退職予定者の内部不正対策で適切なものを見分ける
情報セキュリティマネジメント試験 2022年 サンプル問題 問2 ／ セキュリティ › 情報セキュリティ対策
過去問にチャレンジ
退職する従業員による不正を防ぐための対策のうち，IPA“組織における内部不正防止ガイドライン（第5版）”に照らして，適切なものはどれか。
- ア
在職中に知り得た重要情報を退職後に公開しないように，退職予定者に提出させる秘密保持誓約書には，秘密保持の対象を明示せず，重要情報を客観的に特定できないようにしておく。
- イ
退職後，同業他社に転職して重要情報を漏らすということがないように，職業選択の自由を行使しないことを明記した上で，具体的な範囲を設定しない包括的な競業避止義務契約を入社時に締結する。
- ウ
退職者による重要情報の持出しなどの不正行為を調査できるように，従業員に付与した利用者IDや権限は退職後も有効にしておく。
- エ
退職間際に重要情報の不正な持出しが行われやすいので，退職予定者に対する重要情報へのアクセスや媒体の持出しの監視を強化する。
会話形式の解説
講師今回は、退職する従業員による内部不正をどう防ぐかという問題です。IPAの内部不正防止ガイドラインの考え方に合う対策を選びます。退職の前と後で、どこにリスクがあるかを意識して読むのがポイントです。
受験者どの選択肢も「漏えいを防ぐため」「調査のため」と目的が書いてあるので、どれも正しそうに見えて迷いました。
講師そこがこの問題の引っかけです。誤りの選択肢には、もっともらしい目的が添えられています。目的ではなく、手段が妥当かどうかで判断しましょう。まず、秘密保持誓約書の対象を明示しないという選択肢はどうでしょうか。
受験者対象をあいまいにしておけば、広く守秘を求められるので有利なのかと思いました。
講師実際は逆です。ガイドラインでは、対象となる重要情報を客観的に特定できるように記載することが求められています。対象があいまいだと、何が秘密情報なのかの判断が人によって分かれてしまい、誓約書が漏えい防止の役に立ちません。
受験者競業避止義務契約、つまり同業他社への転職などを制限する取決めも、範囲を定めない包括的なものなら強力そうですが、これも問題があるのですか。
講師はい。職業選択の自由は憲法で保障された権利なので、それを無制限に制約する取決めは有効性を否定されるおそれがあります。競業避止義務を課すなら、合理的な範囲に限って定める必要があります。
受験者では、調査できるように退職後も利用者IDや権限を残しておく対策は、調査の目的としては理にかなっている気がします。
講師目的に引きずられやすい選択肢ですね。退職で不要になったIDやアクセス権は、不要になった時点で速やかに削除すべきものです。有効なまま残すと、退職者による不正アクセスの経路になってしまいます。
受験者そうすると、退職予定者の重要情報へのアクセスや媒体の持出しの監視を強化する対策が残ります。退職間際は持ち出されやすい時期だからですね。
講師そのとおりです。退職間際は重要情報の不正な持出しが起こりやすく、ガイドラインもこの時期の監視強化を有効な対策としています。これが正解です。
受験者整理すると、在職中の退職間際は監視を強め、退職後に使える経路は残さず、誓約書や契約は対象を明確にして合理的な範囲に限る、ということですね。
講師よくまとまっています。補足すると、「明示しない」「包括的」「退職後も有効」のように、範囲や期限をあいまいにしたり無制限にしたりする表現は、誤りを見分ける手がかりになります。似た問題でも意識してみてください。
まとめ
IPA「組織における内部不正防止ガイドライン（第5版）」に照らして、退職する従業員の不正を防ぐ対策を選ぶ問題です。退職間際は重要情報の不正な持出しが起こりやすいので、退職予定者のアクセスや媒体の持出しへの監視を強化するのが適切です。退職で不要になった利用者IDやアクセス権は速やかに削除し、秘密保持誓約書では対象となる重要情報を客観的に特定できるように明記します。競業避止義務は、職業選択の自由に配慮して合理的な範囲に限って定めます。誤りの選択肢にはもっともらしい目的が添えられているので、手段が妥当かどうかで判断することが大切です。
解答・解説
正解はエです
この問題のテーマ
退職予定者や退職者による内部不正を防ぐ対策として、IPA「組織における内部不正防止ガイドライン（第5版）」の考え方に合うものを選ぶ問題です。
解き方の考え方
退職の前後でリスクがどこにあるかを考えます。退職間際は重要情報が持ち出されやすい時期なので、在職中の監視を強めることと、退職後に使える経路を残さないことが基本です。そのうえで、誓約書や契約は、対象を明確にし、合理的な範囲に限ってはじめて有効に機能する、という観点で各選択肢を確かめます。
選択肢ごとの解説
- ×ア 在職中に知り得た重要情報を退職後に公開しないように，退職予定者に提出させる秘密保持誓約書には，秘密保持の対象を明示せず，重要情報を客観的に特定できないようにしておく。秘密保持の対象を明示しないという誓約書の説明は誤りです。ガイドラインでは、対象となる重要情報を客観的に特定できるように記載することが求められます。対象があいまいだと、何が秘密情報なのかの判断が人によって分かれ、誓約書が漏えい防止の役に立ちません。
- ×イ 退職後，同業他社に転職して重要情報を漏らすということがないように，職業選択の自由を行使しないことを明記した上で，具体的な範囲を設定しない包括的な競業避止義務契約を入社時に締結する。範囲を定めずに職業選択の自由を行使させない包括的な競業避止義務契約は適切ではありません。職業選択の自由は憲法で保障された権利であり、これを無制限に制約する取決めは有効性を否定されるおそれがあります。競業避止義務を課す場合は、期間や地域、職種などを合理的な範囲に限って定める必要があります。
- ×ウ 退職者による重要情報の持出しなどの不正行為を調査できるように，従業員に付与した利用者IDや権限は退職後も有効にしておく。調査のために退職後も利用者IDや権限を有効にしておくという説明は誤りです。退職によって不要になったIDやアクセス権は、不要になった時点で速やかに削除すべきものです。有効なまま残すと、退職者による不正アクセスの経路になってしまいます。
- ○エ 退職間際に重要情報の不正な持出しが行われやすいので，退職予定者に対する重要情報へのアクセスや媒体の持出しの監視を強化する。退職予定者に対して、重要情報へのアクセスや媒体の持出しの監視を強めるという対策は適切です。退職間際は重要情報の不正な持出しが起こりやすい時期であり、ガイドラインもこの時期の監視強化を有効な対策としています。
補足
誤りの選択肢には「調査のため」「漏えいを防ぐため」のように、もっともらしい目的が添えられています。目的ではなく手段が妥当かどうかで判断することが大切です。「明示しない」「包括的」「退職後も有効」のように、範囲や期限をあいまいにしたり無制限にしたりする表現は、誤りを見分ける手がかりになります。
POINT
- 退職間際は重要情報の不正な持出しが起こりやすいため、退職予定者のアクセスや媒体の持出しへの監視を強化します。
- 退職によって不要になった利用者IDやアクセス権は、不要になった時点で速やかに削除します。
- 秘密保持誓約書では、対象となる重要情報を客観的に特定できるように明記します。
- 競業避止義務は、職業選択の自由に配慮して合理的な範囲に限って定めます。