情報セキュリティマネジメント試験 練習問題 32：事業継続計画：復旧目標指標の定義
事業継続計画（BCP）における目標復旧時間（RTO）と目標復旧時点（RPO）について述べた文として、正しいものはどれか。
- RTOは、インシデント発生後にシステムを復旧させるまでに許容される最大時間を示す指標である。
- RPOは、システムが復旧してから通常業務に戻るまでの平均時間を示す指標である。
- RTOは、バックアップデータの保存期間を法的に定めた基準値のことである。
- RPOは、災害発生時に許容される最大の人的被害の規模を示す指標である。
- RTOとRPOは、いずれもシステムの処理性能を測定するための指標である。
正解と解説を見る
正解：RTOは、インシデント発生後にシステムを復旧させるまでに許容される最大時間を示す指標である。
RTO（目標復旧時間）はシステム停止から復旧までに許容される時間、RPO（目標復旧時点）はデータをどの時点まで復旧できればよいかを示す指標です。両者はBCP策定時に業務影響度分析に基づいて設定されます。
【正解の理由】
RTOは「いつまでに復旧させるか」という時間軸の目標であり、システム停止による業務影響を最小化するために設定される。
【不正解の理由】
• 「RPOは復旧後通常業務に戻るまでの平均時間」という説明は誤り。RPOはデータ損失許容範囲（過去のどの時点までのデータを復元できるか）を示す指標である
• 「RTOはバックアップの法的保存期間」という説明は誤り。RTOと法定保存期間は無関係である
• 「RPOは人的被害の規模」という説明は誤り。RPOはあくまでデータ復旧の時点に関する指標である
• 「RTOとRPOは処理性能の測定指標」という説明は誤り。両者は復旧に関する時間的指標であり、処理性能（スループット等）とは異なる概念である