Pihak Konsinyasi・Edukasi・Audit

Perusahaan A yang bergerak dalam penjualan jarak jauh mengonsinyasikan pekerjaan input data daftar pelanggan kepada Perusahaan B. Kontrak menetapkan kewajiban kerahasiaan dan langkah pengamanan, dan Perusahaan B juga telah memperoleh sertifikasi ISMS. Suatu hari, karyawan Perusahaan B menyalin data kerja ke PC pribadi dan membawanya pulang, sehingga nama dan alamat sekitar 5.000 pelanggan bocor dari sana. Dari Perusahaan B disampaikan permintaan maaf dan laporan kronologi, serta dikatakan bahwa karyawan yang bersangkutan telah dikenai sanksi. Anda yang menjabat pemimpin di divisi penjualan Perusahaan A akan menjelaskan arah respons ke depan dalam rapat internal. Dalam rapat muncul pendapat “karena kewajiban sudah dibebankan ke Perusahaan B lewat kontrak, Perusahaan A tidak perlu tampil ke depan”. Manakah cara berpikir yang paling tepat mengenai tanggung jawab Perusahaan A?

1. Meskipun penanganan data pribadi dikonsinyasikan, tanggung jawab pihak yang mengonsinyasikan tidak hilang, dan keputusan mengenai kontak kepada yang bersangkutan serta pengumuman dilakukan dengan Perusahaan A sebagai pihak utama
2. Karena yang benar-benar menangani informasi adalah Perusahaan B, pelaporan kepada instansi pengawas dan penjelasan langkah pencegahan pengulangan keduanya ditangani sendiri oleh pihak Perusahaan B
3. Tanggung jawab Perusahaan A dianggap telah dipenuhi dengan mengajukan tuntutan ganti rugi kepada Perusahaan B
4. Karena Perusahaan B telah diwajibkan melakukan pengamanan melalui kontrak konsinyasi, dapat dikatakan Perusahaan A tidak perlu melakukan sendiri kontak kepada yang bersangkutan atau pengumuman hasil

Divisi umum Perusahaan A akan memilih pihak konsinyasi baru untuk pekerjaan perhitungan gaji. Karena akan menyerahkan nama, nomor rekening, dan jumlah gaji karyawan, sudut pandang keamanan informasi ditambahkan sebagai kriteria pemilihan selain harga. Ada 3 kandidat, dan setiap perusahaan telah memberikan jawaban atas lembar konfirmasi. Kepala divisi umum berkata “yang penting biaya ditekan semaksimal mungkin”, tetapi Anda sebagai pemimpin merangkum isi jawaban untuk bahan pertimbangan. Hasil jawabannya adalah sebagai berikut. Manakah penilaian yang paling tepat dari sudut pandang keamanan informasi?

確認項目                          X社  Y社                     Z社------------------------------------------------------------------情報セキュリティ責任者の設置      有   有                      有従業者への年次教育                済   済                      未再委託の予定                      無   有（事前承認手続あり）  有（詳細は不明）監査（立入りまたは書面）の受入れ  可   可                      不可事故発生時の報告期限の明記        可   可                      不可提示価格                          高   中                      低

1. Karena Perusahaan Y berencana melakukan subkonsinyasi, dikeluarkan dari kandidat tanpa syarat hanya karena satu poin itu, terlepas dari penilaian item lainnya
2. Karena harga yang ditawarkan Perusahaan X paling tinggi dibanding perusahaan lain, dikeluarkan dari kandidat pemilihan meskipun memenuhi semua item lainnya
3. Karena Perusahaan Z memiliki harga termurah dan sudah memiliki penanggung jawab, dipilih dengan asumsi edukasi karyawan dan penerimaan audit akan diperbaiki setelah kontrak ditandatangani
4. Karena Perusahaan Y memiliki prosedur persetujuan sebelum subkonsinyasi dan bersedia menerima audit, dijadikan kandidat setelah memeriksa metode pengelolaan pihak subkonsinyasi

Perusahaan A mengonsinyasikan pemeliharaan sistem inti kepada Perusahaan B. Kontrak menetapkan “jika akan melakukan subkonsinyasi, harus memperoleh persetujuan tertulis sebelumnya dari pihak yang mengonsinyasikan”. Suatu siang, petugas Perusahaan B menelepon Anda, pemimpin keamanan informasi Perusahaan A, dengan permintaan “karena kekurangan tenaga di masa sibuk, mulai besok ingin meminta Perusahaan C, mitra kerja kami, membantu sebagian pekerjaan. Karena mendesak, bisakah persetujuan diberikan secara lisan?” Pekerjaan Perusahaan C disebutkan perlu terhubung ke lingkungan pemeliharaan yang berisi data pelanggan Perusahaan A. Perusahaan B menjelaskan “hubungan dengan Perusahaan C sudah lama dan tidak masalah”. Apa yang seharusnya pertama kali Anda lakukan?

1. Perusahaan A membuat kontrak langsung dengan Perusahaan C tanpa melalui Perusahaan B, sehingga tidak lagi termasuk subkonsinyasi
2. Karena permintaan subkonsinyasi itu sendiri sudah merupakan pelanggaran kontrak, langsung membatalkan kontrak konsinyasi dengan Perusahaan B
3. Meminta diserahkan secara tertulis nama dan lokasi pihak subkonsinyasi C, cakupan dan jangka waktu pekerjaan, jenis informasi yang ditangani, serta apakah kewajiban kerahasiaan dan langkah pengamanan setara dibebankan dalam kontrak dengan Perusahaan C
4. Karena mendesak, memberikan persetujuan lisan saat itu juga melalui telepon, dan menerima dokumen tertulis yang mencantumkan nama pihak subkonsinyasi serta cakupan pekerjaan setelah pekerjaan dimulai

Perusahaan A akan mengonsinyasikan pekerjaan loket pertanyaan yang baru kepada Perusahaan D, dan Anda sebagai pemimpin memeriksa rancangan kontrak yang diteruskan dari divisi hukum. Rancangan menetapkan kewajiban kerahasiaan, larangan penggunaan di luar tujuan, persetujuan sebelum subkonsinyasi, dan kewajiban pelaporan saat terjadi kecelakaan. Sementara itu, tidak ditemukan ketentuan mengenai pengembalian atau penghapusan data yang dititipkan saat kontrak berakhir, dan ketentuan penerimaan audit oleh Perusahaan A untuk memeriksa status pelaksanaan. Petugas divisi hukum berkata “karena ini kontrak standar pihak lawan, penambahan klausul sepertinya sulit”. Pekerjaan konsinyasi ini akan menangani nama dan kontak pelanggan. Manakah respons Anda yang paling tepat?

