午前I問題

サイバー攻撃を想定した事業継続計画（BCP）と災害復旧（DR）に関する記述として、適切なものはどれか。

ア）RTO（Recovery Time Objective）は「どの時点までのデータ復旧を許容するか」を示す指標であり、RPO（Recovery Point Objective）は「復旧までに許容される時間」を示す指標である。

イ）BCPは事業全体の継続を目的とした計画であり、DRはその中でもITシステム・データの復旧に焦点を当てた計画として位置づけられる。

ウ）BCPとDRは同一の概念であり、用語の使い分けに実務上の意味はない。

エ）RTOを短縮するほどバックアップの取得頻度・保管コストは低下する。

午前I の解答・解説を見る

正解： イ

解説：

  • ア）不正解。RTOとRPOの説明が逆である。RTOは「復旧までに許容される時間」、RPOは「どの時点までのデータ復旧を許容するか（許容できるデータ損失量）」を示す指標である。
  • イ）正解。BCPは自然災害・サイバー攻撃・パンデミック等あらゆる脅威を想定し、事業全体（人員・拠点・取引先を含む）の継続を目的とする包括的な計画である。DRはBCPの一部として、主にITシステム・データの復旧に焦点を当てた技術的な計画を指す。
  • ウ）不正解。BCPとDRは包含関係にあり、実務上は明確に使い分けられる。DRはBCPを実現するための技術的手段の一つである。
  • エ）不正解。RTOを短縮する（早く復旧させる）ためには、より高頻度なバックアップ・レプリケーション・待機系システムの常時稼働などが必要になり、一般的にコストは増加する。
指標意味
RTO（目標復旧時間）インシデント発生から業務・システムを復旧させるまでに許容される時間
RPO（目標復旧時点）復旧時にどの時点までのデータ状態に戻せればよいか（許容されるデータ損失量）

午前II問題

サイバー保険（サイバーリスク保険）に関する記述として、適切なものはどれか。

ア）サイバー保険は情報漏洩による損害賠償のみを補償対象としており、インシデント対応にかかる調査費用やシステム復旧費用は補償対象外である。

イ）サイバー保険への加入審査では、多要素認証の導入状況やバックアップ体制などの技術的対策の実施状況が保険料や加入可否に影響することがある。

ウ）サイバー保険はリスクの「回避」に分類される対応であり、リスクを保険会社に完全に移転することで自社の対策実施義務は消滅する。

エ）ランサムウェア被害時の身代金の支払いは、国内外の法制度にかかわらずサイバー保険で補償することが法律上義務付けられている。

午前II の解答・解説を見る

正解： イ

解説：

  • ア）不正解。サイバー保険の補償範囲は損害賠償だけでなく、フォレンジック調査費用、システム復旧費用、コールセンター設置費用、事業中断による逸失利益など多岐にわたることが一般的である。
  • イ）正解。近年のサイバー保険は加入審査（アンダーライティング）において、MFA導入・バックアップ体制・EDR導入・インシデント対応計画の有無などの技術的・組織的対策を評価し、保険料や加入可否・補償上限に反映する保険会社が増えている。
  • ウ）不正解。サイバー保険はリスクマネジメントにおける「リスク移転（財務的影響の一部を保険会社に移転する）」に分類される対応であり、「回避」ではない。また保険加入後も技術的・組織的対策の実施義務は消滅せず、むしろ対策不備は保険金支払いの免責事由となり得る。
  • エ）不正解。身代金の支払いに関する法規制は国・地域によって異なり、一律に補償が義務付けられているわけではない。制裁対象組織への支払いを禁止する法制度がある国も存在し、身代金支払いの是非自体が議論の対象である。
リスク対応の4類型内容サイバー保険の位置づけ
リスク回避リスクの原因となる活動自体をやめる該当しない
リスク低減技術的・組織的対策でリスクを下げる保険加入前提の対策として関連
リスク移転保険等で財務的影響を第三者に移転サイバー保険はここに分類
リスク保有リスクを許容し受容する該当しない

午後問題

I社（従業員450名、部品製造業）は、2026年8月上旬にランサムウェア攻撃を受け、基幹システム（生産管理システム・受発注システム）が暗号化され業務が停止した。I社は事前にサイバー保険（補償上限3億円、システム復旧費用・事業中断損失・フォレンジック調査費用・身代金交渉支援を含む）に加入していた。

I社の事業継続計画では、基幹システムのRTOは24時間、RPOは4時間と定められていたが、実際の復旧には5日間を要し、直近のバックアップも攻撃発生の18時間前のものしか復元できなかった。

