情報セキュリティの人的管理策は委託先にも必要か
ITパスポート試験 令和2年度10月 問84 ／ セキュリティ › 情報セキュリティ対策・実装技術
過去問にチャレンジ
ISMSの情報セキュリティリスク対応における，人的資源に関するセキュリティ管理策の記述として，適切でないものはどれか。
- ア
雇用する候補者全員に対する経歴などの確認は，関連する法令，規制及び倫理に従って行う。
- イ
情報セキュリティ違反を犯した従業員に対する正式な懲戒手続を定めて，周知する。
- ウ
組織の確立された方針及び手順に従った情報セキュリティの適用を自社の全ての従業員に要求するが，業務を委託している他社には要求しないようにする。
- エ
退職する従業員に対し，退職後も有効な情報セキュリティに関する責任事項及び義務を定めてその従業員に伝え，退職後もそれを守らせる。
会話形式の解説
講師今回は「適切でないもの」を選びます。セキュリティ管理策の対象から、誰かが外されていないかに注目しましょう。
受験者自社の従業員に方針や手順を守らせるという説明は、適切に見えます。
講師その部分は適切です。ただし、続けて業務の委託先には要求しないとしている点が問題です。
受験者委託先が情報を扱うなら、自社の従業員だけを対象にしては足りないのですね。
講師はい。情報を扱う委託先にも、担当する業務に応じたセキュリティ要件が必要です。したがって、委託先を除外する記述が正解です。
受験者採用候補者の経歴確認は、全員に行うという点が気になりました。
講師経歴確認を関連する法令、規制、倫理に従って行うという記述なので、適切です。
受験者情報セキュリティ違反への懲戒手続を定めて周知することも、適切ですか。
講師適切です。違反した従業員への正式な懲戒手続を定め、周知します。
受験者退職後も続く義務を本人に伝えて守らせる、という記述も適切ですね。
講師そのとおりです。退職後も有効な情報セキュリティ上の義務を伝え、守らせます。従業員への要求が適切に見える選択肢でも、委託先を除外していないか最後まで確認しましょう。
まとめ
この問題は、ISMSの人的資源に関する管理策で適切でない記述を選びます。自社の従業員に方針や手順を守らせるだけで、情報を扱う委託先には要求しないとする記述が不適切です。採用候補者の経歴確認、違反への懲戒手続、退職後も続く義務についての記述は適切です。
解答・解説
正解はウです
この問題のテーマ
ISMSの人的資源に関する管理策について、採用、在職、退職と委託先への対応を問う問題です。
解き方の考え方
設問は「適切でないもの」を選ぶため、管理策の対象から誰かを外していないかを確認します。従業員だけでなく、情報を扱う委託先にも、担当業務に応じたセキュリティ要件が必要です。この点に反するウを選びます。
選択肢ごとの解説
- ×ア 雇用する候補者全員に対する経歴などの確認は，関連する法令，規制及び倫理に従って行う。採用候補者の経歴確認に関する説明です。確認は関連する法令、規制、倫理に従って行うため、適切です。
- ×イ 情報セキュリティ違反を犯した従業員に対する正式な懲戒手続を定めて，周知する。情報セキュリティ違反への懲戒手続に関する説明です。正式な手続を定め、従業員に周知するという内容は適切です。
- ○ウ 組織の確立された方針及び手順に従った情報セキュリティの適用を自社の全ての従業員に要求するが，業務を委託している他社には要求しないようにする。自社の従業員に方針や手順を守らせる点は妥当です。しかし、業務を委託している他社には要求しないとする点が不適切です。情報を扱う委託先にも、担当業務に応じたセキュリティ要件を課します。
- ×エ 退職する従業員に対し，退職後も有効な情報セキュリティに関する責任事項及び義務を定めてその従業員に伝え，退職後もそれを守らせる。退職後も続く情報セキュリティ上の義務に関する説明です。その義務を本人に伝え、退職後も守らせるという内容は適切です。
補足
「自社の従業員には要求する」という部分だけを見ると、ウも適切に見えます。続く「委託先には要求しない」という部分まで読み、管理策の対象から委託先を外していないかを確かめましょう。
POINT
- 設問が「適切でないもの」を求めていることを先に確認します。
- 採用候補者の経歴確認では、法令、規制、倫理に従います。
- 情報セキュリティ違反に対する正式な懲戒手続を定め、周知します。
- 情報を扱う委託先にも、業務に応じたセキュリティ要件が必要です。
- 退職後も続く義務は本人に伝え、履行させます。