業務でのIT利用

A社の経理部で情報セキュリティリーダーを務めるBさんは、部内の共有フォルダのアクセス権を年1回見直す担当になった。情報システム部門から、現在の設定一覧を受け取った。営業部は、自分が担当する顧客の請求状況を確認するため、請求フォルダの参照が業務上必要である。人事部の給与担当者は、給与計算のために給与フォルダへの書込みが必要である。経理部は請求書と仕訳の作成を行っており、それぞれ書込みが必要である。給与フォルダには全従業員の給与額とマイナンバーに関する書類が保存されている。最小権限の原則に照らして、Bさんが最初に是正を求めるべき設定はどれか。

行 フォルダ        利用者グループ  権限1  /経理/請求書    経理部          読み書き2  /経理/請求書    営業部          読み取り3  /経理/仕訳      経理部          読み書き4  /人事/給与      人事部給与担当  読み書き5  /人事/給与      全従業員        読み取り

1. 1行目。経理部が請求書フォルダに読み書きできるのは権限が強すぎるため、読み取りだけの権限に変更する
2. 2行目。営業部が請求書フォルダを参照できる状態を廃止し、必要になったつど経理部に問い合わせさせる
3. 5行目。全従業員が給与フォルダを参照できる状態を廃止し、業務上必要な人事部給与担当に限定する
4. 3行目。経理部が仕訳フォルダに読み書きできる状態を、月末だけ有効になるように変更する

A社では、業務システムの利用者IDの発行を情報システム部門のCさん1人が担当している。現在の手続は、各部署からメールで依頼が届いたら、Cさんがその内容を見て必要と判断し、そのままシステムへ登録するというものである。依頼メールは個人あてに届き、記録として残す決まりはない。先日の内部監査で、実在しない利用者のIDが1件登録されていたことが分かったが、誰の依頼で登録されたのかを追跡できなかった。Cさんは長年まじめに働いており、本人を疑う声はない。この手続を見直すとき、最も適切な対応はどれか。

1. 利用者IDの発行を、所属長が申請し情報管理責任者が承認したうえで、登録作業は別の担当者が行う手続に改め、申請・承認・登録の記録を残す
2. Cさんの負担を減らすために登録担当を2名に増やし、2人が交代で依頼の妥当性の判断と登録を行うようにする
3. Cさんに秘密保持と適正な業務遂行に関する誓約書を提出させ、毎年1回の情報セキュリティ教育を受講させる
4. 依頼メールを個人あてではなく情報システム部門の共有メールボックスあてに変更し、届いたメールを1年間保存して検索できるようにする

A社の小売店舗では、POSレジの操作に店舗共通のID「shop01」を使っており、パスワードは店長を含む従業員8名全員が知っている。ある日、本部の売上確認で、通常はほとんど発生しない売上取消が同じ日に何度も記録されていることが分かった。本部が店舗の操作ログを取り寄せたところ、次の記録が得られた。店舗には防犯カメラはなく、シフト表は勤務時間帯までしか記録していない。本部は、誰がこの操作を行ったのかを特定できなかった。再発を防ぐために、まず行うべきことはどれか。

日時              利用者ID  端末   操作2026-08-03 09:12  shop01    POS-1  売上登録2026-08-03 13:40  shop01    POS-1  売上取消2026-08-03 15:02  shop01    POS-2  売上取消2026-08-03 18:05  shop01    POS-2  売上取消

1. ログの保管の期間を現在の3か月から3年へと延長したうえで、過去にさかのぼって同様の操作をすべて洗い出す
2. 共通ID「shop01」のパスワードを毎月変更することとし、変更した内容を店長から従業員全員へ口頭で伝える
3. POS端末をPOS-1の1台だけに減らしたうえで、レジの操作を行える場所と時間帯をあらかじめ細かく限定する
4. 従業員ごとに個人IDを発行して共通IDを廃止し、誰がどの操作を行ったかをログで追跡できるようにする

