運用・保守・BCP・外部委託監査重要度:★★★出題: AM2・PM1・PM2

事業継続計画（BCP）・ITサービス継続性管理（IT-BCP/DRP）の監査

じぎょうけいぞくけいかくあいてぃーさーびすけいぞくせいかんりのかんさ / Business Continuity Plan (BCP) and Disaster Recovery Plan (DRP) Audit

大規模災害、広域通信障害、ランサムウェア攻撃等が発生した際、目標復旧時間（RTO）および目標復旧時点（RPO）以内に重要業務とITシステムを復旧・継続できるかを検証する監査です。

3行速習ポイント

大規模災害、広域通信障害、ランサムウェア攻撃等が発生した際、目標復旧時間（RTO）および目標復旧時点（RPO）以内に重要業務とITシステムを復旧・継続できるかを検証する監査です。
業務側のBCPとIT側のIT-BCP（DRP）の間でRTO/RPOの整合性が取れているか、および実効性ある復旧訓練・見直しが行われているかが焦点となります。
試験対策：午後I（令和3年問3の緊急事態対応、平成29年問2等）・午後IIで頻出です。ビジネス環境やシステム構成の変化に伴う「BCPの陳腐化防止」も重要な論点です。

図解

図IT-BCP / 災害復旧計画（DRP）におけるシステム監査の4ステッププロセス・手順フロー

BIA・RTO/RPO整合性から代替手段・実践訓練・計画更新までの検証

▶ 進行順序：1. RTO/RPO整合➔2. 代替・冗長整備➔3. 訓練・実証➔4. 計画最新化

11. BIA（事業影響度分析）とRTO・RPOの整合性確認

RTO/RPO整合

業務側が求める復旧目標とIT基盤の復旧能力のギャップ検証

全社BCPで定義された重要業務のRTO・RPOと、IT-BCPにおけるシステム復旧優先順位・レプリケーション周期が矛盾していないかを突合する。

22. 冗長構成・遠隔地バックアップ・代替手段の整備確認

代替・冗長整備

単一障害点（SPOF）や同時被災リスクの排除と手作業代替手順

本番環境と同時に被災しない遠隔地・別リージョンへのデータ保全、およびシステム復旧までの間の業務側代替手順（縮退運用手順）が整備されているか確認する。

33. 実効性ある復旧訓練・切替テストの運用確認

訓練・実証

シナリオ非公開訓練や実データ復元による手順・要員の検証

訓練実施報告書を閲覧し、主担当者が不在の場合の代行体制や、実際にバックアップからRTO以内にシステム・データが復元できたかを確かめる。

44. システム更改・外部環境変化に応じた計画の継続的改訂

計画最新化

クラウド移行や新システム導入に伴うIT-BCPの陳腐化防止

構成管理変更記録とIT-BCP改訂履歴を突合し、システム構成変更や組織改編の都度、復旧手順書と緊急連絡網が最新化されているかを確かめる。

💡 午後I令和3年問3では、パンデミック等の緊急事態下で「通常とは異なる特例的なシステム運用・テレワーク環境へ移行した際のリスクと統制」が問われました。

概要と本質

大規模災害、広域通信障害、ランサムウェア攻撃等が発生した際、目標復旧時間（RTO）および目標復旧時点（RPO）以内に重要業務とITシステムを復旧・継続できるかを検証する監査です。業務側のBCPとIT側のIT-BCP（DRP）の間でRTO/RPOの整合性が取れているか、および実効性ある復旧訓練・見直しが行われているかが焦点となります。

重要ポイント・コア概念

重要業務のビジネスインパクト分析（BIA）に基づくRTO（目標復旧時間）・RPO（目標復旧時点）の設定と、それを満たすバックアップ・代替サイト構成の整合性確認
机上訓練だけでなく実機切替や代替手順を含む定期訓練の実施記録、抽出された課題の是正、およびシステム構成変更・クラウド移行時のIT-BCP更新状況の確認
定量的効果・監査目標例：全社BCPのRTO（4時間）・RPO（1時間）と各システムのバックアップ・DR構成を突合し、目標未達だった2システムのレプリケーション方式を改修して訓練復旧成功率100%を達成