위탁처·교육·감사

통신판매를 하는 A사는 고객명부 데이터 입력 업무를 B사에 위탁하고 있다. 계약에서는 비밀유지 의무와 안전관리조치를 정하고 있으며 B사는 ISMS 인증도 취득하고 있다. 어느 날 B사의 종업자가 작업용 데이터를 개인 소유 PC에 복제하여 가져갔고, 그로부터 고객 약 5,000명 분의 성명과 주소가 유출되었다. B사로부터는 사과와 경위 보고가 있었으며 해당 종업자에 대한 처분도 이루어졌다고 한다. A사의 영업부문에서 리더를 맡고 있는 당신은 사내 회의에서 향후 대응 방침을 설명하게 되었다. 회의에서는 "계약으로 B사에 의무를 부과했으니 당사가 나설 필요는 없다"는 의견이 나오고 있다. 이때 A사의 책임에 대한 사고방식으로 가장 적절한 것은 어느 것인가?

1. 개인데이터의 취급을 위탁해도 위탁자의 책임은 사라지지 않으며, 본인에 대한 연락이나 공표의 판단은 A사가 주체가 되어 실시한다
2. 실제로 정보를 다루고 있던 것은 B사이므로 감독관청에 대한 보고나 재발방지책 설명은 모두 B사 측이 단독으로 담당한다
3. A사의 책임은 B사에 대해 손해배상을 청구함으로써 다한 것이 된다
4. 위탁계약으로 B사에 안전관리를 의무화했으므로 A사가 본인에 대한 연락이나 결과 공표를 스스로 할 필요는 없다고 할 수 있다

A사의 총무부는 급여 계산 업무의 수탁처를 새로 선정하게 되었다. 종업원의 성명, 계좌번호, 급여액을 넘기기 위해 가격뿐 아니라 정보보안의 관점도 선정 기준에 추가하기로 했다. 후보는 3개사로 각사로부터 확인표에 대한 회답을 받았다. 총무부장은 "어쨌든 비용을 줄이고 싶다"고 말하고 있지만, 리더인 당신은 회답 내용을 정리하여 판단 자료를 만들었다. 회답 결과는 다음 표와 같다. 이때 정보보안의 관점에서의 판단으로 가장 적절한 것은 어느 것인가?

確認項目                          X社  Y社                     Z社------------------------------------------------------------------情報セキュリティ責任者の設置      有   有                      有従業者への年次教育                済   済                      未再委託の予定                      無   有（事前承認手続あり）  有（詳細は不明）監査（立入りまたは書面）の受入れ  可   可                      不可事故発生時の報告期限の明記        可   可                      不可提示価格                          高   中                      低

1. Y사는 재위탁을 할 예정이 있으므로 다른 항목의 평가가 어떻든 그 한 가지만으로 무조건 후보에서 제외한다
2. X사는 제시하고 있는 가격이 타사와 비교해 가장 높으므로 다른 항목을 모두 충족하더라도 선정 후보에서 제외한다
3. Z사는 가격이 가장 저렴하고 책임자도 배치되어 있으므로 종업자 교육과 감사 수용은 계약 체결 후에 개선시킨다는 것을 전제로 선정한다
4. Y사는 재위탁에 사전 승인 절차가 있고 감사도 받아들이므로 재위탁처의 관리 방법을 확인한 후 후보로 한다

A사는 기간시스템의 유지보수를 B사에 위탁하고 있다. 계약서에는 "재위탁을 할 경우 위탁자의 사전 서면 승인을 받을 것"이라고 정해져 있다. 어느 날 오후 B사의 담당자로부터 A사의 정보보안 리더인 당신에게 전화가 걸려와, "바빠서 일손이 부족하므로 내일부터 협력사인 C사에 작업의 일부를 돕게 하고 싶다. 급하니 구두로 승낙을 받을 수 없겠는가"라는 요청을 받았다. C사의 작업에는 A사의 고객데이터를 포함한 유지보수용 환경에 접속할 필요가 있다고 한다. B사는 "C사와는 오랜 거래로 문제없다"고 설명하고 있다. 이때 당신이 가장 먼저 해야 할 일은 어느 것인가?

1. B사를 거치지 않고 A사가 C사와 직접 계약을 맺어 재위탁에 해당하지 않는 형태로 정리한다
2. 재위탁 제안이 있었던 시점에 계약 위반에 해당하므로 B사와의 위탁계약을 즉시 해지한다
3. 재위탁처 C사의 명칭과 소재지, 작업 범위와 기간, 다루는 정보의 종류, C사와의 계약에서 동등한 비밀유지와 안전관리가 부과되어 있는지를 서면으로 제출하게 한다
4. 급한 사안이므로 전화로 구두 승인을 그 자리에서 부여하기로 하고, 재위탁처의 명칭이나 작업 범위를 적은 서면은 작업 개시 후에 일괄하여 받는다

A사는 문의 창구 업무를 새로 D사에 위탁하게 되어, 법무부에서 회부된 계약서안을 리더인 당신이 확인했다. 안에는 비밀유지 의무, 목적 외 이용 금지, 재위탁 사전 승인, 사고 발생 시 보고 의무가 정해져 있다. 한편 계약 종료 시 맡긴 데이터를 반환 또는 삭제하는 규정과 A사가 실시 상황을 확인하기 위한 감사를 받아들이는 규정이 보이지 않는다. 법무부 담당자는 "상대측의 표준계약서라서 조항 추가는 어려울 것 같다"고 말한다. 위탁 업무에서는 고객의 성명과 연락처를 다룰 예정이다. 이때 당신의 대응으로 가장 적절한 것은 어느 것인가?