A社では、業務システムの管理者権限を持つ特権IDを、情報システム部門の担当者3名に常時割り当てている。3名は日常のメール確認や資料作成もこの特権IDでログインした端末で行っている。先日、担当者の1人が操作を誤り、本番データの一部を削除してしまった。バックアップから復旧できたが、監査部門から特権IDの管理方法を見直すよう指摘された。3名はいずれも保守作業のために管理者権限を必要としているが、その作業は月に数回である。特権IDの運用として、最も適切なものはどれか。

1. 特権IDのパスワードを32文字の複雑な文字列に変更したうえで、担当者3名だけが参照できる場所に保管する
2. 特権IDは平常時は誰にも割り当てず、保守作業のつど申請と承認を経て貸し出し、作業後に返却させてパスワードを変更し、貸出記録と操作ログを突き合わせて点検する
3. 特権IDは3名の共同管理のままとし、管理者としての作業を行う際には必ず2名以上が同席して相互に操作の内容を確認し、その事実を作業記録に残す運用に改める
4. 3名に特権IDを割り当てたままとし、毎月末に各自が実施した管理者作業の内容を自己申告させて記録する

A社の営業部に所属していたDさんが、4月1日付で経理部へ異動した。情報システム部門は、経理部の課長からの申請を受け、会計システムの入力権限をDさんに付与した。一方で、Dさんが営業部で使っていた顧客管理システムの権限については、誰からも削除の申請がなかったため、そのままにしている。Dさんは経理部の業務で顧客管理システムを使う必要がない。A社では過去にも同様の運用が続いており、勤続10年を超える社員の中には5つの部署分の権限を持つ者もいる。この状況への対応として、最も適切なものはどれか。

1. 異動後の3か月間は引継ぎに備えて旧部署の権限をそのまま残しておき、3か月が経過した後に本人からの申告があれば削除する
2. 旧部署の権限は本人が使わなければ実害がないため、次回の年次棚卸しまで現状のままとしておく
3. 異動の手続に、旧部署の権限の削除と新部署の権限の付与を一組で行う定めを設け、削除を確認してから付与する運用に改める
4. 権限が積み上がっている社員には、現在保有している権限の一覧を本人に配付したうえで、不要と思うものを自分で選んで申告させる

A社では、会計システムのアクセス権について半年ごとに棚卸しを行っている。情報システム部門が作成した一覧を、経理部の情報セキュリティリーダーであるEさんが確認する。今回の一覧は次のとおりである。乙は6月に経理部から営業部へ異動し、そのとき会計システムの権限は削除済みで、現在は営業部のシステムだけを使っている。丙は5月31日付で退職しているが、一覧では権限が有効のままとなっている。丁は経理部に在籍しているが、2月から産前産後休業と育児休業に入っており、復職の予定がある。Eさんが最初に対応すべきものはどれか。

利用者ID 氏名 区分                     会計システムの権限  最終ログインu101     甲   経理部 在籍              入力                2026-08-18u102     乙   営業部 在籍(6月に異動)   なし(異動時に削除)  2026-06-28u103     丙   2026-05-31付で退職       参照(有効)          2026-05-30u104     丁   経理部 在籍(休業中)      参照                2026-02-11

1. u103を無効化し、退職時にアカウントの削除手続が行われなかった原因を確認して手続を是正する
2. u104は半年以上ログインの記録が残っていないため、保有する権限をすべて削除したうえで本人に通知する
3. u102は最終ログインの日付が古く、直近の利用実績も確認できないため、アカウントそのものを削除する
4. u101は毎日利用していて操作に習熟しているため、入力の権限に加えて承認の権限も新たに付与する

A社は、社内システムのパスワードを90日ごとに変更するよう全社員に義務づけている。運用を確認したところ、多くの社員が末尾の数字を1つ増やすだけの変更を繰り返しており、変更のたびに「忘れた」という問合せが情報システム部門に集中していた。また、A社は最近、経費精算をクラウドサービスへ移行し、社外からもIDとパスワードだけでログインできるようにしている。同業他社では、他サイトから流出したIDとパスワードの組合せを使うリスト型攻撃で、社外からの不正ログインが発生したと報告されている。パスワードの運用の見直しとして、最も適切なものはどれか。

