委託先・教育・監査

通信販売を行うA社は、顧客名簿のデータ入力業務をB社に委託している。契約では秘密保持義務と安全管理措置を定めており、B社はISMS認証も取得している。ある日、B社の従業者が作業用データを私物のPCへ複製して持ち帰り、そこから顧客約5,000人分の氏名と住所が流出した。B社からは謝罪と経緯の報告があり、当該従業者への処分も行われたという。A社の営業部門でリーダーを務めるあなたは、社内会議で今後の対応方針を説明することになった。会議では『契約でB社に義務を課していたのだから、当社が表に出る必要はない』という意見が出ている。このとき、A社の責任の考え方として最も適切なものはどれか。

1. 委託契約でB社に対して安全管理を義務づけていたので、A社が本人への連絡や結果の公表を自ら行う必要はないといえる
2. 個人データの取扱いを委託しても委託元の責任はなくならず、本人への連絡や公表の判断はA社が主体となって行う
3. 実際に情報を扱っていたのはB社なので、監督官庁への報告や再発防止策の説明はいずれもB社の側が単独で担当する
4. A社の責任は、B社に対して損害賠償を請求することによって果たされたことになる

A社の総務部は、給与計算業務の委託先を新たに選定することになった。従業員の氏名、口座番号、給与額を渡すため、価格だけでなく情報セキュリティの観点も選定基準に加えることにした。候補は3社で、各社から確認票への回答を得ている。総務部長は『とにかく費用を抑えたい』と言っているが、リーダーであるあなたは回答内容を整理して判断材料を作った。回答結果は次の表のとおりである。このとき、情報セキュリティの観点からの判断として最も適切なものはどれか。

確認項目                          X社  Y社                     Z社------------------------------------------------------------------情報セキュリティ責任者の設置      有   有                      有従業者への年次教育                済   済                      未再委託の予定                      無   有（事前承認手続あり）  有（詳細は不明）監査（立入りまたは書面）の受入れ  可   可                      不可事故発生時の報告期限の明記        可   可                      不可提示価格                          高   中                      低

1. X社は提示している価格が他社と比べて最も高いため、他の項目をすべて満たしていたとしても選定の候補からは外す
2. Y社は再委託を行う予定があるため、他の項目の評価がどうであっても、その一点をもって無条件に候補から除外する
3. Z社は価格が最も安く責任者も置かれているため、従業者教育と監査受入れは契約を結んだ後に改善させることを前提として選ぶ
4. Y社は再委託に事前承認の手続があり監査も受け入れられるため、再委託先の管理方法を確認したうえで候補とする

A社は基幹システムの保守をB社に委託している。契約書には『再委託を行う場合は、委託元の事前の書面による承認を得ること』と定めてある。ある日の午後、B社の担当者からA社の情報セキュリティリーダーであるあなたに電話があり、『繁忙で人手が足りないため、明日から協力会社のC社に作業の一部を手伝わせたい。急ぎなので口頭で了解をもらえないか』と依頼された。C社の作業ではA社の顧客データを含む保守用の環境に接続する必要があるという。B社は『C社とは長い付き合いで問題ない』と説明している。このとき、あなたが最初に行うべきことはどれか。

1. 再委託先C社の名称と所在、作業範囲と期間、扱う情報の種類、C社との契約で同等の秘密保持と安全管理が課されているかを書面で提出させる
2. 急を要するので電話で口頭による承認をその場で与えることとし、再委託先の名称や作業の範囲を記した書面は作業開始後にまとめて受け取る
3. 再委託の申出があった時点で契約違反に当たるため、B社との委託契約を直ちに解除する
4. B社を介さずにA社がC社と直接契約を結び、再委託に当たらない形に整理する

A社は問合せ窓口業務を新たにD社へ委託することになり、法務部から回付された契約書案をリーダーであるあなたが確認した。案には秘密保持義務、目的外利用の禁止、再委託の事前承認、事故発生時の報告義務が定められている。一方で、契約終了時に預けたデータを返却または削除する定めと、A社が実施状況を確認するための監査を受け入れる定めが見当たらない。法務部の担当者は『先方の標準契約書なので、条項の追加は難しいと思う』と話している。委託業務では顧客の氏名と連絡先を扱う予定である。このとき、あなたの対応として最も適切なものはどれか。