1. 상대측의 표준계약서이므로 제시된 안의 내용을 그대로 바꾸지 않고 체결하고, 계약이 종료되는 시점에 데이터 삭제를 구두로 의뢰한다
2. 체결 전에 계약 종료 시 데이터의 반환 또는 삭제와, 서면 또는 방문에 의한 확인의 수용을 각서 등으로 추가하도록 협상한다
3. 조항이 빠져 있는 이상 리스크가 크다고 판단되므로 이 위탁 자체를 중단하고 전 업무를 자사에서 수행하는 것으로 진행한다
4. 감사 수용은 실무상 사용하지 않으므로 조항에서는 생략하기로 하고, 계약 종료 시 데이터 반환 또는 삭제만을 각서로 추가하게 한다

A사는 수탁처에 대해 연 1회 체크리스트를 발송하여 실시 상황에 대한 회답을 요구하고, 아울러 뒷받침이 되는 증적의 제출을 의뢰하는 운용을 계속하고 있다. 올해도 데이터 입력 업무의 수탁처인 B사로부터 회답이 도착하여 리더인 당신이 내용을 확인했더니 회답은 모두 "실시"로 되어 있었다. 다만 제출을 의뢰한 증적 중 종업자에 대한 연간 교육에 관한 것만 제출되지 않았다. B사의 담당자는 연도 도중에 교체되어 전임자로부터의 인계가 충분하지 않은 모습이 보인다. 회답과 증적의 상황은 다음 표와 같다. 이때 가장 먼저 해야 할 일은 어느 것인가?

確認項目                  B社の回答       証跡の提出----------------------------------------------------従業者への年次教育の実施  実施            未提出アクセス権の定期棚卸し    実施            提出済再委託の有無              無              該当なし委託データの保管場所      社内サーバのみ  提出済事故時の連絡先の更新      更新済          提出済

1. 재위탁이 "무"라고 회답되었으므로 다음 연도 계약부터 재위탁에 관한 조항을 삭제한다
2. 회답의 신뢰성이 의심스러우므로 사전 연락 없이 방문 검사를 실시하여 전 항목을 그 자리에서 재확인한다
3. 교육을 실시했다는 회답의 뒷받침으로 수강 기록 등의 증적을 기한을 정하여 제출하도록 요구한다
4. 회답이 모두 "실시"이므로 그대로 기록으로 보관하고 다음 연도까지 추가 확인은 특별히 하지 않는다

A사의 인사부는 전 직원을 대상으로 한 직장 환경에 관한 사내 설문조사의 집계와 분석을 외부 B사에 위탁하는 것을 검토하고 있다. B사에 넘길 데이터에는 직원의 성명, 소속, 응답 내용이 포함된다. 인사부 담당자로부터 리더인 당신에게 "사외로 데이터를 넘기는 것이니 전 직원으로부터 개별적으로 동의를 받아야 하는 것 아닌가"라는 상담이 있었다. 위탁에 있어서는 계약서에 비밀유지와 안전관리조치를 정하고, 작업 장소와 보관 방법도 지정할 예정이다. 이때 설명으로 가장 적절한 것은 어느 것인가?

1. 수탁처도 개인정보보호법의 적용을 받으므로 데이터를 넘긴 후의 관리는 모두 수탁처의 책임이며 위탁자에게는 감독 의무가 없다
2. 위탁에 따라 개인데이터를 넘기는 것은 제3자 제공에 해당하지 않아 본인의 동의가 필요 없지만, 위탁자에게는 수탁처를 감독할 의무가 있다
3. 가명화나 익명화를 하지 않은 개인데이터는 어떤 경우에도 외부로 넘길 수 없다
4. 위탁이라도 제3자 제공에 해당하므로 전 직원으로부터 개별 동의를 받지 않으면 위탁할 수 없다

A사의 영업부는 견적서나 제안서 공유에 클라우드 파일공유서비스(SaaS)를 이용하고 있다. 서비스 사업자는 ISMS 인증을 취득했으며 데이터센터의 관리 체제도 공개되어 있다. 어느 날 거래처로부터 "귀사의 견적서가 인터넷 검색으로 보이는 상태가 되어 있다"는 연락이 있었다. 조사해보니 담당자가 공유 링크를 작성할 때 기본값 그대로 "링크를 아는 모든 사람이 열람 가능" 설정으로 링크를 발행했고, 그것이 외부 블로그에 재게시되어 있었다. 영업부 담당자는 "사업자의 서비스에 문제가 있으니 사업자에게 원인 규명과 재발방지를 요구해야 한다"고 주장하고 있다. 이때 대응으로 가장 적절한 것은 어느 것인가?

1. 사업자가 취득한 인증의 적용 범위에 미비가 있다고 생각되므로 인증기관에 서면으로 정식 이의를 제기한다
2. 클라우드 이용 자체가 원인이므로 전사적으로 클라우드 서비스 이용을 금지하고 사내 서버로 되돌리는 방침으로 한다
3. SaaS 이용에서는 이용자 측에 책임이 발생하지 않으므로 사업자에게 손해배상을 요구하는 절차를 진행한다
4. 공개 범위 설정은 이용자의 책임 범위에 해당하므로 A사 측의 기본 설정, 링크 발행 권한, 점검 운용을 재검토한다

A사는 물류 업무의 수탁처 E사와 계약을 갱신함에 있어 계약서 조항을 목록으로 정리했다. 정리 결과 필요한 조항의 대부분은 정해져 있는 한편, 누락되거나 제약이 있는 조항이 있는 것으로 밝혀졌다. E사는 A사 고객의 성명과 배송지 주소를 다루고 있으며 배송의 일부를 협력사에 재위탁할 예정이다. 리더인 당신은 이 목록을 바탕으로 갱신 협상에서 요구할 사항을 정리하고 있다. 조항 정리 결과는 다음 표와 같다. 이때 A사의 대응 중 부적절한 것은 어느 것인가?