1. 変更周期を90日から30日に短縮したうえで、期限までに変更を行わなかった利用者のアカウントを自動的に停止する
2. パスワードに記号を必ず1文字以上含めるという条件を追加し、90日ごとの定期変更は現在のとおり続けたうえで、社外からのクラウドサービス利用も引き続きIDとパスワードだけで認める
3. パスワードを紙に控えて各自の施錠できる引出しに保管させ、忘れたときはそこから確認させる
4. 定期変更の義務をやめて十分な長さのパスワードを使い回さずに使うことを求め、社外から接続するクラウドサービスには多要素認証を導入し、漏えいが疑われる場合は直ちに変更させる

A社の情報セキュリティリーダーであるFさんは、業務システムのログ運用について、情報システム部門から現在の内容を示す資料を受け取った。A社は、内部不正の抑止と、事故が起きたときの原因究明のためにログを活用したいと考えている。ログの取得項目と保管期間は、社内規程に定めた要件を満たしている。点検は、システムの運用作業を行う担当者ではなく、内部監査部門の担当者が実施している。ログを取得していることは、就業規則と情報セキュリティ規程で全従業員に周知済みである。この資料のうち、内部不正への備えとして不適切なものはどれか。

項目      現在の運用取得対象  ログイン成功、ログイン失敗、権限変更、重要ファイルの参照と持出し保管期間  1年間（規程が定める要件は6か月以上）保管場所  各サーバのローカル領域。システム管理者が編集・削除できる点検      月1回。内部監査部門の担当者が実施し、結果を記録する

1. 取得対象。ログイン失敗や権限変更の記録まで取得しており、取得している情報の項目が多すぎて過剰である
2. 保管場所。システム管理者自身が編集・削除できる状態では、管理者による不正の証拠として使えない
3. 保管期間。規程が定める要件は6か月以上であるのに1年間も保管しており、保管の期間が過剰になっている
4. 点検。月1回では頻度が低すぎるうえ、ログの点検はすべて仕組みによって自動で判定させる必要がある

A社は、社内サーバで運用していた営業支援システムをやめ、外部のSaaSへ移行することにした。契約に先立ち、提供者から責任分担を示す資料を受け取った。A社の情報セキュリティリーダーであるGさんは、社内の会議で「クラウドに移すのだから、これからのセキュリティ対策は提供者に任せればよい」という意見を聞き、認識をそろえる必要があると考えた。移行後は、A社の営業部員約200名が利用者IDを持ち、顧客情報のファイルを登録して社内外の関係者と共有する。資料の内容は次のとおりである。この責任分担のもとで、A社が自ら定期的に実施すべきこととして、最も適切なものはどれか。

項目                            提供者の責任  A社の責任データセンタの設備と入退室管理  有            無サーバOSとアプリの脆弱性修正    有            無利用者IDの登録・変更・削除      無            有アクセス権と共有範囲の設定      無            有登録するデータの内容            無            有

1. サーバOSの修正プログラムの適用計画を自社で作成し、サービスの提供者に代わって自社で適用する
2. データセンタの入退室の記録を毎月まとめて取り寄せて、自社で保管したうえで外部からの監査に備える
3. 利用者IDと、ファイルのアクセス権・共有範囲の設定を定期的に棚卸しし、不要なものを削除する
4. 提供者が運用するアプリケーションの脆弱性を自社で定期的に診断し、その結果を提供者へ書面で通知する

A社のマーケティング部では、クラウドストレージを使って社外の制作会社とファイルをやり取りしている。共有の仕方は担当者ごとに任されており、部の情報セキュリティリーダーであるHさんが四半期に一度、共有設定の一覧を点検している。今回の一覧は次のとおりである。1行目の製品カタログは、既にWebサイトで一般公開している資料である。2行目の顧客名簿には、取引先担当者の氏名・電話番号・メールアドレスが含まれている。3行目は制作会社の担当者2名を指定した共有で、有効期限も設定されている。この一覧のうち、Hさんが最初に是正すべきものはどれか。

