午前I問題
サイバー攻撃や自然災害などによってITシステムが停止した場合の事業継続計画（BCP）に関する説明のうち、最も適切なものはどれか。
ア）RTO（目標復旧時間）とは、障害発生時に復旧すべきデータの基準時点を指し、値が大きいほど許容損失データ量が多いことを意味する。 イ）RPO（目標復旧時点）とは、システムを復旧完了するまでに許容される最大時間を指し、値が小さいほど復旧優先度が高い。 ウ）RTOは障害発生からシステムを復旧するまでの目標時間を、RPOは障害発生時に許容されるデータ損失の基準時点（どの時点までのデータを確保すべきか）を定めたものである。 エ）BCPにおいて、RTOとRPOはどちらも同一の概念であり、組織の規模に応じて一方のみを設定すれば十分である。
午前I の解答・解説を見る
正解： ウ
解説：
- ア（誤）： RTOとRPOの説明が逆になっている。RTOは「いつまでに復旧するか（時間目標）」、RPOは「どの時点までのデータを確保するか（データ基準時点）」を指す。
- イ（誤）： こちらもRPOとRTOの定義が逆。RPOは時間軸ではなく「データ損失の許容範囲」を示す。
- ウ（正）： 正しい。RTOはシステム停止から復旧完了までの目標時間。RPOはバックアップ等で保証するデータの最新基準時点であり、「何時間前のデータまで失っても許容できるか」を意味する。
- エ（誤）： RTOとRPOは別の指標で、それぞれ独立して設定する必要がある。一方のみでは事業継続計画として不十分。
午前II問題
コンピュータインシデントが発生した際のデジタルフォレンジック調査において、証拠の完全性（インテグリティ）を確保するための手順として、最も適切なものはどれか。
ア）調査対象のシステムを起動したまま作業し、揮発性メモリの内容をリアルタイムに分析する。 イ）調査対象のストレージデバイスを原本として直接分析し、証拠の鮮度を保つ。 ウ）調査対象のストレージデバイスについて書き込み禁止のフォレンジックイメージ（ビットコピー）を作成し、イメージ作成前後でハッシュ値を算出・照合して完全性を確認する。 エ）証拠保全の記録を作成する前にマルウェアを手動で削除してシステムをクリーンアップし、その後で分析を開始する。
午前II の解答・解説を見る
正解： ウ
解説：
- ア（誤）： 起動したままの作業はアクセス時刻・一時ファイル・ログが変化するため、証拠が改ざんされるリスクがある。揮発性情報（メモリダンプ等）の収集は必要な場合があるが、それはイメージ作成前の別手順であり、完全性確保の主手段ではない。
- イ（誤）： 原本を直接分析すると、調査中に証拠が書き換えられ司法的証拠能力を失う。必ずフォレンジックコピーを用いる。
- ウ（正）： 正しい。ライトブロッカーを用いてビットコピー（dd、FTK Imager等）を作成し、SHA-256等のハッシュ値でコピー前後を照合することが証拠保全の標準手順（チェーン・オブ・カストディの確立）。
- エ（誤）： マルウェアを先に削除すると、攻撃手法・侵入経路・永続化設定など重要な法的・技術的証拠が失われる。証拠保全は調査・削除より前に行うのが原則。
午後問題
中堅製造業A社では、2026年7月5日早朝、生産管理サーバおよび顧客データベースサーバがランサムウェアに感染し、ファイルが暗号化されていることが判明した。情報システム部のB課長は直ちにCSIRTを招集し、インシデント対応を開始した。CSIRTは以下の初動対応を実施した。
【初動対応の記録】
- 感染が確認されたサーバをネットワークスイッチから物理的に切り離した
- 全社員に社内ネットワークへの接続を一時停止するよう通知した
- 感染の起点と疑われる経理担当者端末のストレージについてフォレンジックイメージを取得した
- バックアップサーバを確認したところ、最新バックアップが72時間前（3日前）のものであることが判明した
また、CSIRT調査の結果、当該端末に届いたフィッシングメールの添付ファイルを開封したことが感染の起点であると特定された。
設問1
初動対応(3)においてフォレンジックイメージを取得する際、証拠の完全性を技術的に担保するために用いるべき手段を一つ答えよ。また、その手段が必要な理由を30字以内で述べよ。