条項                        定めの有無  内容の要点--------------------------------------------------秘密保持義務                有          契約終了後3年間存続目的外利用の禁止            有          委託業務以外での利用を禁止再委託                      有          事前の書面による承認が必要監査の受入れ                有          書面での確認のみ。立入りは不可事故発生時の報告            有          発覚後72時間以内に報告終了時のデータの返却・削除  無          定めなし

1. 발각 후 72시간 이내 보고로는 초동 대응이 늦어질 수 있으므로 최초 보고의 기한을 별도로 짧게 정하는 것을 검토한다
2. 비밀유지 의무가 정해져 있으므로 재위탁처에 대해서는 수탁처가 관리하면 충분하며 A사는 재위탁처의 명칭이나 작업 범위를 파악할 필요가 없다
3. 종료 시 데이터 취급에 대한 규정이 없으므로 반환 또는 삭제의 범위와 기한, 완료보고서 제출을 갱신 후 계약서에 추가하도록 요구한다
4. 방문이 인정되지 않으므로 서면 확인에서 제출시킬 증적의 종류를 미리 구체적으로 정해둔다

금요일 오후 6시, A사의 정보보안 리더인 당신의 휴대전화로 수탁처 B사 담당자로부터 연락이 왔다. "작업에 사용하던 노트북이 보이지 않는다. 사내에 두고 온 것일 수도 있어 아직 분실이라고 확정된 것은 아니다"라는 내용이었다. 그 PC에는 A사로부터 맡긴 고객데이터의 작업용 파일이 저장되어 있을 가능성이 있다고 한다. B사 담당자는 "확실해지면 정식으로 보고하고 싶다"고 말하고 있다. A사의 계약에서는 사고의 우려를 포함하여 발각 후 2시간 이내에 첫 보고를 하도록 되어 있으며, 접수 창구는 정보시스템부의 인시던트 창구이다. 이때 가장 먼저 해야 할 일은 어느 것인가?

1. 사실이 확정될 때까지는 사내외 누구에게도 알리지 말라고 B사 담당자에게 지시해둔다
2. 분실이 확정되지 않았으므로 월요일 아침이 되면 상사에게 보고하기로 하고 그때까지는 특별히 연락을 취하지 않고 조용히 경과를 지켜본다
3. 자사의 인시던트 창구에 즉시 첫 보고를 한 후 B사에는 정해진 양식에 의한 첫 보고 제출과 PC 내 정보의 특정을 요구한다
4. 주 초를 기다리지 않고 스스로 B사 사무소로 가서 담당자와 함께 PC를 찾기로 한다

A사가 반년간 B사에 위탁해온 캠페인 사무국 업무가 종료되었다. 업무에서는 응모자 약 2만 명 분의 성명, 주소, 전화번호를 다루었다. B사로부터 "업무는 모두 완료했습니다. 맡아둔 데이터는 당사의 규정에 따라 적절히 처리하겠습니다"라는 보고 메일이 도착했다. 계약에는 계약 종료 시 위탁 데이터를 반환 또는 삭제하고 완료보고서를 제출하도록 정해져 있다. B사에 확인했더니 작업용 데이터 외에 일일 백업이 별도 시스템에 보관되어 있다는 설명이 있었다. 이때 A사의 대응으로 가장 적절한 것은 어느 것인가?

1. 삭제가 이루어졌는지 여부는 다음 연도 내부감사에서 확인하면 되므로 지금은 보고 메일을 수령한 기록만 남겨둔다
2. 백업이나 작업용 복제본도 대상에 포함시킬 것을 확인한 후 기한을 정하여 삭제완료보고서 제출을 요구한다
3. B사는 인증도 취득한 신뢰할 수 있는 수탁처이므로 삭제완료보고서 제출은 요구하지 않고 그대로 위탁을 종료한다
4. 백업은 B사가 자사의 운용을 위해 작성한 것이므로 삭제 대상에 포함할 필요가 없다

A사는 처음으로 표적형 공격 메일 훈련을 실시했다. 업무 연락을 가장한 훈련 메일을 전 직원에게 보냈더니 개봉률은 22%, 보고 창구에 대한 보고는 6%에 그쳤다. 결과를 공유한 회의에서 한 부문장이 "어떤 직원이 열었는지 이름 목록을 달라. 이름을 거론하여 지도하고 인사평가에도 반영하고 싶다"는 요청을 했다. 리더인 당신은 훈련의 목적을 다시 설명할 필요가 있다고 생각한다. 훈련은 앞으로도 연 1회 계속할 예정이다. 이때 당신의 대응으로 가장 적절한 것은 어느 것인가?

