SCS評価制度「インシデントからの復旧」の要件｜目標復旧レベルとバックアップ

本記事では、IPA（独立行政法人情報処理推進機構）が公開している「★3・★4 要求事項・評価基準」（2026年3月27日版）のうち、大分類7「インシデントからの復旧」に絞って、評価基準の内容と、前提になるバックアップ要件、★4で追加される復元テスト、用意すべき証跡を整理します。★3全体の26要求事項・81評価基準の一覧は★3の要求事項一覧を、復旧の前段階にあたる対応手順は「インシデントへの対応」の要件をご覧ください。

「インシデントからの復旧」とは

大分類7「インシデントからの復旧」は、NIST CSF 2.0（サイバーセキュリティフレームワーク）の「復旧（RC: Recover）」に対応する領域で、サイバー攻撃で業務が止まったときに、どの水準まで、どのように業務を戻すかが決まっているかを問います。要求事項は7-1-1の1件で、評価基準は★3で1件、★4で1件が追加されます。

件数は少ないものの、事業継続の考え方を問う重い項目です。大分類6のインシデント対応手順（6-1-1-1）には5段階のうち4番目として「復旧」が含まれますが、手順書に「復旧する」と書いてあるだけでは7-1-1は満たせません。何を、どの水準まで、いつまでに戻すのかを事前に決め、それを実現する手段を用意しておくことが求められます。

★3：7-1-1-1 目標復旧レベルと復旧のための対策

事業継続上重要なシステムについて、サイバー攻撃を念頭に業務の目標復旧レベルを定め、そのレベルまで業務を回復するために必要な対策を整備することが求められます。進め方は次の3段階です。

1. 重要システムの特定: 止まると売上・納期・支払・安全に直接影響するシステムを選びます。受発注、生産管理、会計、メール・ファイル共有の基盤などが候補になります。すべてのシステムを対象にする必要はなく、事業継続上重要なものに絞ります
2. 目標復旧レベルの設定: システムごとに、どの業務をどの水準まで、どれくらいの時間で回復させるかを決めます。「システムが完全に戻る」ことだけを目標にせず、業務が最低限回る水準を段階的に定めると現実的な計画になります
3. 復旧のための対策の整備: 目標レベルまで回復する手段を用意し、文書化します

対策の例として、評価基準では次の2つが挙げられています。

注目すべきは2つ目です。システムを冗長化する予算も人員もない企業でも、「システムが止まったら電話とFAXで受発注を続ける」という代替手段を定め、そのための取引先連絡先を整備していれば、復旧のための対策として示せます。連絡先はメールアドレスだけでなく、電話番号やFAX番号など、自社のシステムが止まっていても使える複数の手段を用意しておきます。この連絡先一覧は、大分類6の6-1-1-2で求められる社内外の連絡先と兼ねることができます。

関連する★3の要求事項：適切なバックアップ（4-3-4）

バックアップは大分類4「攻撃等の防御」に属しますが、復旧の前提になります。復旧のための対策として待機系を用意しても、戻すデータがなければ業務は再開できません。評価基準は3件です。

• 4-3-4-1: 取得対象、取得頻度、保管期間を定めてバックアップを取得する
• 4-3-4-2: 重要な機密情報は遠隔地バックアップも実施する
• 4-3-4-3: バックアップ対象ごとにリストア手順書を整備する

7-1-1-1で特定した重要システムが、4-3-4-1の取得対象に含まれているかを確認してください。取得頻度は目標復旧レベルで定めた「どの時点のデータに戻すか」と対応します。1日1回の取得であれば、最悪の場合は前日分までのデータを失うことになり、それが業務上許容できるかを判断します。

遠隔地バックアップを設計する際は、保管場所の距離だけでなく保管先への攻撃耐性も考慮することを推奨します。本番環境と同じ認証基盤やネットワークから到達できるバックアップは、ランサムウェアの被害を同時に受けるおそれがあります。アクセス経路の分離、書き換え防止（イミュータブル保管やオフライン媒体）などで、本番が侵害されてもバックアップが残る構成にします。バックアップ要件の実務的な進め方は★3のバックアップ要件で、大分類4全体は「攻撃等の防御」の要件で解説しています。

★4：7-1-1-2 復元できることの確認

★4では、事業継続上重要なシステムについて次の対策が追加されます。

• 目標復旧時点に戻せるよう、4-3-4で取得したバックアップを保管する
• リストア手順書どおりに、目標復旧時間内でバックアップを復元できることを確認する

つまり★4では、目標復旧時間（RTO: Recovery Time Objective）と目標復旧時点（RPO: Recovery Point Objective）を定め、実際の復元テストで達成できることを示す必要があります。RTOは「停止からどれだけの時間で業務を再開するか」、RPOは「どの時点のデータまで戻すか（どれだけのデータ損失を許容するか）」です。★3の目標復旧レベルをこの2つの数値で定めておけば、★4への移行時に書き直す必要がありません。