設問1の解答・解説を見る
正解例：
- 技術的手段： ハッシュ値（例：SHA-256チェックサム）の算出と記録
- 理由： 取得後の改ざんを検知し、証拠の完全性を証明するため。（27字）
解説：
フォレンジックイメージ取得時にはライトブロッカー（書き込み禁止デバイス）を使用し、取得前・取得後の双方でSHA-256等のハッシュ値を算出して一致を確認する。これにより「取得後に証拠を改ざんしていない」ことを第三者に証明でき、チェーン・オブ・カストディ（証拠の連鎖管理）が成立する。
採点基準（満点5点）：
- ハッシュ値の算出・照合について言及：3点
- 理由に「改ざん検知」「完全性証明」等のキーワード：2点
部分点： 「チェックサムで確認する」等の記述は2点。「バックアップをとる」等の一般的な記述は0点。
設問2
バックアップが72時間前のものであるとき、A社の現在のRPO（目標復旧時点）を答えよ。また、RPOを改善（短縮）するための具体的な対策を2つ挙げよ。
設問2の解答・解説を見る
正解例：
- 現在のRPO： 72時間（3日間）。障害発生時に最大72時間分のデータが失われる可能性がある。
- 対策①： バックアップ頻度を上げる（例：日次→時間単位への変更、または差分・増分バックアップの導入）。
- 対策②： 外部クラウドストレージやオフサイトへのリアルタイム/準リアルタイムレプリケーションを導入し、RPOをゼロまたは数分以内に短縮する。
解説：
RPO（Recovery Point Objective）は「障害発生時、どの時点のデータまで保証するか」の目標値で、バックアップ間隔が長いほどRPOは大きくなる。現在は72時間のバックアップ間隔があるため、RPO=72時間となる。製造業では生産計画・受注データ等の損失は事業に直結するため、RPO短縮は重要課題である。
採点基準（満点6点）：
- 「72時間（または3日間）」の明示：2点
- 対策①（バックアップ頻度の改善）：2点
- 対策②（レプリケーション・クラウドバックアップ等の別手段）：2点
部分点： 対策が1つのみの場合は2点。「セキュリティソフト導入」等のバックアップ以外の対策は0点。
重要キーワード
| 用語 | 説明 |
|---|---|
| PICERLフレームワーク | インシデント対応の6フェーズ（準備・識別・封じ込め・根絶・復旧・事後対応）を体系化したモデル。NISTやSANSが推奨。 |
| デジタルフォレンジック | 電子的証拠の収集・保全・分析・提示を行う技術と手続き。証拠の完全性確保が最重要。 |
| BCP/DRP | BCP（事業継続計画）は業務の継続性を確保するための計画全体。DRP（災害復旧計画）はITシステム復旧に特化した下位計画。 |
| RTO（目標復旧時間） | Recovery Time Objective。障害発生からシステム復旧完了までに許容される最大時間。 |
| RPO（目標復旧時点） | Recovery Point Objective。どの時点のデータまで保証するかを示す目標値。バックアップ頻度と直結する。 |
| SOC/CSIRT | SOCはセキュリティ監視・分析組織。CSIRTはインシデント対応専門チーム。連携してインシデントを検知・対応する。 |
まとめ
- 午前I視点： BCP における RTO と RPO の違いを正確に区別する。RTOは「いつまでに復旧するか（時間）」、RPOは「どの時点のデータまで確保するか（基準時点）」。両者を混同しやすいため定義を確実に暗記する。
- 午前II視点： デジタルフォレンジックでは証拠の完全性（インテグリティ）確保が最優先。ライトブロッカーによるビットコピー作成とハッシュ値（SHA-256等）による照合がチェーン・オブ・カストディの基本。原本への直接アクセスは厳禁。
- 午後視点： 実務シナリオではPICERLの各フェーズを意識しながら、技術的手段と経営指標（RTO/RPO）を結び付けて論述する。バックアップ戦略の改善提案では「頻度向上」と「方式変更（レプリケーション等）」の2軸から検討する。