行 フォルダ           共有範囲                        有効期限    利用目的1  製品カタログ_公開  リンクを知っている全員が閲覧可  なし        Webで一般公開中の資料2  顧客名簿_2026      リンクを知っている全員が閲覧可  なし        社内の営業活動用3  見積書_下書き      指定した相手のみ(要認証)        2026-09-30  制作会社の担当者2名と共有4  部内議事録         社内の指定グループのみ          なし        マーケ部の週次議事録

1. 1行目。一般公開中の資料であっても、リンクを知っている全員が閲覧できる設定は禁止すべきなので社内限定にする
2. 2行目。取引先担当者の個人情報が、リンクさえ分かれば誰でも閲覧できる状態になっているため、直ちに共有を解除する
3. 3行目。社外との共有であるため、有効期限を待たずに直ちに解除する
4. 4行目。社内向けであっても、議事録の共有範囲は作成者本人だけに限定する

A社の情報システム部門が、社内からインターネットへの通信を中継するプロキシのログを集計したところ、会社が承認していないサービスの利用が見つかった。集計結果は次のとおりである。聞き取りの結果、PDF変換サイトは、契約書のPDFを結合・分割するために営業事務の担当者が使っており、社内の承認済みソフトウェアでは同じ作業ができないことが分かった。翻訳サイトは、海外の取引先からのメールを訳すために使われていた。いずれの担当者も、規程で禁止されているという認識はなかった。情報セキュリティリーダーとして、まず行うべきことはどれか。

宛先サービス                利用者数  送信量   会社の承認承認済みクラウドストレージ  120       3.2 GB   承認済みオンラインPDF変換サイト     14        880 MB   未承認無料オンライン翻訳サイト    31        120 MB   未承認動画共有サイト              45        60 MB    未承認

1. 利用者を一人ずつ特定し、就業規則に基づいて処分を行ったうえで、その事実を全社に周知して、同じことが繰り返されないようにする
2. 送信量が最も多い承認済みクラウドストレージについて、部署ごとに利用量の上限を設定する
3. 未承認の宛先をすべて即時遮断し、遮断した理由や代替となる手段の案内は特に行わない
4. 利用実態と業務上の必要性を確認し、同じ作業ができる安全な手段を会社として用意したうえで、利用してよいサービスを規程に定めて周知する

A社は在宅勤務の導入にあたり、社外からVPN装置を経由して社内の業務サーバ（192.168.10.20）へ接続できるようにした。在宅勤務者にはVPN接続時に10.8.0.0/24の範囲のアドレスが割り当てられ、業務サーバの利用はブラウザによるHTTPS（tcp/443）だけである。業務サーバのリモートデスクトップ（tcp/3389）は、社内LAN（192.168.10.0/24）にいる保守担当者だけが使う運用と決めている。社内LAN、VPN、インターネットの境界に置かれたファイアウォールのルールは次のとおりで、上から順に評価され、どのルールにも一致しない通信は最後の暗黙の拒否によって遮断される。最小権限の考え方に照らして、最初に見直すべきルールはどれか。

番号 送信元             宛先            プロトコル/ポート 動作1    192.168.10.0/24    インターネット  tcp/443           許可2    10.8.0.0/24        192.168.10.20   tcp/443           許可3    any                192.168.10.20   tcp/3389          許可4    10.8.0.0/24        192.168.10.30   tcp/445           拒否5    any                any             any               拒否（暗黙）

1. 1番。社内LANからインターネットへのHTTPSをすべて許可しているため、業務に不要な通信までもが外へ出ていくおそれがある
2. 2番。在宅勤務者を個人単位で識別せず、ネットワークの単位でまとめて許可してしまっているため、このルールをただちに削除する
3. 3番。送信元がanyのため、インターネット側からもリモートデスクトップを受け付けてしまう。送信元を社内LANに限定する
4. 4番。在宅勤務者から社内の別のサーバ(192.168.10.30)へのファイル共有(tcp/445)を拒否しているが、在宅勤務でも必要になるため許可に変更する

