令和7年度秋期システム監査技術者試験午後II 問2 IT-BCPの監査(論文)

この問題は2025(R7)秋システム監査技術者午後IIに出題されたものです。出題時点の法令・制度に基づく内容のため、現行の内容と一致しない場合があります。

本ページの問題文・選択肢は、原本の体裁を Web 表示用に正規化しています（改行・記号・数式・図表参照の調整）。設問の趣旨および正解に影響する変更は加えていません。

学習ガイド

大規模災害を想定した情報システムの業務継続計画(IT-BCP)の監査を論じる問題です。解答例は公表されないので、設問と講評から論述の骨格を組み立てます。講評は、事業継続との関連が不明瞭な答案が目立ったと指摘しており、目標復旧時間や復旧レベルが事業のどの要請から導かれたのかという接続を明示することが最重要です。原因事象と結果事象の両面からリスクを把握する近年の考え方も落とせません。

この記事で押さえる論点

事業継続計画と整合したIT-BCPの要件(RTO・RPO・目標復旧レベル)を説明する
原因事象だけでなく結果事象からのリスク把握を論じる
IT-BCPの実効性を確かめる監査手続を設定する

出題情報

出題: 2025(R7)秋システム監査技術者午後II 問2
配点: 100点満点
模範解答: 未公表(採点基準と解説から解答の方向性を読み取る)

出題趣旨・採点講評(IPA 公表)

昨今，大規模自然災害などの発生を想定した情報システムの業務継続計画（以下，IT-BCPという）では，災害による被害の様相が異なっても可能な限り柔軟なIT-BCPを策定できるように，原因事象からリスクを抽出するだけでなく，災害が発生した場合の結果の事象からもリスクを把握・分析し，評価することで，IT-BCPを策定し，適時に見直すことが求められるようになってきた。本問では，大規模自然災害などの発生を想定したIT-BCPについて，事業継続計画と整合性が取れたIT-BCPが策定されていることを確かめる監査の着眼点，及びIT-BCPの実効性が確保されているかどうかを確かめるための監査手続を設定できる知識・能力を評価する。

問2では、事業継続計画と整合性が取れた情報システムの業務継続計画（以下、IT-BCPという）に関する監査についての解答を求めているが、事業継続との関連が不明瞭な論述が目立った。設問で求めている内容を踏まえて、論述してほしい。

問題本文

災害を想定した情報システムの業務継続計画の監査について

企業などの組織では，大規模自然災害などの発生時に重要な事業が継続できなくなる事態に備えて，事業継続計画を策定することが求められている。一方，事業における情報システムの重要性が高まることに伴い，情報システムの業務継続計画（以下，IT-BCPという）の重要性はますます高まってきている。

IT-BCPには，重要な事業を支える情報システムの目標復旧時間，目標復旧レベル，及び目標復旧時点，並びにそれらの目標を確保するための体制，対策などが示されている必要がある。また，大規模自然災害などの発生時に想定外の事態となった場合においても，可能な限り柔軟に対応できるIT-BCPを策定することが求められている。

このようなIT-BCPを策定するためには，災害の発生原因からだけではなく，災害が発生した場合の結果の事象（以下，結果事象という）からリスクを把握して分析し，評価することも有効である。例えば，震災と火災という発生原因が異なる災害であっても，“データセンターの機能喪失”という結果事象は同じである。また，IT-BCPの実効性を確保するためには，IT-BCPの訓練を実施することに加え，IT環境の変化を踏まえて想定する結果事象を見直すとともに，IT-BCPの内容を適時に見直すことが重要になる。

システム監査人は，以上のような状況を踏まえて，IT-BCPが適切に策定され，実効性が確保されているかどうかを確かめる必要がある。

あなたの経験と考えに基づいて，設問ア～ウに従って論述せよ。

設問と解答・解説

設問ア

あなたが関係する情報システムの概要，当該システムを利活用する事業の概要及び事業継続が必要な理由，並びに当該システムに係るIT-BCPの概要について，400字以上800字以内で述べよ。

模範解答

模範解答は公表されていません。下の採点基準と解説から、解答に求められる要素を読み取ってください。

採点基準(配点 34点)

知識・理解度（内容）(17点)

17点: 情報システムの概要、対象事業の概要、及び事業継続が必要な理由が具体的に明記され、事業とシステムの関係性が論理的に示されている。
13点: 情報システムの概要、事業の概要、事業継続の理由が記述されているが、事業とシステムの関係性がやや不明瞭である。
9点: 求められている事項（システムの概要、事業の概要、事業継続の理由）のいずれかが不足しているか、抽象的である。
5点: 事業継続の理由やシステムとの関連性が不明瞭であり、全体として説得力に欠ける。
0点: 設問で求められている事項の記述がほとんどないか、内容が不適切である。

論理性（構造）(17点)

17点: IT-BCPの概要について、実施する対策が具体的かつ論理的に記述され、事業継続計画との整合性が取れている。
13点: IT-BCPの概要について対策が記述されているが、一部具体性に欠ける箇所がある。
9点: IT-BCPの概要は記述されているが、実施する対策の記述が不十分である。
5点: IT-BCPの概要や対策の記述が非常に抽象的であり、論理展開が不十分である。
0点: IT-BCPの概要や対策に関する記述がない。