1. 요청에 따라 개봉해버린 직원의 이름 목록을 부문장에게 제공하고, 부문장에 의한 개별 지도와 인사평가 반영에 협조한다
2. 다음부터는 훈련 메일임을 알기 쉬운 문구로 만들어 개봉률이 낮아지도록 조정한다
3. 개봉률이 높다는 결과는 사내 사기를 떨어뜨리므로 결과는 공표하지 않고 담당자만 보관한다
4. 이름 제공은 하지 않고, 부서 단위의 경향으로 결과를 공유하여, 개봉이 많았던 수법을 소재로 보고 행동을 정착시키는 교육으로 연결한다

A사는 2차 표적형 공격 메일 훈련을 실시하여 부서별로 결과를 집계했다. 훈련 메일은 업무 연락을 가장한 내용으로 개봉과 보고를 모두 측정하고 있다. 보고율은 발송 건수 대비 보고 건수의 비율, 첫 보고까지의 시간은 최초 보고가 창구에 도착하기까지의 시간이다. 전사 목표로 "개봉률 15% 이하"를 내걸었지만, 리더인 당신은 개봉률만으로 좋고 나쁨을 판단해서는 안 된다고 생각하고 있다. 집계 결과는 다음 표와 같다. 이때 결과 해석으로 가장 적절한 것은 어느 것인가?

部門    送信数  開封数  開封率  報告数  報告率  初報までの時間--------------------------------------------------------------営業部  120     24      20%     40      33%     12分総務部  40      4       10%     2       5%      180分製造部  90      18      20%     27      30%     15分開発部  60      6       10%     3       5%      150分

1. 전사 개봉률은 목표인 15%를 밑돌고 있고 보고율도 개선되고 있으므로 다음번 이후의 훈련은 모두 중지한다
2. 개봉률은 낮지만 보고율이 낮고 첫 보고도 늦은 총무부와 개발부에 대해 보고 창구와 보고 절차의 주지를 우선한다
3. 개봉률이 가장 낮은 총무부가 가장 좋은 상태라 할 수 있으므로 다른 부서는 총무부의 방식을 본받아야 한다고 평가한다
4. 영업부는 개봉률이 가장 높으므로 영업부 담당자에 대해 처분을 포함한 재교육을 실시한다

A사에서는 연간 정보보안 교육을 이러닝으로 실시하고 있으며 대상은 정규직원만으로 하고 있다. 실제로는 접수 업무를 담당하는 파견사원이나 사내에 상주하며 개발을 수행하는 수탁처 종업자도 사내 네트워크에 접속하여 고객데이터를 열람할 수 있는 상태이다. 지난 내부감사에서 "정보에 접하는 사람 중 일부가 교육 대상이 아니다"라는 지적을 받았다. 인사부에서는 "파견사원이나 수탁처 종업자는 당사의 종업원이 아니므로 교육은 파견원이나 수탁처의 책임이 아닌가"라는 의견이 나오고 있다. 리더인 당신은 시정 방침을 제시하게 되었다. 이때 가장 적절한 것은 어느 것인가?

1. 파견사원에 대해서는 자사에서의 교육을 하지 않는 대신 열람할 수 있는 정보의 범위를 줄이는 것만으로 대응을 마친다
2. 수탁처 종업자는 위탁계약에 의해 비밀유지 의무를 지고 있으므로 자사에서의 교육은 특별히 필요 없다고 판단한다
3. 고용 형태가 다르므로 대상 외로 유지하고, 교육은 파견원이나 수탁처에 맡긴다는 취지를 구두로 전달한다
4. 자사 정보에 접하는 범위에 따라 자사 규정에 근거한 교육과 서약을 파견사원이나 수탁처 종업자에게도 실시한다

A사는 정보 반출에 관한 규정을 개정했다. 개정으로 개인 소유 USB 메모리를 포함한 반출이 원칙적으로 금지되고, 사외로의 파일 발송은 지정된 클라우드 서비스를 경유하여 상사의 신청과 승인을 받는 방식으로 바뀐다. 사무국은 개정판 규정을 인트라넷의 규정집에 게재하고 시행일을 다음 달 1일로 정했다. 그러나 현장 리더 회의에서는 "게재된 것을 몰랐다", "새로운 신청 화면을 본 적이 없다"는 목소리가 잇따랐다. 시행일까지 3주가 남아 있다. 이때 가장 먼저 해야 할 일은 어느 것인가?

1. 규정집에 게재하여 사내에 공개한 시점에서 주지는 완료되었으므로 그 이상의 추가 대응은 하지 않는다
2. 현장이 파악하지 못하고 있다는 것이 밝혀졌으므로 규정 개정 자체를 취소하고 기존 운용으로 되돌린다
3. 시행일까지 변경 내용의 요약과 시행일, 새로운 신청 절차를 대상자에게 전달하고 이해도를 확인하는 자리를 마련한다
4. 시행일이 지난 후 규정 위반자를 찾아낸 다음 해당자에게 개별적으로 지도와 주의를 실시한다

A사의 리더인 당신은 올해 정보보안 교육의 연간 계획과 실적을 목록으로 정리했다. 정리해보니 실시되고 있는 구분과 계획 자체가 존재하지 않는 구분이 있는 것으로 밝혀졌다. 시스템 관리자는 특권 ID를 다루고, 상주 수탁처 종업자는 고객데이터를 열람할 수 있는 입장에 있다. 다음 연도 계획을 세움에 있어 한정된 공수 안에서 무엇부터 손을 댈지 정해야 한다. 정리한 결과는 다음 표와 같다. 이때 다음 연도 계획의 재검토로 가장 적절한 것은 어느 것인가?