1. Karena ini kontrak standar pihak lawan, menandatangani apa adanya isi rancangan yang ditunjukkan tanpa diubah, lalu meminta penghapusan data secara lisan pada saat kontrak berakhir
2. Sebelum penandatanganan, bernegosiasi agar pengembalian atau penghapusan data saat kontrak berakhir, serta penerimaan konfirmasi melalui dokumen atau kunjungan langsung, ditambahkan melalui nota kesepahaman dan sejenisnya
3. Karena dianggap risikonya besar mengingat klausul yang kurang, membatalkan konsinyasi ini sama sekali dan menjalankan seluruh pekerjaan secara internal
4. Karena penerimaan audit tidak digunakan dalam praktik, dihilangkan dari klausul, dan hanya pengembalian atau penghapusan data saat kontrak berakhir yang ditambahkan melalui nota kesepahaman

Perusahaan A melanjutkan praktik mengirimkan daftar periksa setahun sekali kepada pihak konsinyasi untuk meminta jawaban status pelaksanaan, sekaligus meminta penyerahan bukti pendukungnya. Tahun ini pun jawaban telah diterima dari Perusahaan B, pihak konsinyasi pekerjaan input data, dan ketika Anda sebagai pemimpin memeriksa isinya, semua jawaban menyatakan “dilaksanakan”. Namun, di antara bukti yang diminta untuk diserahkan, hanya yang terkait pelatihan tahunan bagi karyawan yang belum diserahkan. Petugas Perusahaan B berganti di tengah tahun, dan tampak serah terima dari pendahulunya kurang memadai. Status jawaban dan bukti adalah sebagai berikut. Apa yang seharusnya pertama kali dilakukan?

確認項目                  B社の回答       証跡の提出----------------------------------------------------従業者への年次教育の実施  実施            未提出アクセス権の定期棚卸し    実施            提出済再委託の有無              無              該当なし委託データの保管場所      社内サーバのみ  提出済事故時の連絡先の更新      更新済          提出済

1. Karena subkonsinyasi dijawab “tidak ada”, menghapus klausul terkait subkonsinyasi dari kontrak mulai tahun berikutnya
2. Karena keandalan jawaban meragukan, melakukan inspeksi kunjungan langsung tanpa pemberitahuan sebelumnya dan mengonfirmasi ulang semua item di tempat
3. Meminta diserahkan bukti seperti catatan mengikuti pelatihan dengan batas waktu tertentu, sebagai dasar untuk jawaban bahwa pelatihan telah dilaksanakan
4. Karena semua jawaban “dilaksanakan”, cukup menyimpannya sebagai catatan apa adanya dan tidak melakukan konfirmasi tambahan khusus sampai tahun berikutnya

Divisi SDM Perusahaan A sedang mempertimbangkan mengonsinyasikan tabulasi dan analisis angket internal mengenai lingkungan kerja untuk seluruh karyawan kepada Perusahaan B eksternal. Data yang diserahkan kepada Perusahaan B mencakup nama, divisi, dan isi jawaban karyawan. Petugas divisi SDM berkonsultasi kepada Anda sebagai pemimpin, “karena data akan diserahkan ke luar perusahaan, bukankah harus memperoleh persetujuan individual dari seluruh karyawan?” Dalam konsinyasi ini, kewajiban kerahasiaan dan langkah pengamanan akan ditetapkan dalam kontrak, dan lokasi kerja serta metode penyimpanan pun akan ditentukan. Manakah penjelasan yang paling tepat?

1. Karena pihak yang dikonsinyasikan pun tunduk pada Undang-Undang Perlindungan Informasi Pribadi, pengelolaan setelah data diserahkan sepenuhnya menjadi tanggung jawab pihak yang dikonsinyasikan, dan pihak yang mengonsinyasikan tidak memiliki kewajiban pengawasan
2. Penyerahan data pribadi yang menyertai konsinyasi tidak termasuk penyediaan kepada pihak ketiga sehingga persetujuan orang yang bersangkutan tidak diperlukan, tetapi pihak yang mengonsinyasikan memiliki kewajiban mengawasi pihak yang dikonsinyasikan
3. Data pribadi yang belum dijadikan pseudonim atau anonim tidak dapat diserahkan ke luar dalam keadaan apa pun
4. Meskipun konsinyasi, tetap termasuk penyediaan kepada pihak ketiga, sehingga konsinyasi tidak dapat dilakukan tanpa memperoleh persetujuan individual dari seluruh karyawan

Divisi penjualan Perusahaan A menggunakan layanan berbagi berkas cloud（SaaS）untuk berbagi surat penawaran harga dan proposal. Penyedia layanan telah memperoleh sertifikasi ISMS, dan sistem pengelolaan pusat data pun dipublikasikan. Suatu hari, ada kontak dari mitra bisnis bahwa “surat penawaran harga perusahaan Anda terlihat melalui pencarian internet”. Setelah diperiksa, ternyata saat petugas membuat tautan berbagi, tautan diterbitkan dengan pengaturan default “semua yang mengetahui tautan dapat melihat”, dan tautan tersebut telah disebarluaskan ulang ke blog eksternal. Petugas divisi penjualan berpendapat “karena ada masalah pada layanan penyedia, seharusnya perusahaan penyedia diminta menyelidiki penyebab dan mencegah pengulangan”. Manakah respons yang paling tepat?