1. 先方の標準契約書であるため、示された案の内容をそのまま変えずに締結し、契約が終了する時点でデータの削除を口頭で依頼する
2. 監査の受入れは実務上使わないので条項からは省くこととし、契約終了時のデータの返却または削除だけを覚書で追加してもらう
3. 締結前に、契約終了時のデータの返却または削除と、書面または立入りによる確認の受入れを覚書などで追加するよう交渉する
4. 条項が欠けている以上リスクが大きいと考えられるため、この委託そのものを取りやめて、全業務を自社で行うこととして進める

A社は委託先に対し、年1回チェックリストを送付して実施状況の回答を求め、あわせて裏づけとなる証跡の提出を依頼する運用を続けている。今年もデータ入力業務の委託先B社から回答が届き、リーダーであるあなたが内容を確認したところ、回答はすべて『実施』となっていた。ただし、提出を依頼した証跡のうち、従業者への年次教育に関するものだけが提出されていない。B社の担当者は年度途中で交代しており、前任者からの引継ぎが十分でない様子が見受けられる。回答と証跡の状況は次の表のとおりである。このとき、最初に行うべきことはどれか。

確認項目                  B社の回答       証跡の提出----------------------------------------------------従業者への年次教育の実施  実施            未提出アクセス権の定期棚卸し    実施            提出済再委託の有無              無              該当なし委託データの保管場所      社内サーバのみ  提出済事故時の連絡先の更新      更新済          提出済

1. 回答がすべて『実施』であるため、そのまま記録として保管し、次年度まで追加の確認は特に行わない
2. 回答の信頼性が疑わしいので、事前の連絡なしに立入りの検査を実施して、全項目をその場で再確認する
3. 教育を実施したという回答の裏づけとして、受講記録などの証跡を期限を定めて提出するよう求める
4. 再委託が『無』と回答されたので、次年度の契約から再委託に関する条項を削除する

A社の人事部は、全従業員を対象とした職場環境に関する社内アンケートの集計と分析を、外部のB社へ委託することを検討している。B社へ渡すデータには従業員の氏名、所属、回答内容が含まれる。人事部の担当者から、リーダーであるあなたに『社外にデータを渡すのだから、全従業員から個別に同意を取らなければならないのではないか』という相談があった。委託にあたっては、契約書に秘密保持と安全管理措置を定め、作業場所と保管方法も指定する予定である。このとき、説明として最も適切なものはどれか。

1. 委託に伴って個人データを渡すことは第三者提供に当たらず本人の同意は不要だが、委託元には委託先を監督する義務がある
2. 委託であっても第三者提供に当たるため、全従業員から個別に同意を得なければ委託できない
3. 委託先も個人情報保護法の適用を受けるので、データを渡した後の管理はすべて委託先の責任であり、委託元に監督の義務はない
4. 仮名化や匿名化をしていない個人データは、いかなる場合も外部に渡すことができない

A社の営業部は、見積書や提案書の共有にクラウドのファイル共有サービス（SaaS）を利用している。サービス事業者はISMS認証を取得しており、データセンターの管理体制も公開されている。ある日、取引先から『貴社の見積書がインターネット検索で見られる状態になっている』と連絡があった。調べると、担当者が共有リンクを作成する際に、既定のまま『リンクを知っている全員が閲覧可』の設定でリンクを発行し、それが外部のブログに転載されていた。営業部の担当者は『事業者のサービスに問題があるので、事業者に原因究明と再発防止を求めるべきだ』と主張している。このとき、対応として最も適切なものはどれか。

1. 公開範囲の設定は利用者の責任範囲に当たるため、A社側の既定設定、リンク発行の権限、点検の運用を見直す
2. 事業者が取得している認証の適用範囲に不備があると考えられるため、認証機関に対して書面で正式に申立てを行う
3. SaaSの利用においては利用者側に責任は生じないので、事業者に対して損害賠償を求めることとして手続を進める
4. クラウドの利用そのものが原因であるため、全社的にクラウドサービスの利用を禁止して、社内サーバへ戻す方針とする