解説

本問は、対象となる情報システムの概要、そのシステムを利活用する事業の概要と事業継続が必要な理由、およびIT-BCPの概要について論述する設問です。

高得点のポイント

事業とシステムの関係性の明示: 対象とする事業の概要を述べた上で、なぜその事業の継続が必要なのか（社会的影響や企業の存続に関わる理由など）を明確に説明できていること。
事業継続との関連性: 単なる情報システムの説明にとどまらず、事業継続と情報システムがどのように密接に関連しているかを論理的に示すこと。
IT-BCPの具体的な対策: IT-BCPの概要を述べる際、どのような対策を実施するのかを具体的に記述すること。対策の記述が不十分だと減点対象となります。

IT-BCPの概要について実施する対策の記述が不十分な解答が散見された。

設問イ

設問アで述べたIT-BCPについて，目標復旧時間，目標復旧レベル，及び目標復旧時点が妥当かどうか，並びにそれらの目標を確保するための体制，対策が整備されているかどうかを確かめるための監査の着眼点について，700字以上1,400字以内で具体的に述べよ。

模範解答

模範解答は公表されていません。下の採点基準と解説から、解答に求められる要素を読み取ってください。

採点基準(配点 33点)

知識・理解度（内容）(17点)

17点: 目標復旧時間、目標復旧レベル、目標復旧時点が妥当かどうかを確かめる監査の着眼点が、事業継続の観点から具体的に記述されている。
13点: 各目標の妥当性を確かめる監査の着眼点が記述されているが、事業継続との関連や具体性がやや弱い。
9点: 目標の妥当性に関する記述が不十分、または一部の目標（時間、レベル、時点）についての着眼点が欠落している。
4点: 目標の妥当性に関する記述がほとんどなく、一般的な着眼点にとどまっている。
0点: 目標の妥当性に関する記述がない。

説得力（考察）(16点)

16点: 目標を確保するための体制及び対策が整備されているかを確認する監査の着眼点が、説得力を持って具体的に記述されている。
12点: 体制及び対策の整備状況を確認する監査の着眼点が記述されているが、具体性にやや欠ける。
8点: 体制や対策に関する着眼点の記述が不十分である。
4点: 体制や対策に関する着眼点の記述が極めて抽象的である。
0点: 体制や対策に関する着眼点の記述がない。

解説

本問は、IT-BCPの各種目標（目標復旧時間、目標復旧レベル、目標復旧時点）の妥当性と、目標確保のための体制・対策の整備状況を確認する監査の着眼点を論述する設問です。

高得点のポイント

目標の妥当性に関する着眼点: 「目標復旧時間」「目標復旧レベル」「目標復旧時点」が設定されていることだけでなく、それらが事業継続計画（BCP）と整合が取れており妥当であるかを確認する着眼点を具体的に記述すること。
体制と対策の整備状況に関する着眼点: 設定された目標を確実に達成するための体制（人員配置、指揮命令系統など）や対策（バックアップ、代替システムなど）が適切に整備されているかを確認する着眼点を示すこと。
具体性と説得力: 一般論ではなく、設問アで設定した自らの状況設定に沿った具体的な着眼点を記述することで、論述の説得力が高まります。

目標復旧時間、目標復旧レベル、目標復旧時点の目標を確保するための体制、対策については記述できていたが、それらの目標が妥当かどうかについての記述が不十分な解答が目立った。

設問ウ

設問ア及び設問イを踏まえて，IT-BCPの実効性が確保されているかどうかを確かめるための監査手続について，想定する結果事象の見直しとの関連を含めて，700字以上1,400字以内で具体的に述べよ。

模範解答

模範解答は公表されていません。下の採点基準と解説から、解答に求められる要素を読み取ってください。

採点基準(配点 33点)

知識・理解度（内容）(17点)

17点: IT-BCPの実効性を確かめるための具体的な監査手続が、入手すべき監査証拠とともに明確に記述されている。
13点: 監査手続は記述されているが、入手すべき監査証拠の記述がやや不十分である。
9点: 監査手続の記述が抽象的、または監査証拠に関する記述が欠落している。
4点: 監査手続の記述が極めて不十分である。
0点: 監査手続に関する記述がない。

説得力（考察）(16点)

16点: 想定する結果事象の見直しとの関連が論理的かつ明確に組み込まれており、実効性確保の監査手続として高い説得力がある。
12点: 結果事象の見直しとの関連は記述されているが、論理展開や具体性にやや欠ける。
8点: 結果事象の見直しとの関連に関する記述が不十分である。
4点: 結果事象の見直しとの関連に関する記述がほとんどない。
0点: 想定する結果事象の見直しに関連する記述がない。

解説

本問は、IT-BCPの実効性確保を確認する監査手続と、想定する結果事象の見直しとの関連について論述する設問です。

高得点のポイント

具体的な監査手続の提示: IT-BCPが実際の災害時に機能する（実効性がある）ことを確かめるために、どのような監査手続を実施するのかを具体的に記述すること。
監査証拠の明記: 監査手続を実施する過程で、どのような監査証拠（文書、記録、テスト結果など）を入手すべきかを含めて記述すること。
結果事象の見直しとの関連: 昨今のIT-BCPで求められる「災害が発生した場合の結果の事象からリスクを把握・分析・評価し、見直す」という観点を監査手続に組み込み、論理的に説明できていること。

監査手続や入手すべき監査証拠を記述していない解答が散見された。また、IT-BCPの実効性について結果事象の見直しに関連した記述がない解答が目立った。