1. Karena diduga ada kekurangan pada cakupan penerapan sertifikasi yang diperoleh penyedia, mengajukan keberatan resmi secara tertulis kepada lembaga sertifikasi
2. Karena penyebabnya adalah penggunaan cloud itu sendiri, melarang penggunaan layanan cloud di seluruh perusahaan dan kembali ke server internal
3. Karena dalam penggunaan SaaS tanggung jawab tidak timbul pada pihak pengguna, memproses prosedur untuk menuntut ganti rugi kepada penyedia
4. Karena pengaturan cakupan publikasi termasuk tanggung jawab pengguna, meninjau ulang pengaturan default, wewenang penerbitan tautan, dan operasi pemeriksaan di sisi Perusahaan A

Dalam memperbarui kontrak dengan Perusahaan E, pihak konsinyasi pekerjaan logistik, Perusahaan A menyusun daftar klausul kontrak. Hasilnya, diketahui bahwa sebagian besar klausul yang diperlukan sudah ditetapkan, tetapi ada klausul yang kurang atau terbatas. Perusahaan E menangani nama pelanggan Perusahaan A dan alamat pengiriman, serta berencana mensubkonsinyasikan sebagian pengiriman kepada mitra kerja. Anda sebagai pemimpin sedang menata hal-hal yang akan diminta dalam negosiasi pembaruan berdasarkan daftar ini. Berikut hasil penataan klausulnya. Manakah respons Perusahaan A berikut yang tidak tepat?

条項                        定めの有無  内容の要点--------------------------------------------------秘密保持義務                有          契約終了後3年間存続目的外利用の禁止            有          委託業務以外での利用を禁止再委託                      有          事前の書面による承認が必要監査の受入れ                有          書面での確認のみ。立入りは不可事故発生時の報告            有          発覚後72時間以内に報告終了時のデータの返却・削除  無          定めなし

1. Karena pelaporan dalam 72 jam setelah diketahui berpotensi memperlambat respons awal, mempertimbangkan penetapan batas waktu laporan pertama yang lebih singkat secara terpisah
2. Karena kewajiban kerahasiaan sudah ditetapkan, cukup diserahkan kepada pengelolaan pihak konsinyasi untuk pihak subkonsinyasi, dan Perusahaan A tidak perlu memahami nama atau cakupan pekerjaan pihak subkonsinyasi
3. Karena tidak ada ketentuan mengenai penanganan data saat berakhir, meminta agar cakupan dan batas waktu pengembalian atau penghapusan, serta penyerahan laporan penyelesaian, ditambahkan ke kontrak yang diperbarui
4. Karena kunjungan langsung tidak diizinkan, menentukan sejak awal secara konkret jenis bukti yang akan diminta dalam konfirmasi tertulis

Pada hari Jumat pukul 18.00, ponsel Anda selaku pemimpin keamanan informasi Perusahaan A menerima kontak dari petugas pihak konsinyasi Perusahaan B. Isinya, “laptop yang digunakan untuk pekerjaan tidak ditemukan. Ada kemungkinan tertinggal di kantor, dan belum dipastikan hilang.” Laptop tersebut kemungkinan menyimpan berkas kerja data pelanggan yang dititipkan dari Perusahaan A. Petugas Perusahaan B berkata “ingin melaporkan secara resmi setelah keadaan menjadi jelas”. Kontrak Perusahaan A menetapkan bahwa laporan pertama harus disampaikan dalam 2 jam sejak diketahui, termasuk untuk potensi kecelakaan, dan loket penerimanya adalah loket insiden divisi sistem informasi. Apa yang seharusnya pertama kali dilakukan?

1. Menginstruksikan petugas Perusahaan B agar tidak menyampaikan kepada siapa pun baik internal maupun eksternal sampai fakta dipastikan
2. Karena kehilangan belum dipastikan, melaporkan kepada atasan baru pada Senin pagi, dan sampai saat itu diam-diam hanya memantau perkembangannya tanpa menghubungi siapa pun secara khusus
3. Segera menyampaikan laporan pertama ke loket insiden perusahaan sendiri, sekaligus meminta Perusahaan B menyerahkan laporan pertama dengan format yang ditentukan dan mengidentifikasi informasi dalam PC
4. Tanpa menunggu awal minggu, pergi sendiri ke kantor Perusahaan B dan mencari PC bersama petugas yang bersangkutan

Pekerjaan sekretariat kampanye yang dikonsinyasikan Perusahaan A kepada Perusahaan B selama setengah tahun telah berakhir. Pekerjaan tersebut menangani nama, alamat, dan nomor telepon sekitar 20.000 pendaftar. Dari Perusahaan B diterima email laporan “semua pekerjaan telah selesai. Data yang dititipkan akan kami proses dengan tepat sesuai peraturan internal kami.” Kontrak menetapkan bahwa saat kontrak berakhir, data konsinyasi harus dikembalikan atau dihapus, dan laporan penyelesaian harus diserahkan. Setelah dikonfirmasi ke Perusahaan B, dijelaskan bahwa selain data kerja, ada juga backup harian yang tersimpan di sistem terpisah. Manakah respons Perusahaan A yang paling tepat?

1. Karena ada tidaknya penghapusan cukup dikonfirmasi pada audit internal tahun berikutnya, saat ini cukup menyimpan catatan penerimaan email laporan saja
2. Setelah memastikan backup dan salinan data kerja pun termasuk dalam objek, meminta penyerahan laporan penyelesaian penghapusan dengan batas waktu tertentu
3. Karena Perusahaan B sudah memperoleh sertifikasi dan merupakan pihak konsinyasi yang dapat dipercaya, tidak meminta penyerahan laporan penyelesaian penghapusan dan langsung mengakhiri konsinyasi apa adanya
4. Karena backup dibuat Perusahaan B untuk keperluan operasionalnya sendiri, tidak perlu dimasukkan sebagai objek penghapusan

Perusahaan A untuk pertama kalinya melaksanakan pelatihan email serangan bertarget. Ketika email pelatihan yang menyamar sebagai komunikasi kerja dikirim ke seluruh karyawan, tingkat pembukaan mencapai 22%, sedangkan pelaporan ke loket pelaporan hanya 6%. Dalam rapat berbagi hasil, seorang kepala divisi meminta “tolong berikan daftar nama karyawan yang membuka email tersebut. Saya ingin membimbing mereka dengan menyebut nama dan merefleksikannya ke penilaian kinerja.” Anda sebagai pemimpin merasa perlu menjelaskan kembali tujuan pelatihan. Pelatihan akan terus dilakukan setahun sekali ke depannya. Manakah respons Anda yang paling tepat?