A社は物流業務の委託先E社と契約を更新するにあたり、契約書の条項を一覧に整理した。整理の結果、必要な条項の多くは定められている一方、抜けや制約のある条項があることが分かった。E社はA社の顧客の氏名と配送先住所を扱い、配送の一部を協力会社に再委託する予定がある。リーダーであるあなたは、この一覧をもとに更新交渉で求める事項を整理している。条項の整理結果は次の表のとおりである。このとき、A社の対応のうち不適切なものはどれか。

条項                        定めの有無  内容の要点--------------------------------------------------秘密保持義務                有          契約終了後3年間存続目的外利用の禁止            有          委託業務以外での利用を禁止再委託                      有          事前の書面による承認が必要監査の受入れ                有          書面での確認のみ。立入りは不可事故発生時の報告            有          発覚後72時間以内に報告終了時のデータの返却・削除  無          定めなし

1. 終了時のデータの取扱いに定めがないため、返却または削除の範囲と期限、完了報告書の提出を更新後の契約書に追加するよう求める
2. 立入りが認められていないため、書面での確認において提出させる証跡の種類をあらかじめ具体的に定めておく
3. 報告が発覚後72時間以内では初動が遅れる場合があるため、第一報の期限を別に短く定めることを検討する
4. 秘密保持義務が定められているので、再委託先については委託先が管理すれば足り、A社は再委託先の名称や作業範囲を把握する必要はない

金曜日の午後6時、A社の情報セキュリティリーダーであるあなたの携帯電話に、委託先B社の担当者から連絡が入った。『作業に使っていたノートPCが見当たらない。社内に置き忘れた可能性もあり、まだ紛失と決まったわけではない』という内容である。そのPCにはA社から預けた顧客データの作業用ファイルが保存されている可能性があるという。B社の担当者は『はっきりしてから正式に報告したい』と言っている。A社の契約では、事故のおそれを含め発覚から2時間以内に第一報を入れることになっており、受付窓口は情報システム部のインシデント窓口である。このとき、最初に行うべきことはどれか。

1. 紛失が確定していないため、月曜日の朝になってから上司へ報告することとし、それまでは特に連絡を取らずに経過だけを静かに見守る
2. 事実が確定するまでは社内外の誰にも伝えないよう、B社の担当者に指示しておく
3. 自社のインシデント窓口へ直ちに第一報を入れたうえで、B社には所定の様式による第一報の提出と、PC内の情報の特定を求める
4. 週明けを待たずに自分でB社の事務所へ向かい、担当者とともにPCを探すことにする

A社が半年間にわたりB社へ委託していたキャンペーン事務局業務が終了した。業務では応募者約2万人分の氏名、住所、電話番号を扱っていた。B社から『業務はすべて完了しました。お預かりしたデータは当社の規程に従って適切に処理いたします』という報告メールが届いた。契約には、契約終了時に委託データを返却または削除し、完了報告書を提出することが定められている。B社に確認したところ、作業用のデータのほかに、日次のバックアップが別のシステムに保管されているとの説明があった。このとき、A社の対応として最も適切なものはどれか。

1. B社は認証も取得していて信頼できる委託先であるため、削除完了報告書の提出は求めずにそのまま委託を終了する
2. バックアップはB社が自社の運用のために作成したものなので、削除の対象に含める必要はない
3. 削除が行われたかどうかは次年度の内部監査で確認すればよいので、いまは報告メールを受領した記録だけを残しておく
4. バックアップや作業用の複製も対象に含めることを確認したうえで、期限を定めて削除完了報告書の提出を求める