A社は3年間利用してきたクラウド勤怠管理サービスを解約し、別の提供者のサービスへ乗り換えることにした。現在のサービスには、全従業員約400名分の氏名、所属、勤務時間、給与計算のもとになる情報が保存されている。契約書には、契約終了時のデータの取扱いに関する条項が含まれている。総務部の情報セキュリティリーダーであるIさんは、解約手続の担当になった。新しいサービスへは、過去3年分の勤務記録を引き継ぐ必要がある。解約にあたってIさんが行うべきこととして、最も適切なものはどれか。

1. 契約書の条項に従い、移行に使える形式で自社データの返却を受けたうえで、バックアップを含めて提供者側から消去されたことを消去証明書などの文書で確認する
2. 解約すればアカウントとともに提供者側のデータも自動的に消えるため、返却や消去についての特段の確認は行わず解約手続だけを進める
3. 管理画面を順に開いて画面のスクリーンショットをすべて保存し、それを過去3年分の記録とすることで、提供者へのデータの返却依頼も消去の確認もいずれも省略する
4. 解約後もデータは提供者側にそのまま残してもらい、過去3年分の記録が必要になったときは再度契約して参照できるようにしてもらう

A社は在宅勤務と外出先での勤務を認めており、社員には会社貸与のノートPCを配付している。社内システムへの接続にはVPNを使うと定めているが、具体的な行動の指針は各自の判断に任されていた。情報セキュリティリーダーのJさんは、社員から寄せられた実際の働き方を書き出し、規程に反映しようとしている。書き出した内容は、自宅での勤務、外出先のカフェでの勤務、Web会議の運用に関するものである。次のうち、テレワーク時の行動として不適切なものはどれか。

1. 自宅では会社が貸与したノートPCだけを業務に使うこととし、家族と共用しているPCには業務データを保存しない
2. 外出先のカフェでは店舗の公衆Wi-Fiに接続し、VPNを使わずに社内システムへ直接接続して作業する
3. 短時間の離席でも画面をロックし、周囲に人がいる場所ではのぞき見防止フィルタを使う
4. Web会議の録画は事前に必要性を確認したうえで行い、録画したデータの保存先と共有できる範囲を限定する

A社の営業部では、外出中に会社のメールを確認したいという要望が強く、複数の社員が自分の判断で私物のスマートフォンに会社のメールアカウントを設定していた。会社はこの状況を把握しておらず、私物端末の業務利用に関する規程もない。営業部の社員は日中のほとんどを社外で過ごすため、私物端末の利用を一律に禁止すると、顧客からの問合せへの対応が遅れて業務に支障が出る。一方で、私物端末には画面ロックが設定されていないものもあり、紛失時に会社が遠隔で消去する手段もない。情報セキュリティリーダーとして提案する対応のうち、最も適切なものはどれか。

1. 私物端末は会社の資産ではないため、画面ロックの設定や使い方は引き続き各社員の判断に任せる
2. 業務データを端末に保存しないことを口頭で確認できた社員に対しては、申請や規程によらず私物端末での会社メールの利用を認め、画面ロックの設定も本人の判断に任せる
3. 私物端末の業務利用を認めるかどうかは会社として決めないまま、端末を紛失したときだけ会社へ報告するよう全社員に周知し、以後の扱いは各自の判断に任せる
4. 私物端末の業務利用を認める条件（画面ロックの設定、MDMの導入、遠隔ロック・消去への同意、業務データの保存範囲）を規程に定め、申請し承認された端末に限って利用を認める

A社の社員Kさんは、出張先から帰る電車の中で、会社貸与のノートPCを入れた鞄を網棚に置いたまま降りてしまったことに、駅を出てから気づいた。PCには顧客との商談資料が保存されており、社内システムへ接続するためのVPNの設定も入っている。時刻は平日の午後8時で、情報システム部門の担当者は既に退社しているが、A社には24時間つながる緊急連絡窓口が定められており、Kさんもその連絡先を知っている。PCには画面ロックとディスクの暗号化が設定され、MDMによる遠隔ロックと遠隔消去に対応している。Kさんが最初に行うべきことはどれか。