1. Memenuhi permintaan dengan memberikan daftar nama karyawan yang membuka email kepada kepala divisi, dan membantu bimbingan individual serta refleksinya ke penilaian kinerja oleh kepala divisi
2. Mulai kali berikutnya, membuat kalimat email pelatihan yang mudah dikenali agar tingkat pembukaan menurun
3. Karena hasil tingkat pembukaan yang tinggi dapat menurunkan semangat kerja internal, hasil tidak dipublikasikan dan hanya disimpan oleh petugas
4. Tidak memberikan nama, membagikan hasil sebagai kecenderungan tingkat divisi, dan menghubungkannya dengan edukasi untuk menanamkan perilaku melapor dengan mengangkat modus yang banyak dibuka sebagai bahan

Perusahaan A melaksanakan pelatihan email serangan bertarget yang kedua, dan merangkum hasilnya per divisi. Email pelatihan berisi konten yang menyamar sebagai komunikasi kerja, mengukur baik pembukaan maupun pelaporan. Tingkat pelaporan adalah rasio jumlah laporan terhadap jumlah pengiriman, dan waktu hingga laporan pertama adalah waktu sampai laporan pertama tiba di loket. Target seluruh perusahaan adalah “tingkat pembukaan 15% atau kurang”, tetapi Anda sebagai pemimpin berpikir baik-buruknya tidak boleh dinilai hanya dari tingkat pembukaan saja. Berikut hasil rangkumannya. Manakah pembacaan hasil yang paling tepat?

部門    送信数  開封数  開封率  報告数  報告率  初報までの時間--------------------------------------------------------------営業部  120     24      20%     40      33%     12分総務部  40      4       10%     2       5%      180分製造部  90      18      20%     27      30%     15分開発部  60      6       10%     3       5%      150分

1. Tingkat pembukaan seluruh perusahaan berada di bawah target 15% dan tingkat pelaporan pun membaik, sehingga pelatihan berikutnya seluruhnya dihentikan
2. Untuk divisi umum dan divisi pengembangan yang tingkat pembukaannya rendah namun tingkat pelaporannya rendah dan laporan pertamanya pun lambat, memprioritaskan sosialisasi loket dan prosedur pelaporan
3. Karena divisi umum memiliki tingkat pembukaan terendah maka dapat dikatakan kondisinya paling baik, sehingga divisi lain sebaiknya mencontoh cara divisi umum
4. Karena divisi penjualan memiliki tingkat pembukaan tertinggi, dilakukan pelatihan ulang termasuk sanksi terhadap petugas divisi penjualan

Perusahaan A melaksanakan edukasi keamanan informasi tahunan melalui e-learning, dengan sasaran hanya karyawan tetap. Namun kenyataannya, karyawan alih daya yang menangani resepsionis dan petugas pihak konsinyasi yang menetap di kantor untuk pengembangan pun terhubung ke jaringan internal dan dapat melihat data pelanggan. Dalam audit internal belum lama ini, ditunjuk “sebagian orang yang bersentuhan dengan informasi belum menjadi sasaran edukasi”. Divisi SDM berpendapat “karena karyawan alih daya dan petugas pihak konsinyasi bukan karyawan perusahaan kami, bukankah edukasi itu tanggung jawab penyalur atau pihak konsinyasi?” Anda sebagai pemimpin akan menunjukkan arah perbaikan. Manakah yang paling tepat?

1. Untuk karyawan alih daya, sebagai pengganti tidak melaksanakan edukasi internal, penanganan cukup dengan mengurangi cakupan informasi yang dapat dilihat
2. Karena petugas pihak konsinyasi sudah menanggung kewajiban kerahasiaan melalui kontrak konsinyasi, diputuskan bahwa edukasi internal khusus tidak diperlukan
3. Karena bentuk kepegawaian berbeda, tetap dikecualikan dari sasaran, dan disampaikan secara lisan bahwa edukasi diserahkan kepada penyalur atau pihak konsinyasi
4. Sesuai cakupan sentuhan terhadap informasi perusahaan sendiri, edukasi dan pernyataan berdasarkan peraturan perusahaan sendiri juga dilaksanakan untuk karyawan alih daya dan petugas pihak konsinyasi

Perusahaan A merevisi peraturan mengenai pembawaan keluar informasi. Akibat revisi, pembawaan keluar dengan flash disk USB termasuk milik pribadi pada prinsipnya dilarang, dan pengiriman berkas ke luar perusahaan berubah menjadi melalui layanan cloud yang ditentukan dengan permohonan dan persetujuan atasan. Sekretariat memuat versi revisi peraturan di kumpulan peraturan intranet dan menetapkan tanggal berlaku pada tanggal 1 bulan berikutnya. Namun dalam rapat pemimpin di lapangan, muncul suara berturut-turut “saya tidak tahu itu sudah dimuat” dan “saya belum pernah melihat layar permohonan baru”. Masih ada 3 minggu sampai tanggal berlaku. Apa yang seharusnya pertama kali dilakukan?

1. Karena sudah dimuat di kumpulan peraturan dan dipublikasikan secara internal, sosialisasi dianggap selesai dan tidak ada penanganan tambahan yang dilakukan
2. Karena diketahui lapangan belum memahami, membatalkan revisi peraturan itu sendiri dan kembali ke operasi seperti sebelumnya
3. Sebelum tanggal berlaku, menyampaikan ringkasan perubahan, tanggal berlaku, dan prosedur permohonan baru kepada sasaran, serta menyediakan kesempatan untuk memeriksa tingkat pemahaman
4. Setelah tanggal berlaku terlewati, mendata pelanggar peraturan, lalu memberikan bimbingan dan peringatan individual kepada yang bersangkutan

Anda sebagai pemimpin Perusahaan A menyusun daftar rencana tahunan dan realisasi edukasi keamanan informasi tahun ini. Setelah disusun, diketahui ada kategori yang sudah terlaksana dan kategori yang rencananya sendiri belum ada. Administrator sistem menangani ID istimewa, dan petugas pihak konsinyasi yang menetap berada pada posisi dapat melihat data pelanggan. Dalam menyusun rencana tahun depan, perlu diputuskan mana yang dikerjakan lebih dulu dengan sumber daya yang terbatas. Berikut hasil penyusunannya. Manakah peninjauan ulang rencana tahun depan yang paling tepat?

