個人情報保護士認定試験 脅威と対策・組織的人的セキュリティ 練習問題 第34問: 個人データを扱う情報システムを含めて事業継続計画（BCP）を策定する。内閣府「事業継続ガイドライン」（令和5年3月）の記述として、正しいものはどれか。

正解: 4. 対応策は、地震などの原因事象でなく、拠点が使えないなどの結果事象で考えることが推奨されている

内閣府「事業継続ガイドライン」（令和5年3月）は、自社に生じた事態を直下型地震のような原因事象ではなく、自社の拠点が使用不能といった結果事象により考えて対応策を検討することを推奨しています（4が正しい）。 1：バックアップの取得頻度は、平常時の情報データが失われた場合にどれくらいの期間のデータ損失を許容するか（目標復旧時点）を検討して決めるとされ、目標復旧時間（どれくらいの時間で復旧させるか）が基準ではありません。 2：目標復旧時間は、時間の許容限界より早く設定します。 3：バックアップシステムが特に求められるのは、汎用的でなく特注の情報システムの場合です。いずれも、個人データの滅失や毀損に備える法第23条の安全管理措置の検討に生かせます。

根拠・参照資料: 個人情報の保護に関する法律第23条

関連キーワード: 事業継続計画・事業継続ガイドライン・目標復旧時間・バックアップ