対象                時期           方法         受講率------------------------------------------------------新入社員            4月（配属前）  集合研修     100%中途入社者          随時           eラーニング  100%一般社員            10月           eラーニング  97%管理職              10月           集合研修     88%システム管理者      未実施         なし         なし派遣・委託先従業者  未実施         なし         なし

1. 일반 사원 대상 교육을 연 1회에서 연 2회로 늘리는 것을 다음 연도 교육 계획의 최우선 과제로 내건다
2. 계획 자체가 없는 시스템 관리자와 파견·수탁처 종업자의 교육을 다음 연도 계획에 추가하는 것을 우선한다
3. 신입사원은 수강률이 100%로 정착되었으므로 다음 연도에는 신입사원 대상 집합연수 자체를 중지한다
4. 수강률이 가장 낮은 관리직 대상 집합연수를 폐지하고 관리직에 대한 교육도 모두 이러닝으로 일원화한다

A사에서는 연간 교육의 마지막에 이해도 테스트를 실시하고 있으며 올해도 전사 결과를 분야별로 집계했다. 전체 평균 정답률은 전년보다 2포인트 올랐다. 한편 분야별로 보면 차이가 커서 특정 분야만 낮은 채로 추이하고 있는 것이 밝혀졌다. 현장에서는 개인 소유 USB 메모리를 통한 반출에 관한 아차 사고(히야리핫토, ヒヤリハット)가 여전히 보고되고 있다. 리더인 당신은 다음 연도 교육 계획에 반영하기 위해 결과를 분석하고 있다. 집계 결과는 다음 표와 같다. 이때 가장 먼저 해야 할 일은 어느 것인가?

分野                    今年の正答率  前年の正答率--------------------------------------------------パスワードの管理        92%           90%不審メールの報告先      88%           60%情報の持出し申請の手順  41%           44%記録媒体の廃棄          78%           75%SNSでの発信             85%           83%

1. 수상한 메일 보고처의 정답률이 크게 올랐으므로 그 분야의 교육과 문제는 다음 연도부터 중지하고 그 시간을 다른 분야에 배분한다
2. 정답률이 낮은 채로 추이하고 있는 반출 신청 절차에 대해, 교재의 설명이 부족하지 않은지와 실제 신청 절차가 사용하기 불편하지 않은지를 확인한다
3. 정답률이 낮은 분야의 문제를 다음 연도 테스트에서 제외하여 전체 평균 정답률을 끌어올린다
4. 전체 평균 정답률이 전년보다 올랐으므로 다음 연도에도 같은 교재와 같은 구성으로 실시한다

A사는 랜섬웨어 감염을 상정한 인시던트 대응 절차서를 작성했지만 작성한 지 반년 동안 한 번도 훈련을 하지 않았다. 절차서에는 초동 연락처, 네트워크 차단 판단자, 공표 판단자 등이 적혀 있다. 실제로 업무시스템을 정지시키는 실동훈련은 생산라인에 대한 영향이 커서 실시가 어렵다. 훈련의 외부 위탁을 검토했지만 올해 예산으로는 어렵다는 것이 밝혀졌다. 리더인 당신은 그래도 절차서가 실제로 쓸 만한지 확인하고 싶다고 생각하고 있다. 이때 가장 적절한 것은 어느 것인가?

1. 절차서를 함께 읽는 것만으로는 의미가 없으므로 예산을 확보할 때까지 훈련은 하지 않고 기다렸다가 실제 업무시스템을 정지시키는 실동훈련을 실시한다
2. 훈련은 정보시스템부서만으로 실시하면 충분하며 업무부서의 참여는 필요 없다
3. 가상 시나리오를 배포하여 관계자가 모여 각자 다음에 취할 행동과 판단을 순서대로 확인하는 탁상훈련을 실시하여 연락처의 노후화나 판단자의 누락을 찾아낸다
4. 실동훈련을 할 수 없다면 훈련은 하지 않고 절차서를 전원에게 배포하는 것으로 대신한다

A사에서는 정보보안 교육의 수강 기록을 담당자가 개인 PC의 표계산 파일로 관리하고 있었다. 그 담당자가 이동하면서 파일을 정리한 결과 과거 2년분의 수강 기록이 남아 있지 않은 것이 밝혀졌다. 공교롭게도 위탁원인 F사로부터 "귀사 종업자에 대한 교육 실시 현황을 알 수 있는 기록을 제출해 달라"는 의뢰가 도착했다. 교육 자체는 매년 실시하고 있으며 당시 교재와 안내 메일은 남아 있다. 리더인 당신은 이번 제출과 향후 관리 양쪽 모두에 대응해야 한다. 이때 가장 적절한 것은 어느 것인가?

1. 기록은 남아 있지 않지만 교육 자체는 매년 실시하고 있으므로 실시했다는 취지를 구두로 설명하면 충분하다
2. 기록은 감사나 위탁원의 확인을 위한 것이므로 의뢰를 받을 때마다 취합하여 작성한다
3. 기록의 보관책임자·보관장소·보관기간을 규정으로 정하여 개인 관리에 의존하지 않는 체계로 고친 후, 현존하는 범위의 기록과 재발방지책을 F사에 제시한다
4. 당시 수강자와 관계자의 기억에 의존하여 과거 2년분의 수강자 목록을 다시 만들고, 그것을 당시의 실제 수강 기록으로 F사에 제출하며, 앞으로도 같은 방법으로 대응한다

A사는 표적형 공격 메일 훈련을 3년 연속 실시하며 그때마다 결과를 교육에 반영해왔다. 첫 회는 개봉한 직원이 많고 보고도 거의 올라오지 않아 보고 창구의 주지와 보고해도 질책받지 않는다는 설명에 힘을 쏟았다. 훈련과는 별개로 직원이 실제로 받은 수상한 메일을 창구에 보고한 건수도 월 평균으로 기록하고 있다. 다음 위원회에서 리더인 당신이 경영진에게 3년간의 추이를 보고하게 되었다. 추이는 다음 표와 같다. 이때 보고 내용으로 가장 적절한 것은 어느 것인가?