対象                時期           方法         受講率------------------------------------------------------新入社員            4月（配属前）  集合研修     100%中途入社者          随時           eラーニング  100%一般社員            10月           eラーニング  97%管理職              10月           集合研修     88%システム管理者      未実施         なし         なし派遣・委託先従業者  未実施         なし         なし

1. Menjadikan penambahan edukasi karyawan umum dari 1 kali setahun menjadi 2 kali setahun sebagai isu prioritas tertinggi dalam rencana edukasi tahun depan
2. Memprioritaskan penambahan edukasi bagi administrator sistem dan karyawan alih daya/pihak konsinyasi yang rencananya sendiri belum ada, ke dalam rencana tahun depan
3. Karena karyawan baru memiliki tingkat kehadiran 100% dan sudah tertanam, pelatihan tatap muka untuk karyawan baru dihentikan sama sekali untuk tahun depan
4. Menghapuskan pelatihan tatap muka untuk manajemen yang tingkat kehadirannya paling rendah, dan menyatukan seluruh edukasi manajemen ke e-learning

Perusahaan A melaksanakan tes pemahaman di akhir edukasi tahunan, dan tahun ini pun merangkum hasil seluruh perusahaan per bidang. Rata-rata tingkat jawaban benar keseluruhan naik 2 poin dari tahun lalu. Namun jika dilihat per bidang, perbedaannya besar, dan diketahui bidang tertentu tetap rendah secara berkelanjutan. Di lapangan, insiden nyaris celaka terkait pembawaan keluar dengan flash disk USB pribadi masih terus dilaporkan. Anda sebagai pemimpin sedang menganalisis hasil untuk direfleksikan ke rencana edukasi tahun depan. Berikut hasil rangkumannya. Apa yang seharusnya pertama kali dilakukan?

分野                    今年の正答率  前年の正答率--------------------------------------------------パスワードの管理        92%           90%不審メールの報告先      88%           60%情報の持出し申請の手順  41%           44%記録媒体の廃棄          78%           75%SNSでの発信             85%           83%

1. Karena tingkat jawaban benar tentang tujuan pelaporan email mencurigakan naik besar, edukasi dan soal bidang tersebut dihentikan mulai tahun depan dan waktunya dialihkan ke bidang lain
2. Untuk prosedur permohonan pembawaan keluar yang tingkat jawaban benarnya tetap rendah, memeriksa apakah penjelasan materi kurang memadai dan apakah prosedur permohonan sebenarnya sulit digunakan
3. Menghapus soal pada bidang dengan tingkat jawaban benar rendah dari tes tahun depan, untuk menaikkan rata-rata keseluruhan
4. Karena rata-rata tingkat jawaban benar keseluruhan naik dari tahun lalu, tahun depan pun dilaksanakan dengan materi dan struktur yang sama

Perusahaan A telah membuat buku prosedur respons insiden yang mengasumsikan infeksi ransomware, tetapi belum pernah melakukan pelatihan sama sekali selama setengah tahun sejak dibuat. Buku prosedur mencantumkan kontak awal, penentu keputusan pemutusan jaringan, dan penentu keputusan pengumuman. Pelatihan operasional sungguhan yang benar-benar menghentikan sistem bisnis sulit dilaksanakan karena dampaknya besar terhadap lini produksi. Konsinyasi pelatihan ke pihak eksternal dipertimbangkan, tetapi ternyata sulit dengan anggaran tahun ini. Anda sebagai pemimpin tetap ingin memastikan apakah buku prosedur benar-benar dapat digunakan. Manakah yang paling tepat?

1. Karena membaca bersama buku prosedur tidak ada artinya, menunggu tanpa melakukan pelatihan sampai anggaran dapat dipastikan, lalu melaksanakan pelatihan operasional sungguhan yang menghentikan sistem bisnis produksi
2. Cukup dilaksanakan hanya oleh divisi sistem informasi saja, dan partisipasi divisi bisnis tidak diperlukan
3. Membagikan skenario yang diasumsikan, mengumpulkan pihak terkait, lalu melaksanakan pelatihan meja di mana setiap orang secara berurutan memastikan tindakan dan keputusan yang akan diambil selanjutnya, guna mendata kontak yang sudah usang atau penentu keputusan yang terlewat
4. Jika pelatihan operasional tidak dapat dilakukan, tidak melaksanakan pelatihan apa pun dan sebagai gantinya cukup membagikan buku prosedur kepada semua orang

Di Perusahaan A, catatan mengikuti edukasi keamanan informasi dikelola petugas dalam berkas spreadsheet di PC pribadinya. Ketika petugas tersebut bermutasi dan merapikan berkas, diketahui bahwa catatan mengikuti selama 2 tahun terakhir tidak tersisa. Bersamaan dengan itu, diterima permintaan dari Perusahaan F selaku pihak yang mengonsinyasikan, “mohon serahkan catatan yang menunjukkan status pelaksanaan edukasi terhadap petugas perusahaan Anda”. Edukasi itu sendiri dilaksanakan setiap tahun, dan materi serta email pengumuman pada saat itu masih tersimpan. Anda sebagai pemimpin perlu menangani baik penyerahan kali ini maupun pengelolaan ke depannya. Manakah yang paling tepat?

1. Karena catatan tidak tersisa tetapi edukasi itu sendiri dilaksanakan setiap tahun, cukup menjelaskan secara lisan bahwa edukasi telah dilaksanakan
2. Karena catatan hanya untuk keperluan audit atau konfirmasi pihak yang mengonsinyasikan, dibuat sekaligus setiap kali ada permintaan
3. Menetapkan dalam peraturan penanggung jawab penyimpanan, lokasi penyimpanan, dan periode penyimpanan catatan agar tidak bergantung pada pengelolaan individu, lalu menunjukkan catatan yang masih ada beserta langkah pencegahan pengulangan kepada Perusahaan F
4. Membuat ulang daftar peserta 2 tahun terakhir berdasarkan ingatan peserta dan pihak terkait saat itu, lalu menyerahkannya kepada Perusahaan F sebagai catatan mengikuti yang sebenarnya, dan menangani permintaan berikutnya dengan cara yang sama

Perusahaan A melaksanakan pelatihan email serangan bertarget selama 3 tahun berturut-turut, dan setiap kali merefleksikan hasilnya ke edukasi. Pada kali pertama, banyak karyawan membuka email dan hampir tidak ada laporan yang masuk, sehingga difokuskan pada sosialisasi loket pelaporan dan penjelasan bahwa melapor tidak akan disalahkan. Terpisah dari pelatihan, jumlah laporan email mencurigakan yang benar-benar diterima karyawan ke loket juga dicatat rata-rata bulanan. Pada rapat komite berikutnya, Anda sebagai pemimpin akan melaporkan perkembangan 3 tahun kepada manajemen puncak. Berikut perkembangannya. Manakah isi laporan yang paling tepat?