1. 定められた緊急連絡窓口へ直ちに報告し、端末の遠隔ロックまたは遠隔消去と、アカウントの停止を依頼する
2. 翌朝までに見つかる可能性があるため、その日は鉄道会社に問い合わせるだけにとどめ、翌朝の朝礼で上司に報告する
3. 確実に紛失したと分かるまでは会社へ報告せず、まず警察へ遺失物の届出を済ませることに専念する
4. 会社に迷惑をかけないよう、自費で同じ機種のPCを購入して業務を続けられるようにしてから、後日まとめて報告する

A社の営業部の担当者が、自社セミナーの案内を取引先42社の担当者へメールで送った。その際、42名のメールアドレスをすべてTOに入れて一括送信したため、受信した各社の担当者に他社の担当者名とメールアドレスが見える状態になった。取引先の1社から指摘を受け、事故として報告された。A社では、社外への一斉送信の方法について明文のルールがなく、送信前の確認も各自に任されていた。過去にも似た事故が2回起きており、そのつど注意喚起のメールを出していたが、再発している。再発防止策として、最も適切なものはどれか。

1. 誤って送信したことに気づいたら、同じ宛先あてに削除を依頼するメールを直ちに送り、削除されたことを電話で確認するという手順を社内の規程に定める
2. 宛先の入力ミスを防ぐため、メールソフトの宛先自動補完機能を全社で有効にするよう周知する
3. 社外の複数宛先への一斉送信はBCCを用いることを規程に定め、数分間の送信保留の仕組みと、宛先が一定件数を超える場合の上長確認を組み合わせる
4. 誤送信をした担当者に始末書を提出させ、事故の内容を添えた注意喚起メールを全社に配信する

A社では、社外へファイルを送るときは必ず添付ファイルをパスワード付きZIPに圧縮し、その直後に同じ宛先へパスワードだけを書いた2通目のメールを送る運用を長年続けている。先月、担当者が宛先を誤って送信した際、続けてパスワードのメールも同じ誤った宛先へ送ってしまい、ファイルが読める状態で第三者に届いた。また、取引先数社から「セキュリティ対策のため、パスワード付きZIPの添付は受信できない設定にした」との連絡があった。A社の情報セキュリティリーダーは、この運用の見直しを検討している。見直しの方針として、最も適切なものはどれか。

1. パスワードの文字数を8文字から16文字に増やしたうえで、2通に分けて送る現在の運用はそのまま続ける
2. ファイルとパスワードを同じ経路で送っていること、暗号化ZIPが受信側のウイルス検査をすり抜けることが問題であるため、相手を指定して認証させる共有ストレージなど、別の受渡し手段へ切り替える
3. パスワードは電話で口頭により伝えることとして2通目のメールは廃止し、暗号化ZIPの添付は今後も続けるが、暗号化ZIPを受信できない設定にしている相手にはファイルを暗号化せずにそのままメールに添付して送る
4. 取引先ごとにあらかじめ固定のパスワードを決めて共有しておき、ファイルは従来どおりメールに添付して送る

A社の経理部のLさんは、取引先の担当者名で「請求書の内容に誤りがありました。訂正版を添付します」という件名のメールを受け取った。文面には過去のやり取りに沿った内容が書かれていたため、Lさんは添付されたファイルを開いたところ、警告のような表示が一瞬出て、その後は何も起きなかった。不安になったLさんは、あらためて送信元のアドレスを確認し、取引先のドメインとよく似た別のドメインであることに気づいた。A社には情報セキュリティに関する報告窓口があり、内線番号も周知されている。Lさんの端末は社内LANに有線で接続され、無線LANも有効になっている。Lさんが最初に行うべきことはどれか。

