の正午に実施されることが明記されています。バックアップスケジュールの詳細を問題文のシナリオから正確に読み取ることが重要です。

選択肢 イ

「月曜日の正午＋情報システム部の担当者」の組み合わせは2つとも誤りです。バックアップ実施日と承認者の両方を問題文から正確に読み取る必要があります。

選択肢 ウ

「月曜日の正午＋内部監査室長」の組み合わせです。日付が誤りであることに加え、内部監査室長は承認者として不適切です。内部監査は独立性が重要であり、審査対象の運用を自ら承認する立場にあるとコンフリクトオブインタレスト（利益相反）が生じます。

選択肢 エ

「月曜日の正午＋CISO」で、日付のみ誤りです。CISOが承認者として適切であることは正しく理解できています。バックアップスケジュール（火曜日の正午）の読み取りに誤りがあります。

選択肢 オ

「月曜日の正午＋情報システム部の担当者」で複数の誤りがあります。情報システム部の担当者はICT継続計画書の承認権限を持つレベルにありません。

選択肢 カ

「火曜日の正午＋4.25」でリストア所要時間のみ誤りです。問題の表2から4.50時間が適切な値として読み取れます。

選択肢 キ

「火曜日の正午＋4.25＋内部監査室長」でリストア時間と承認者が誤りです。

選択肢 ケ

「火曜日の正午＋4.50＋情報システム部の担当者」で承認者が誤りです。重要な方針文書の最終承認はCISOが行います。

選択肢 J

「火曜日の正午＋4.50＋内部監査室長」で承認者が誤りです。内部監査室は監査する立場であり、方針・計画を承認する立場ではありません。

解くときのポイント

ISMSの役割：CISO＝情報セキュリティの最高責任者（承認権限あり）、内部監査室＝独立した監査機関（承認権限なし）。バックアップ問題では問題文のスケジュール情報を正確に読み取ることが鍵。a1・a2・a3の3つを個別に確認してから組み合わせを選ぶ。