回     開封率  報告率  初報までの時間  実際の不審メール報告-----------------------------------------------------------第1回  22%     6%      120分           月2件第2回  15%     18%     45分            月9件第3回  12%     34%     18分            月21件

1. Karena tingkat pembukaan adalah satu-satunya indikator yang layak dinilai, dilaporkan bahwa hasil belum tercapai sampai tingkat pembukaan turun di bawah 10%
2. Karena tingkat pelaporan naik tetapi tingkat pembukaan belum mencapai 0%, dilaporkan bahwa pelatihan 3 tahun tidak memberikan efek
3. Karena jumlah laporan email mencurigakan yang benar-benar diterima karyawan terus meningkat, dilaporkan bahwa kesadaran keamanan informasi karyawan justru menurun
4. Dilaporkan bahwa selain penurunan tingkat pembukaan, kenaikan tingkat pelaporan dan pemendekan waktu laporan pertama terus berlanjut, ditambah peningkatan laporan email mencurigakan sungguhan, sehingga perilaku melapor mulai tertanam

Di Perusahaan A, dalam komite keamanan informasi setahun sekali, Anda sebagai pemimpin melaporkan status pelaksanaan edukasi. Laporan selama ini berpusat pada fakta pelaksanaan seperti “e-learning telah dilaksanakan, tingkat kehadiran 97%”, dan manajemen puncak setiap kali bertanya “apakah dengan itu perusahaan kita menjadi lebih kuat?” Tahun depan, dipertimbangkan mengonsinyasikan sebagian pelatihan ke pihak eksternal dan membuat ulang materi untuk bidang dengan pemahaman rendah, yang keduanya memerlukan anggaran. Di tangan Anda tersedia tingkat kehadiran, tingkat jawaban benar tes pemahaman per bidang, tingkat pelaporan pelatihan dan waktu hingga laporan pertama, serta perkembangan jumlah dan jenis insiden. Manakah cara pelaporan dalam komite yang paling tepat?

1. Karena manajemen puncak tidak memerlukan detail, tidak menyinggung perkembangan indikator, rencana tahun depan, atau anggaran yang diperlukan, dan hanya melaporkan kesimpulan bahwa tidak ada masalah besar yang terjadi
2. Menunjukkan tingkat kehadiran ditambah tingkat jawaban benar tes pemahaman per bidang, tingkat pelaporan pelatihan dan waktu hingga laporan pertama, serta perkembangan jumlah dan jenis insiden, lalu mengusulkan apa yang akan diubah selanjutnya dan sumber daya yang diperlukan
3. Karena efek edukasi tidak dapat dinyatakan dalam angka, hanya melaporkan jumlah pelaksanaan dan jumlah peserta
4. Hanya menunjukkan tingkat kehadiran, dan menjelaskan bahwa tidak mencapai 100% karena kesadaran lapangan rendah

Perusahaan A melaksanakan audit internal keamanan informasi setahun sekali. Objek audit tahun ini mencakup mekanisme pengelolaan hak akses yang dirancang dan dioperasikan sendiri oleh divisi sistem informasi. Dalam rapat penentuan petugas audit, sekretariat mengusulkan “yang paling memahami mekanisme ini adalah divisi sistem informasi, jadi lebih efisien jika kepala seksi divisi tersebut yang menangani audit”. Kepala seksi itu sendiri juga menyatakan “kalau saya, dapat memeriksa dalam waktu singkat”. Anda sebagai pemimpin memiliki kekhawatiran terhadap usulan ini. Manakah yang paling tepat?

1. Karena audit internal hanyalah kegiatan formal, kali ini tidak dilaksanakan dan cukup digantikan dengan hasil pemeriksaan eksternal oleh lembaga sertifikasi
2. Karena independensi hanyalah syarat formal, tetap dilaksanakan sesuai usulan sekretariat dengan mencantumkan keterangan telah memperhatikan independensi dalam laporan audit
3. Karena petugas yang paling memahami mekanisme lebih mudah menemukan kekurangan, tetap menugaskan kepala seksi divisi sistem informasi sesuai usulan sekretariat
4. Ditangani oleh orang yang tidak berada di divisi objek audit, divisi audit, atau ahli eksternal, sedangkan divisi sistem informasi berada di pihak yang memberikan penjelasan dan bukti

Perusahaan A mulai tahun ini memulai audit internal keamanan informasi, dan petugas divisi umum ditunjuk sebagai auditor. Petugas berkata “saya berencana berkeliling ke setiap divisi terlebih dahulu, lalu mengangkat hal yang mencurigakan di tempat”. Di internal perusahaan ada peraturan keamanan informasi dan berbagai buku prosedur, serta kontrak dengan pihak konsinyasi mencantumkan klausul terkait langkah pengamanan. Hasil audit akan dilaporkan ke manajemen puncak, dan jika ada temuan akan diminta perbaikan. Anda sebagai pemimpin khawatir divisi yang diaudit tidak akan menerima cara kerja seperti ini. Apa yang seharusnya pertama kali dilakukan?