1. 端末を有線・無線ともネットワークから切り離し、電源は切らずに、定められた報告窓口へ直ちに連絡する
2. ウイルス対策ソフトで端末全体のスキャンを自分で実行してみて、何も検出されなければ窓口への報告はしない
3. 被害の拡大を防ぐため、端末を直ちにシャットダウンしたうえで、翌朝に情報システム部門へ持参して相談する
4. 同じ被害を防ぐため、受け取ったメールをそのまま部内の全員へ転送したうえで、開かないよう注意喚起する

A社は、アンケート集計を委託している制作会社の担当者2名に、回答者の氏名・住所・電話番号を含む名簿ファイルを渡す必要がある。A社の規程では、個人情報を社外へ提供する場合は、受け取る相手を限定でき、渡した記録が会社の管理下に残る方法を用いると定めており、個人が契約したサービスを業務に使うことは禁止している。担当者は、次の四つの方法を比較した。Dは、担当者が個人で契約しているオンラインストレージで、会社は利用状況を把握できない。Bの公開リンクは、URLを知っていれば誰でもダウンロードできる。この比較表に基づき、名簿ファイルの渡し方として最も適切なものはどれか。

方法                              受け手の限定  有効期限  取得の記録  会社の管理下A 暗号化ZIPをメールに添付         不可          なし      なし        該当なしB 公開リンクで共有                不可          設定可    あり        ありC 相手を指定した共有(要認証)      可            設定可    あり        ありD 個人契約のオンラインストレージ  可            設定可    あり        なし

1. A。ファイルを暗号化しているため経路によらず安全であり、取得の記録が残らないほうが余計な情報を残さずに済む
2. B。有効期限と取得の記録がいずれも残るので、共有のリンクを担当者2名にだけメールで知らせておけば足りる
3. C。受け手を担当者2名に限定でき、有効期限と取得の記録も会社の管理下で残せるため、規程の要件を満たす
4. D。担当者が使い慣れており、有効期限も取得の記録も残せるため、最も確実に渡せる

A社の営業部に、取引先B社の担当者を名乗る人物から電話があった。「先月そちらからいただいた顧客リストのファイルを誤って消してしまった。今日中に必要なので、この電話番号あてに折り返して、私のメールアドレスへ再送してほしい」という内容だった。応対した社員は、確かにB社へ資料を提供した記憶があるが、自分が担当した案件ではない。A社の規程では、個人情報を含む情報を社外へ提供する場合は、情報管理責任者の承認を得ることと定められている。電話の相手は、急いでいることを繰り返し強調している。この社員が行うべき対応として、最も適切なものはどれか。

1. 過去に提供した実績がある同じ内容のファイルであるため、その場で担当者の判断により再送する
2. 相手が急いでいるため先にファイルを送り、情報管理責任者の承認は送付した後で得る
3. ファイルをパスワード付きで送れば内容は保護されるため、電話で伝えられた番号へ折り返したうえで、情報管理責任者の承認の手続は省略したうえでそのまま送付する
4. その場では送らず、電話で伝えられた番号ではなくB社の既知の連絡先へ折り返して依頼の事実を確認し、規程に従って情報管理責任者の承認を得てから対応する

A社では、電子データを社外へ持ち出す場合、事前に上長の承認を得たうえで、会社が貸与する暗号化対応のUSBメモリまたは貸与ノートPCを使い、持出し管理簿に記録することを定めている。私物の記憶媒体の業務利用は禁止されており、持ち出した媒体は業務が終わりしだい返却して管理簿に返却日を記入する決まりである。承認者は所属長（課長または部長）と定められており、持ち出す情報の内容によって承認者が変わることはない。先月、営業部で顧客名簿を保存したUSBメモリの所在が分からなくなる出来事があり、管理簿の点検を毎月行うことになった。総務部の情報セキュリティリーダーが今月の持出し管理簿を点検したところ、次の記録があった。この管理簿の記録のうち、規程に照らして不適切なものはどれか。

No 持出し日   持ち出す情報        媒体           暗号化 承認者 返却日1  2026-08-03 展示会用の配付資料  貸与USBメモリ  有     部長   2026-08-042  2026-08-05 顧客名簿            私物USBメモリ  無     なし   未返却3  2026-08-07 会議用スライド      貸与ノートPC   有     課長   2026-08-084  2026-08-10 見積書の控え        貸与USBメモリ  有     部長   2026-08-11