回     開封率  報告率  初報までの時間  実際の不審メール報告-----------------------------------------------------------第1回  22%     6%      120分           月2件第2回  15%     18%     45分            月9件第3回  12%     34%     18分            月21件

1. 개봉률만이 평가할 가치가 있는 지표이므로 개봉률이 10%를 밑돌 때까지는 성과가 나오지 않고 있다고 보고한다
2. 보고율은 올랐지만 개봉률이 아직 0%가 되지 않았으므로 3년간의 훈련에 효과가 없었다고 보고한다
3. 직원이 실제로 받은 수상한 메일의 보고 건수가 계속 늘고 있으므로 종업원의 정보보안 의식은 오히려 저하되고 있다고 보고한다
4. 개봉률의 저하에 더해 보고율의 상승과 첫 보고 시간의 단축이 계속되고 있으며 실제 수상한 메일의 보고도 늘고 있는 것으로 보아 보고 행동이 정착되어 가고 있다고 보고한다

A사에서는 연 1회 정보보안위원회에서 리더인 당신이 교육 실시 현황을 보고하고 있다. 지금까지의 보고는 "이러닝을 실시했으며 수강률은 97%였다"는 실시 사실 중심으로, 경영진으로부터는 매번 "그래서 당사는 강해진 것인가"라는 질문이 나왔다. 다음 연도에는 훈련의 일부를 외부에 위탁하는 것과 이해도가 낮은 분야의 교재를 다시 만드는 것을 고려하고 있으며 그에 필요한 예산이 필요하다. 손에는 수강률 외에 이해도 테스트의 분야별 정답률, 훈련의 보고율과 첫 보고까지의 시간, 인시던트 건수와 종류의 추이가 갖추어져 있다. 이때 위원회에서의 보고 방식으로 가장 적절한 것은 어느 것인가?

1. 경영진은 세세한 내용까지는 요구하지 않으므로 지표의 추이나 다음 연도 계획, 필요한 예산에는 언급하지 않고 큰 문제는 일어나지 않았다는 결론만을 보고한다
2. 수강률에 더해 이해도 테스트의 분야별 정답률, 훈련의 보고율과 첫 보고까지의 시간, 인시던트 건수와 종류의 추이를 제시하고 다음에 무엇을 바꿀지와 필요한 자원을 제안한다
3. 교육의 효과는 수치로 나타낼 수 없으므로 실시 횟수와 참가 인원수만을 보고한다
4. 수강률만 제시하고 100%에 도달하지 못한 것은 현장의 의식이 낮기 때문이라고 설명한다

A사에서는 연 1회 정보보안에 관한 내부감사를 실시하고 있다. 올해 감사 대상에는 정보시스템부가 스스로 설계하고 운용하고 있는 접근 권한 관리 체계가 포함되어 있다. 감사 담당자를 정하는 회의에서 사무국으로부터 "체계를 가장 잘 아는 것은 정보시스템부이므로 그 부서의 주임에게 감사를 맡기는 것이 효율적이다"라는 안이 나왔다. 주임 본인도 "나라면 짧은 시간에 확인할 수 있다"고 말하고 있다. 리더인 당신은 이 안에 우려를 가지고 있다. 이때 가장 적절한 것은 어느 것인가?

1. 내부감사는 형식적인 활동에 불과하므로 이번에는 실시하지 않고 인증기관에 의한 외부심사 결과로 대신해도 무방하다
2. 독립성은 형식적인 요건에 불과하므로 사무국 안대로 실시하고 감사보고서에 독립성을 배려했다는 취지를 기재해두면 충분하다
3. 체계에 가장 정통한 담당자가 감사하는 편이 미비점을 발견하기 쉬우므로 사무국 안대로 정보시스템부 주임에게 담당시킨다
4. 감사 대상 부서에 소속되지 않은 자, 감사부서, 또는 외부 전문가가 담당하고 정보시스템부는 설명과 증거를 제출하는 쪽으로 돌아선다

A사는 올해부터 정보보안 내부감사를 시작하게 되어 총무부 담당자가 감사인으로 지명되었다. 담당자는 "우선 각 부서를 돌며 눈에 띄는 부분을 그 자리에서 지적해 나갈 생각이다"라고 말하고 있다. 사내에는 정보보안 규정과 각종 절차서가 있으며 수탁처와의 계약서에는 안전관리에 관한 조항이 정해져 있다. 감사 결과는 경영진에게 보고하고 지적이 있으면 시정을 요구할 예정이다. 리더인 당신은 이러한 진행 방식으로는 피감사 부서가 납득하지 못할 것이라고 생각하고 있다. 이때 가장 먼저 해야 할 일은 어느 것인가?

1. 타사의 감사보고서를 입수하여 거기에 적힌 지적 사항을 그대로 자사의 지적으로 채택한다
2. 각 부서를 돌며 알아챈 점을 열거하고 그중에서 중요해 보이는 것을 골라 지적으로 삼는다
3. 감사의 대상 범위와 무엇에 비추어 좋고 나쁨을 판단할지에 대한 감사 기준(자사 규정, 절차서, 계약 조항, 법령)을 미리 정한다
4. 사전에 알리면 준비되어 버리므로 감사의 대상 범위도 일정도 알리지 않고 불시에 실시하여 그 자리에서 보이는 것만을 지적한다

A사에서는 내부감사의 지적 사항을 목록으로 관리하며 구분과 시정 기한, 진척을 매월 확인하고 있다. 구분은 규정이나 요구사항을 충족하지 못한 "부적합"과 위반은 아니지만 더 좋게 만들 수 있는 "개선의 기회" 두 가지이다. 오늘은 10월 20일이며 리더인 당신은 진척 회의를 위해 상황을 정리했다. 시정이 진행되지 않는 항목이 있으며 그중에는 기한을 넘긴 것도 있다. 현재 상황은 다음 표와 같다. 이때 가장 먼저 착수해야 할 것은 어느 것인가?