保険会社の要求によりフォレンジック調査会社が派遣され調査した結果、以下が判明した。

- バックアップサーバは本番ネットワークと同一セグメントに接続されており、ランサムウェアの暗号化対象に含まれていた
- 直近4時間ごとの自動バックアップのうち、攻撃直前の3世代分が暗号化により破損
- 攻撃発生の18時間前に取得されていたオフサイト（クラウド）バックアップのみが復元可能であった
- I社はサイバー保険の加入時審査でバックアップの3-2-1ルール（3つのコピー・2種類の媒体・1つはオフサイト）を満たしていると申告していたが、実際にはオフサイトバックアップの取得頻度は日次にとどまっていた

設問1

本件でRTO・RPOともに目標値を達成できなかった技術的な原因を、バックアップ構成の問題点に着目して80字以内で述べよ。

設問1の解答・解説を見る

正解例： バックアップサーバが本番と同一ネットワークセグメントにあり暗号化被害を受けたこと、およびオフサイトバックアップの取得頻度が日次でRPO目標の4時間を満たしていなかったこと。（80字）

解説・採点基準（計15点）：

採点項目キーワード配点
バックアップサーバの同一セグメント配置・暗号化被害への言及「同一セグメント」「暗号化被害」「バックアップサーバも感染」等7点
オフサイトバックアップの取得頻度不足（日次 vs RPO4時間）への言及「取得頻度」「日次」「RPO未達」等6点
80字以内で簡潔にまとめられている字数制限の遵守2点

バックアップが本番ネットワークから論理的・物理的に分離（エアギャップ、イミュータブルストレージ等）されていなかったため、ランサムウェアの暗号化対象に含まれてしまった点がRTO未達（復旧に5日を要した）の直接原因であり、オフサイトバックアップの取得頻度不足がRPO未達（4時間目標に対し18時間分のデータ損失）の直接原因である。

設問2

本件においてサイバー保険会社が保険金支払いの査定時に問題視する可能性がある点を1つ挙げよ。また、I社が今後講じるべきバックアップ体制の改善策を2つ具体的に述べよ。

設問2の解答・解説を見る

正解例（保険会社が問題視する点）： 加入時審査でI社は3-2-1ルールを満たしていると申告していたが、実際にはオフサイトバックアップの取得頻度が要求水準（日次）にとどまり、告知内容と実態が相違していた（告知義務違反・重要事項の不実告知）に該当し、保険金の減額や支払い拒否の対象となり得る。

正解例（改善策）：

  1. バックアップサーバをネットワークセグメント分離（エアギャップ）またはイミュータブル（変更不可）ストレージ化し、本番システムが暗号化されてもバックアップ自体が被害を受けない構成にする。
  2. オフサイトバックアップの取得頻度をRPO目標（4時間）に合わせて短縮し、3-2-1ルール（3つのコピー・2種類の媒体・1つはオフサイト）の実態を審査時の申告内容と一致させる。

解説・採点基準（計15点）：

採点項目キーワード配点
告知義務違反・申告内容との相違への言及「告知義務違反」「不実告知」「申告と実態の相違」等5点
ネットワーク分離・イミュータブル化など保護的なバックアップ構成への言及「セグメント分離」「エアギャップ」「イミュータブル」等5点
バックアップ取得頻度の改善・RPO目標との整合への言及「取得頻度」「RPO」「3-2-1ルール」等5点

サイバー保険は加入時の申告内容と実際の対策状況の乖離が発覚した場合、保険法上の告知義務違反として保険金の減額・不支給の対象となり得る点が重要な論点である。技術的対策の実施状況を正確に保険会社へ報告することも保険活用の前提となる。

重要キーワード

用語説明
BCP/DRBCPは事業全体の継続計画、DRはITシステム・データ復旧に焦点を当てた技術的計画。RTO・RPOが主要指標
RTO（目標復旧時間）インシデント発生から業務・システムを復旧させるまでに許容される時間
RPO（目標復旧時点）復旧時にどの時点までのデータ状態に戻せればよいか。許容されるデータ損失量の指標
サイバー保険インシデント対応費用・損害賠償・事業中断損失を財務的にカバーする保険。リスク移転の一手段
3-2-1ルールバックアップのベストプラクティス。3つのコピー・2種類の異なる媒体・1つはオフサイト保管を原則とする
イミュータブルバックアップ一定期間の変更・削除ができないよう保護されたバックアップ。ランサムウェアによる暗号化・削除を防ぐ

まとめ

  • 午前I視点： RTO（許容復旧時間）とRPO（許容データ損失量＝復旧時点）を正確に区別する。BCPは事業全体、DRはITシステム復旧という包含関係を理解する
  • 午前II視点： サイバー保険はリスク移転に分類され、加入審査で技術的対策の実施状況が問われる。保険加入後も対策実施義務は消滅せず、身代金補償の可否は法制度・保険約款による
  • 午後視点： バックアップ構成の技術的欠陥（同一セグメント配置・取得頻度不足）とRTO/RPO未達の因果関係を論述し、保険金査定における告知義務の論点まで踏まえた改善策を提示できるようにする