1. Memperoleh laporan audit perusahaan lain, lalu langsung menggunakan hal yang tertulis di dalamnya sebagai temuan perusahaan sendiri
2. Berkeliling ke setiap divisi, mendaftar hal-hal yang disadari, lalu memilih yang tampak penting sebagai temuan
3. Menetapkan terlebih dahulu cakupan objek audit dan kriteria audit（peraturan perusahaan sendiri, buku prosedur, klausul kontrak, undang-undang）yang menjadi acuan untuk menilai baik-buruknya
4. Karena jika diberitahukan sebelumnya akan disiapkan, cakupan objek maupun jadwal audit tidak diberitahukan dan dilaksanakan secara mendadak, dengan temuan hanya berdasarkan yang terlihat saat itu

Di Perusahaan A, temuan audit internal dikelola dalam daftar, dengan kategori, batas waktu perbaikan, dan progres diperiksa setiap bulan. Kategorinya ada dua: “ketidaksesuaian” yang tidak memenuhi peraturan atau persyaratan, dan “peluang perbaikan” yang bukan pelanggaran tetapi dapat ditingkatkan lebih baik. Hari ini tanggal 20 Oktober, dan Anda sebagai pemimpin menata kondisi untuk rapat progres. Ada item yang perbaikannya belum berjalan, dan sebagian bahkan sudah melewati batas waktu. Berikut kondisi saat ini. Manakah yang harus ditangani pertama kali?

No  指摘事項                            区分        是正期限    状況--------------------------------------------------------------------1   退職者のアカウントが3件残存         不適合      9/30        未（担当が未定）2   委託先の年次報告書が未読のまま保管  不適合      11/15       対応中3   異動時の旧権限の削除手順が未整備    不適合      11/30       対応中4   教育記録の保管期間が規程に未記載    改善の機会  次回改訂時  未5   会議室での書類の置きっぱなし        改善の機会  随時        済

1. Berfokus menyelesaikan lebih dulu penataan prosedur pada No.3 yang batas waktunya masih tersisa
2. Memulai penghapusan akun karyawan yang mengundurkan diri pada No.1 yang sudah melewati batas waktu dan bahkan penanggung jawabnya pun belum ditentukan
3. Untuk dokumen yang dibiarkan tergeletak di ruang rapat pada No.5, melakukan kembali imbauan kewaspadaan ke seluruh perusahaan
4. Untuk periode penyimpanan catatan edukasi pada No.4, mendahulukan pekerjaan merapikan pencantumannya dalam peraturan

Divisi penjualan Perusahaan A menerima temuan dalam audit internal tahun lalu bahwa “hak akses divisi lama karyawan yang bermutasi belum dihapus”. Divisi penjualan langsung menghapus hak akses yang bersangkutan di tempat, dan menjawab ke divisi audit “telah memperingatkan petugas” sehingga dianggap sudah diperbaiki. Namun pada audit tahun ini, muncul lagi 3 temuan dengan isi yang sama. Setelah diselidiki, proses mutasi dilakukan melalui sistem SDM, tetapi penghapusan hak akses dioperasikan sebagai permohonan oleh petugas masing-masing divisi ketika menyadarinya, dan proses penghapusan tidak tertulis dalam buku prosedur. Anda sebagai pemimpin ingin menghentikan pengulangan tahun ini juga. Manakah yang paling tepat?

1. Karena sudah diperingatkan tahun lalu tetapi tetap terulang, menjatuhkan sanksi berdasarkan peraturan kerja kepada petugas yang lalai menghapus hak akses lama
2. Melakukan stock opname hak akses dan penghapusan hak akses yang tidak diperlukan secara terpusat tepat sebelum audit, agar tidak menerima temuan lagi tahun depan
3. Karena temuan ini muncul setiap tahun, meminta kuat kepada divisi audit agar dikecualikan dari objek temuan sebagai hal yang tidak terhindarkan secara praktik
4. Memasukkan penghapusan hak akses lama sebagai proses wajib dalam prosedur mutasi, dan memeriksa status pelaksanaannya melalui stock opname setiap kuartal

Terhadap divisi penjualan Perusahaan A, minggu depan akan dilaksanakan audit internal dengan cakupan objek “pembawaan keluar dan penyimpanan informasi pelanggan”. Di divisi penjualan, karena prosedur permohonan resmi dianggap rumit, ada kondisi sebagian petugas menyimpan daftar pelanggan ke penyimpanan cloud kontrak pribadi tanpa memperoleh persetujuan atasan. Kepala divisi penjualan menginstruksikan dalam rapat internal divisi, “karena akan merepotkan jika penilaian audit turun, jangan singgung hal itu kecuali ditanya”. Anda sebagai pemimpin ragu apakah instruksi ini tepat. Setelah audit, akan diminta penyerahan rencana perbaikan. Manakah yang paling tepat?

1. Menjelaskan kondisi sebenarnya dan jumlahnya tanpa menyembunyikan, serta mengusulkan kepada kepala divisi penjualan untuk menunjukkan sekaligus penyebab berupa prosedur resmi yang sulit digunakan beserta rencana perbaikannya
2. Sebelum hari audit, menghapus semua berkas di penyimpanan cloud kontrak pribadi, dan menjelaskan seolah-olah operasi semacam itu tidak pernah ada
3. Mengikuti instruksi kepala divisi, hanya menjawab formalitas atas apa yang ditanyakan, dan tidak menyinggung kondisi sebenarnya dari pihak sendiri
4. Karena audit hanyalah formalitas, cukup menyerahkan catatan yang diminta, dan petugas yang mengetahui kondisi sebenarnya dikeluarkan dari daftar yang hadir

Dalam audit internal Perusahaan A, auditor mewawancarai petugas divisi bisnis mengenai kondisi operasional, sekaligus memeriksa ada tidaknya catatan pendukung. Petugas menjelaskan untuk semua item “dilaksanakan sesuai peraturan”, tetapi kondisi catatan berbeda-beda per item. Auditor berpikir perlu mencocokkan penjelasan dengan catatan untuk mengambil keputusan. Berikut hasil pemeriksaannya. Manakah keputusan auditor yang paling tepat?