1. No.1。展示会で配付する資料であっても、社外へ持ち出す以上は媒体ではなく郵送で送る必要がある
2. No.2。禁止されている私物の媒体を使い、暗号化も上長の承認もなく、返却の記録もない
3. No.3。会議用スライドの持出しに課長が承認しており、承認者は必ず部長でなければならない
4. No.4。見積書の控えは社外秘であるため、暗号化していても持ち出してはならない

A社では、執務室の一角にある会議室で社外の取引先と打合せを行っている。会議室へは受付から執務室を通って案内する動線になっており、途中には社員の机が並んでいる。先日、来客が会議室のホワイトボードに残っていた別案件の見積金額を見て話題にしたことがあり、情報セキュリティリーダーが運用を見直すことになった。あわせて、紙の資料の保管と廃棄、来客の受入れ手順についても部内で確認している。執務室にはシュレッダーが設置され、機密文書の溶解処理を委託する回収箱もある。次の運用のうち、不適切なものはどれか。

1. 不要になった顧客リストの紙は、手で細かく破ってから執務室の一般ごみ箱に捨てる
2. 来客には受付で入館証を渡して記録し、執務エリアの中では必ず社員が付き添って同行する
3. 来客を迎える前に、会議室のホワイトボードの記載を消し、机の上に出ている資料を片付ける
4. 紙の資料を社外へ持ち出すときは、中身が見えない封筒に入れ、施錠できる鞄に入れて運ぶ

A社の社員が、部内の懇親会の様子を私的なSNSアカウントに投稿した。写真の背景には、会議室のホワイトボードに書かれた未公表の新製品のコード名と発売予定時期、および机上に置かれた取引先名の入った書類が写り込んでいた。投稿は社外の第三者からの指摘で判明し、すぐに削除されたが、その時点で既に転載されていた。A社は私的なSNSの利用を禁止しておらず、投稿に関するルールも定めていない。社員に悪意はなく、写り込みに気づいていなかった。今後の対策として、最も適切なものはどれか。

1. 私的なアカウントでの投稿は個人の自由であるため、会社としては撮影や投稿に関するルールを定めず関与しない
2. 社名や取引先名、個人名を伏せて書きさえすれば、未公表の新製品に関する内容も含めて、業務に関する事柄を私的なSNSへこれまでどおり自由に投稿できるものとする
3. 投稿は削除すれば拡散しないため、発見しだい本人に削除させる運用だけを定めて周知する
4. 社内で撮影した写真は投稿前に背景の写り込みを確認すること、業務に関する発信は事前に広報部門の承認を得ることをルールとして定め、実例を用いて教育する

A社では、会議の議事録づくりや文書の下書きに時間がかかるという声が多く、複数の部署が個人のアカウントで無料の対話型生成AIサービスを使い始めていた。ある部署では、顧客名・取引価格・未公表の導入予定時期が書かれた議事録をそのまま貼り付けて要約させていた。このサービスの規約には、入力された内容がサービスの改善に利用される場合があると書かれている。会社としての利用ルールはなく、禁止も許可もしていない状態である。業務効率化への期待は大きく、単に禁止するだけでは各自が使い続けるおそれがある。情報セキュリティリーダーとして提案する対応のうち、最も適切なものはどれか。

1. 業務効率化に役立つため、利用するサービスと入力する情報の範囲は引き続き各自の判断に任せる
2. 顧客名を伏せ字にすることだけを全社共通のルールとして定め、取引価格や未公表の導入予定時期はこれまでどおり入力できるものとし、利用するサービスも各自が自由に選べるようにする
3. 入力してよい情報の範囲を規程で定めて機密情報と個人情報の入力を禁じ、入力内容が学習に利用されない契約の法人向けサービスを会社として用意したうえで、出力は必ず担当者が確認することを定める
4. 生成AIの利用を全面的に禁止する旨を全社にメールで通知し、以後の対応は各部署の判断に委ねる