No  指摘事項                            区分        是正期限    状況--------------------------------------------------------------------1   退職者のアカウントが3件残存         不適合      9/30        未（担当が未定）2   委託先の年次報告書が未読のまま保管  不適合      11/15       対応中3   異動時の旧権限の削除手順が未整備    不適合      11/30       対応中4   教育記録の保管期間が規程に未記載    改善の機会  次回改訂時  未5   会議室での書類の置きっぱなし        改善の機会  随時        済

1. 기한까지 아직 날짜가 남아 있는 No.3의 절차 정비를 먼저 완료하는 데 집중한다
2. 기한을 넘긴 채 담당도 정해지지 않은 No.1의 퇴직자 계정 삭제에 착수한다
3. No.5의 회의실 서류 방치에 대해 다시 전사에 주의를 환기한다
4. No.4의 교육 기록 보관 기간에 대해 규정 기재를 정비하는 작업을 우선하여 착수한다

A사의 영업부는 작년 내부감사에서 "이동한 사원의 이전 부서 접근 권한이 삭제되지 않았다"는 지적을 받았다. 영업부는 해당자의 권한을 그 자리에서 삭제하고 감사부서에는 "담당자에게 주의를 주었다"고 회답하여 시정 완료로 처리했다. 그런데 올해 감사에서도 같은 내용의 지적이 3건 나왔다. 조사해보니 이동 처리는 인사시스템에서 이루어지지만 접근 권한 삭제는 각 부서 담당자가 알아챘을 때 신청하는 운용으로 되어 있어 절차서에는 삭제 공정이 적혀 있지 않았다. 리더인 당신은 올해야말로 재발을 막고 싶다고 생각한다. 이때 가장 적절한 것은 어느 것인가?

1. 작년에 주의를 주었음에도 재발했으므로 이전 권한 삭제를 게을리한 담당자를 취업규칙에 따라 처분한다
2. 감사 직전에 몰아서 권한 재고조사와 불필요한 권한 삭제를 실시함으로써 다음 해에도 지적을 받지 않도록 한다
3. 매년 나오는 지적이므로 실무상 어쩔 수 없는 것으로 보아 지적 대상에서 제외해달라고 감사부서에 강하게 요청한다
4. 이동 처리 절차에 이전 권한 삭제를 필수 공정으로 포함시키고 분기별 재고조사로 실시 상황을 확인한다

A사의 영업부에 대해 다음 주 "고객정보의 반출과 보관"을 대상 범위로 하는 내부감사가 실시되기로 되었다. 영업부에서는 정규 신청 절차가 번거롭다는 이유로 일부 담당자가 상사의 승인을 받지 않은 채 고객 리스트를 개인 계약한 클라우드 스토리지에 저장하고 있는 실태가 있다. 영업부장은 부서 내 회의에서 "감사에서 평가가 떨어지면 곤란하니 그 이야기는 질문받지 않는 한 언급하지 말라"고 지시했다. 리더인 당신은 이 지시대로 해도 되는지 고민하고 있다. 감사 후에는 시정계획 제출이 요구될 예정이다. 이때 가장 적절한 것은 어느 것인가?

1. 실태와 건수를 숨기지 않고 설명하고, 정규 절차가 사용하기 불편하다는 원인과 시정계획을 함께 제시하도록 영업부장에게 진언한다
2. 감사일까지 개인 계약한 클라우드 스토리지상의 파일을 모두 지우고 그러한 운용은 없었던 것으로 설명한다
3. 부장의 지시에 따라 질문받은 것에만 형식적으로 답하고 먼저 나서서 실태에 대해 언급하지 않는다
4. 감사는 형식적인 것에 불과하므로 요구받은 기록만 제출하는 데 그치고 실태를 아는 담당자는 동석 대상에서 제외한다

A사의 내부감사에서 감사인이 업무부서 담당자에게 운용 현황을 청취하고 아울러 뒷받침이 되는 기록의 유무를 확인했다. 담당자는 모든 항목에 대해 "규정대로 실시하고 있습니다"라고 설명했지만 기록 상황은 항목에 따라 차이가 있었다. 감사인은 설명과 기록을 대조하여 판단할 필요가 있다고 생각한다. 확인 결과는 다음 표와 같다. 이때 감사인의 판단으로 가장 적절한 것은 어느 것인가?

確認事項                            現場の説明    記録の状況------------------------------------------------------------特権IDの利用は都度申請し承認を得る  実施している  申請書はあるが承認欄が空欄サーバ室の入退室を記録する          実施している  入退室記録あり委託先への情報の持出しを台帳に記録  実施している  台帳がなく担当者の記憶のみ従業者教育を年1回実施する           実施している  受講記録あり

1. 기록이 남아 있지 않은 항목에 대해서는 감사인이 담당자의 설명을 상세히 청취하여 대장을 새로 작성하고 그것을 그대로 감사 증적으로 취급한다
2. 현장이 실시하고 있다고 설명하는 이상 기록의 유무와 관계없이 문제없다고 판단한다
3. 승인란이 공란인 신청서와 대장이 없어 기억에 의존하고 있는 반출에 대해서는 실시를 확인할 수 없으므로 감사 증적이 불충분하다고 지적한다
4. 기록이 남아 있는 출입과 교육에 대해서도 담당자의 설명만으로는 부족하므로 마찬가지로 지적한다

A사에서는 정보보안 내부감사를 매년 실시하고 감사보고서도 작성하고 있다. 그러나 보고서는 사무국에 보관될 뿐 경영진에게 보고되는 자리가 없고 다음 연도 계획이나 예산에도 반영되지 않는다. 그 결과 매년 거의 같은 지적이 나열되고 현장에서는 "어차피 아무것도 바뀌지 않는다"는 목소리가 나오고 있다. 올해도 감사가 끝나 리더인 당신은 보고서를 받은 참이다. 이때 가장 적절한 것은 어느 것인가?