確認事項                            現場の説明    記録の状況------------------------------------------------------------特権IDの利用は都度申請し承認を得る  実施している  申請書はあるが承認欄が空欄サーバ室の入退室を記録する          実施している  入退室記録あり委託先への情報の持出しを台帳に記録  実施している  台帳がなく担当者の記憶のみ従業者教育を年1回実施する           実施している  受講記録あり

1. Untuk item yang catatannya tidak tersisa, auditor mendengarkan penjelasan petugas secara terperinci lalu membuat buku pengelolaan baru, dan memperlakukannya langsung sebagai jejak audit
2. Selama lapangan menjelaskan telah melaksanakan, dinilai tidak ada masalah terlepas dari ada tidaknya catatan
3. Untuk formulir permohonan dengan kolom persetujuan kosong dan pembawaan keluar yang tidak memiliki buku pengelolaan dan hanya mengandalkan ingatan, karena pelaksanaannya tidak dapat dipastikan, ditemukan sebagai jejak audit yang tidak memadai
4. Untuk masuk-keluar dan edukasi yang catatannya tersisa pun, karena penjelasan petugas saja tidak cukup, sama-sama dijadikan temuan

Perusahaan A melaksanakan audit internal keamanan informasi setiap tahun, dan laporan audit pun dibuat. Namun laporan hanya disimpan di sekretariat, tidak ada kesempatan dilaporkan ke manajemen puncak, dan tidak direfleksikan ke rencana atau anggaran tahun berikutnya. Akibatnya, hampir setiap tahun muncul temuan yang sama, dan dari lapangan muncul suara “toh tidak akan berubah apa pun”. Audit tahun ini pun sudah selesai, dan Anda sebagai pemimpin baru saja menerima laporannya. Manakah yang paling tepat?

1. Karena hasil audit adalah masalah operasional lapangan, diputuskan tidak perlu dilaporkan ke manajemen puncak
2. Karena audit adalah kegiatan pemeriksaan setara Check, begitu audit dilaksanakan maka PDCA dianggap sudah berputar satu putaran
3. Karena temuan yang sama muncul setiap tahun disebabkan sudut pandang auditor yang tetap, item audit diganti setiap tahun agar temuan yang sama tidak muncul berulang
4. Membuat forum tinjauan manajemen di mana manajemen puncak meninjau hasil audit, status insiden, dan pencapaian target, lalu merefleksikan keputusannya ke rencana dan alokasi sumber daya tahun depan

Perusahaan A, atas permintaan mitra bisnis, akan menargetkan perolehan sertifikasi ISMS untuk pertama kalinya. Petugas sekretariat mengusulkan “karena tujuannya adalah lulus pemeriksaan, mari buat peraturan yang ideal dengan mengacu pada peraturan perusahaan lain yang bagus, dan catatan pun dibuat ulang agar rapi untuk pemeriksaan”. Operasi sebenarnya memiliki bagian yang lebih longgar dari rancangan peraturan, misalnya catatan masuk-keluar diisi mingguan secara terkumpul, bukan setiap kali. Dalam pemeriksaan, baik peraturan maupun operasi sebenarnya akan diperiksa. Anda sebagai pemimpin khawatir dengan cara ini. Manakah yang paling tepat?

1. Untuk menyesuaikan dengan operasi lapangan, peraturan dihapuskan dan diserahkan pada keputusan kasus per kasus
2. Merapikan peraturan agar sesuai dengan yang benar-benar dapat dilaksanakan perusahaan sendiri, dan menjadikan catatan yang tersisa dari operasi sehari-hari sebagai bukti yang dapat diserahkan apa adanya
3. Untuk bagian yang tidak sesuai antara peraturan dan operasi, dioperasikan sesuai peraturan hanya selama periode pemeriksaan, lalu setelah pemeriksaan selesai dikembalikan ke operasi semula
4. Karena tujuannya adalah lulus pemeriksaan, membuat peraturan baru dengan isi yang ideal, dan catatan pun dirapikan untuk pemeriksaan sebelum diserahkan

Perusahaan A menjalani pemeriksaan eksternal dan menerima laporan dari lembaga pemeriksa. Dalam laporan, temuan dikategorikan, dan setiap kategori memiliki penanganan serta batas waktu yang berbeda. Petugas sekretariat berkata “karena jumlahnya banyak, bukankah cukup menangani yang batas waktunya dicantumkan secara eksplisit saja?” Anda sebagai pemimpin akan menata makna kategori terlebih dahulu sebelum menentukan arah penanganan. Berikut isi laporannya. Manakah respons Perusahaan A berikut yang TIDAK tepat?

区分          件数  求められる対応                        期限--------------------------------------------------------------重大な不適合  1     原因分析と是正計画の提出、是正の完了  30日以内に計画提出軽微な不適合  3     是正処置の実施                        次回審査まで改善の機会    5     対応は任意（推奨事項）                期限なし

1. Karena 5 peluang perbaikan tidak memiliki batas waktu dan penanganannya opsional, tidak dicatat dan tidak dijadikan objek pertimbangan sama sekali
2. Membuat mekanisme tindak lanjut internal untuk memastikan apakah tindakan perbaikan telah dilaksanakan sesuai batas waktu
3. Untuk 3 ketidaksesuaian kecil pun karena perlu diperbaiki, menetapkan penanggung jawab dan batas waktu internal untuk masing-masing
4. Untuk ketidaksesuaian besar, segera memulai analisis penyebab dan bersiap agar dapat menyerahkan rencana perbaikan dalam 30 hari

Dalam audit internal Perusahaan A, muncul temuan ketidaksesuaian bahwa “periode penyimpanan log operasi sistem inti hanya 1 minggu, sehingga jika timbul kecurigaan kecurangan tidak dapat dilacak ke belakang”. Perbaikan memerlukan penambahan storage dan perubahan pengaturan, dengan biaya diperkirakan mencapai jutaan yen. Divisi sistem informasi menjawab “karena tidak ada dalam anggaran tahun ini, tidak dapat dimulai”, dan tersisa 2 bulan sampai batas waktu perbaikan. Anda sebagai pemimpin telah 3 kali meminta penanganan tetapi kondisinya tidak berubah, dan merasa tidak dapat digerakkan hanya dengan koordinasi antardivisi. Manakah yang paling tepat?

1. Menetapkan sebagai keputusan divisi sistem informasi untuk menerima risiko, dan memprosesnya sebagai sudah diperbaiki berdasarkan keputusan pemimpin
2. Meminta divisi audit menarik kembali temuan kali ini untuk sementara, dan mengoordinasikan agar isi yang sama ditemukan ulang setelah anggaran tersedia di tahun depan
3. Karena tidak ada anggaran maka tidak ada yang dapat dilakukan, terus memperpanjang batas waktu perbaikan dan melaporkan status sebagai sedang ditangani
4. Menata dampak yang diperkirakan jika tidak dapat dilacak, sumber daya yang diperlukan, dan siapa yang akan menerima risiko jika penanganan ditunda, lalu mengeskalasikannya ke manajemen puncak untuk meminta keputusan