★4の実地審査でも、事業継続要件に沿った復旧準備は確認すべき事項の例として挙げられています。復元テストは、手順書を見ながら実際にバックアップからデータやシステムを戻し、所要時間と結果を記録します。本番環境に影響させずに行うため、検証用の環境や別の端末に復元する方法が一般的です。

★3では復元テストは評価基準に含まれていませんが、リストア手順書が機能するかを確かめる意味で、★3の段階から実施しておくことを推奨します。手順書を書いた時点では正しくても、システムの更新や担当者の交代で手順が合わなくなっていることは珍しくありません。★4全体の差分は★4で追加される17項目と72評価基準で整理しています。

必要になる証跡

大分類7は、重要システムの一覧と復旧対策の文書、バックアップの運用記録で評価されます。復旧対策は文書化されていなければ「整備した」とは言えないため、担当者の頭の中にある手順を書き出すことが最初の作業になります。

バックアップの取得記録は、バックアップソフトのジョブ履歴やクラウドサービスの管理画面のログで代替できることが多くあります。取得に失敗した日があれば、その検知と対処の記録も残しておくと、運用が機能していることを示せます。

よくある質問

待機系のシステムを用意できない中小企業でも7-1-1-1を満たせますか？

満たせます。評価基準7-1-1-1が例として挙げている対策は、予備機やクラウド環境で待機系を整備する「システムによる業務継続」と、電話やFAXでの連絡・業務実施に備えて影響のある取引先の連絡先と複数の連絡手段を整備する「人手による業務継続」の2つです。システムを冗長化できなくても、重要システムが止まった場合にどの業務を電話・FAX・紙でどこまで続けるかを定め、そのための取引先連絡先を整備していれば、復旧のための対策として示せます。

★3でもバックアップの復元テストは必要ですか？

★3の評価基準には復元テストは含まれていません。復元テストが評価基準として求められるのは★4の7-1-1-2で、リストア手順書どおりに目標復旧時間内でバックアップを復元できることを確認します。ただし★3でも4-3-4-3でバックアップ対象ごとのリストア手順書が求められており、手順書が実際に機能するかは復元してみないと分かりません。★3の段階から年1回程度の復元テストを実施し、記録を残しておくことを推奨します。

目標復旧レベルはどのように決めればよいですか？

最初に事業継続上重要なシステムを特定し、システムごとに、どの業務をどの水準まで、どれくらいの時間で回復させるかを決めます。たとえば受発注システムであれば「停止から1営業日以内に、電話とFAXで主要取引先との受発注を再開する」「3営業日以内にシステムを前日時点のデータで復旧する」のように、業務の回復水準と時間を組み合わせて書きます。★4では目標復旧時間（RTO）と目標復旧時点（RPO）として数値で定め、復元テストで達成できることを示す必要があるため、★3の段階から数値で定めておくと移行が楽になります。

Microsoft 365などクラウド上のデータは遠隔地バックアップに該当しますか？

データがクラウド上にあることと、4-3-4-2が求める遠隔地バックアップを取得していることは別です。評価基準は製品や保管場所の形態を指定していませんが、本番環境と同じ認証基盤やネットワークから到達できる保管先は、アカウント侵害やランサムウェアの被害を同時に受けるおそれがあります。保管先への攻撃耐性（アクセス経路の分離、書き換え防止など）と、権限や設定まで含めて復元できる範囲を確認し、自己評価の段階で説明できるようにしておくことを推奨します。

まとめ

大分類7「インシデントからの復旧」で★3が求めるのは、7-1-1-1の1件です。事業継続上重要なシステムを特定し、業務の目標復旧レベルを定め、待機系または人手による業務継続の対策を整備します。冗長化できないことは不適合の理由になりません。電話・FAXで業務を続けるための取引先連絡先と手順が整っていれば、対策として示せます。

復旧の前提になるバックアップ（4-3-4）は、取得ルール・遠隔地バックアップ・リストア手順書の3点を、ランサムウェアに同時に侵害されない構成でそろえます。★4ではRTO・RPOを定めて復元テストで達成を示す必要があるため、★3の段階から目標を数値で定め、年1回の復元テストを運用に組み込んでおくと、7つの大分類の最後にあたるこの領域を無理なく積み上げられます。