1. 감사 결과는 현장 운용의 문제이므로 경영진에게 보고할 필요는 없다고 판단한다
2. 감사는 점검에 해당하는 활동이므로 감사를 실시한 시점에서 PDCA가 한 바퀴 돈 것으로 본다
3. 매년 같은 지적이 나오는 것은 감사인의 시각이 고정되어 있기 때문이므로 감사 항목을 매년 바꾸어 같은 지적이 중복되어 나오지 않도록 한다
4. 감사 결과나 인시던트 발생 현황, 목표 달성도를 경영진이 재검토하는 경영검토 자리를 마련하고 그 결정을 다음 연도 계획과 자원 배분에 반영한다

A사는 거래처의 요청을 받아 처음으로 ISMS 인증 취득을 목표로 하게 되었다. 사무국 담당자는 "심사를 통과하는 것이 목적이니 규정은 다른 회사의 훌륭한 것을 참고하여 이상적인 내용으로 만들고 기록도 심사용으로 깔끔하게 다시 만들자"고 제안하고 있다. 실제 운용은 규정안보다 느슨한 부분이 있어, 예를 들어 출입 기록은 매번이 아니라 주 단위로 취합하여 기입되고 있다. 심사에서는 규정과 실제 운용 양쪽이 확인된다. 리더인 당신은 이 진행 방식에 우려를 가지고 있다. 이때 가장 적절한 것은 어느 것인가?

1. 현장 운용에 맞추기 위해 규정을 폐지하고 그때그때의 판단에 맡기는 형태로 한다
2. 규정은 자사가 실제로 실행할 수 있는 내용으로 정비하고 일상 운용에서 남는 기록을 그대로 증거로 제출할 수 있는 상태로 만든다
3. 규정과 운용이 어긋나는 부분에 대해서는 심사 기간에만 규정대로 운용하고 심사가 끝나면 원래 운용으로 되돌린다
4. 심사를 통과하는 것이 목적이므로 이상적인 내용의 규정을 새로 작성하고 기록도 심사에 맞추어 정비한 후 제출한다

A사는 외부심사를 받아 심사기관으로부터 보고서를 받았다. 보고서에서는 지적이 구분되어 있으며 구분마다 요구되는 대응과 기한이 다르다. 사무국 담당자는 "건수가 많으니 기한이 명시된 것만 대응하면 되지 않을까"라고 말하고 있다. 리더인 당신은 구분의 의미를 정리한 후 대응 방침을 정하기로 했다. 보고서 내용은 다음 표와 같다. 이때 A사의 대응 중 부적절한 것은 어느 것인가?

区分          件数  求められる対応                        期限--------------------------------------------------------------重大な不適合  1     原因分析と是正計画の提出、是正の完了  30日以内に計画提出軽微な不適合  3     是正処置の実施                        次回審査まで改善の機会    5     対応は任意（推奨事項）                期限なし

1. 개선의 기회 5건은 기한이 없고 대응도 임의이므로 기록에 남기지 않고 검토 대상으로도 삼지 않는다
2. 시정조치가 기한까지 실시되었는지를 확인하는 후속조치(팔로우업) 체계를 사내에 마련한다
3. 경미한 부적합 3건에 대해서도 시정이 필요하므로 각각에 담당자와 사내 기한을 배정한다
4. 중대 부적합에 대해 즉시 원인 분석에 착수하여 30일 이내에 시정계획을 제출할 수 있도록 준비한다

A사의 내부감사에서 "기간시스템의 조작 로그 보존 기간이 1주일뿐이어서 부정 의혹이 생겨도 거슬러 올라가 추적할 수 없다"는 부적합 지적이 나왔다. 시정에는 스토리지 증설과 설정 변경이 필요하며 비용은 수백만 엔으로 산정되었다. 정보시스템부는 "올해 예산에 계상되어 있지 않아 착수할 수 없다"고 회답했고 시정 기한까지 앞으로 2개월이 되었다. 리더인 당신은 3차례에 걸쳐 대응을 의뢰했지만 상황은 바뀌지 않아 부서 간 조정만으로는 움직일 수 없다고 느끼고 있다. 이때 가장 적절한 것은 어느 것인가?

1. 정보시스템부의 판단으로 리스크를 수용하기로 하고 리더의 판단으로 시정 완료로 처리한다
2. 감사부서에 의뢰하여 이번 지적을 일단 철회하게 하고 예산이 배정되는 다음 연도가 되면 같은 내용으로 다시 지적하도록 조정한다
3. 예산이 없는 이상 어쩔 수 없으므로 시정 기한을 계속 연장하고 상황은 대응 중으로 보고한다
4. 추적할 수 없을 경우 예상되는 영향과 필요한 자원, 대응을 보류할 경우 누가 리스크를 수용할 것인지를 정리하여 경영진에게 상신하고 판단을 구한다