A社は初めて標的型攻撃メール訓練を実施した。業務連絡を装った訓練メールを全社員に送ったところ、開封率は22%、報告窓口への報告は6%にとどまった。結果を共有した会議で、ある部門長から『どの社員が開いたのか氏名の一覧を出してほしい。名前を挙げて指導し、人事評価にも反映させたい』という要望が出された。リーダーであるあなたは、訓練の目的をあらためて説明する必要があると考えている。訓練は今後も年1回続ける予定である。このとき、あなたの対応として最も適切なものはどれか。

1. 要望に応じて開封してしまった社員の氏名の一覧を部門長へ提供し、部門長による個別の指導と人事評価への反映に協力する
2. 氏名の提供は行わず、部門単位の傾向として結果を共有し、開封が多かった手口を題材に報告行動を定着させる教育につなげる
3. 開封率が高いという結果は社内の士気を下げるため、結果は公表せず担当者だけで保管する
4. 次回からは訓練メールと分かりやすい文面にして、開封率が下がるように調整する

A社は2回目の標的型攻撃メール訓練を実施し、部門ごとに結果を集計した。訓練メールは業務連絡を装った内容で、開封と報告の両方を計測している。報告率は送信数に対する報告件数の割合、初報までの時間は最初の報告が窓口へ届くまでの時間である。全社の目標として『開封率15%以下』を掲げていたが、リーダーであるあなたは開封率だけで良し悪しを判断すべきではないと考えている。集計結果は次の表のとおりである。このとき、結果の読み取りとして最も適切なものはどれか。

部門    送信数  開封数  開封率  報告数  報告率  初報までの時間--------------------------------------------------------------営業部  120     24      20%     40      33%     12分総務部  40      4       10%     2       5%      180分製造部  90      18      20%     27      30%     15分開発部  60      6       10%     3       5%      150分

1. 開封率が最も低い総務部が最も良い状態であるといえるため、他の部門は総務部のやり方を見習うべきであると評価する
2. 営業部は開封率が最も高いので、営業部の担当者に対して処分を含む再教育を行う
3. 開封率は低いものの報告率が低く初報も遅い総務部と開発部について、報告窓口と報告手順の周知を優先する
4. 全社の開封率は目標の15%を下回っており、報告率も改善しているため、次回以降の訓練はすべて取りやめる

A社では、年次の情報セキュリティ教育をeラーニングで実施しており、対象は正社員のみとしている。実際には、受付業務を担当する派遣社員や、社内に常駐して開発を行う委託先の従業者も、社内ネットワークに接続し顧客データを閲覧できる状態にある。先日の内部監査で『情報に触れる者の一部が教育の対象になっていない』と指摘された。人事部からは『派遣社員や委託先の従業者は当社の従業員ではないので、教育は派遣元や委託先の責任ではないか』という意見が出ている。リーダーであるあなたは是正の方針を示すことになった。このとき、最も適切なものはどれか。

1. 雇用形態が異なるため対象外のままとし、教育は派遣元や委託先に任せる旨を口頭で伝える
2. 自社の情報に触れる範囲に応じて、自社の規程に基づく教育と誓約を派遣社員や委託先の従業者にも実施する
3. 派遣社員については自社での教育を行わない代わりに、閲覧できる情報の範囲を減らすことだけで対応を済ませる
4. 委託先の従業者は委託契約によって秘密保持の義務を負っているため、自社での教育は特に不要であると判断する

A社は情報持出しに関する規程を改訂した。改訂により、私物を含むUSBメモリでの持出しが原則禁止となり、社外へのファイル送付は指定のクラウドサービス経由で上長の申請と承認を得る方式に変わる。事務局は改訂版の規程をイントラネットの規程集に掲載し、施行日を翌月1日と定めた。しかし現場のリーダー会議では『掲載されたことを知らなかった』『新しい申請の画面を見たことがない』という声が相次いだ。施行日まで3週間ある。このとき、最初に行うべきことはどれか。

1. 施行日までに、変更点の要約と施行日、新しい申請手順を対象者へ届け、理解度を確認する場を設ける
2. 規程集に掲載して社内に公開した時点で周知は完了しているため、これ以上の追加の対応は特に行わない
3. 施行日を過ぎてから規程の違反者を洗い出したうえで、該当する者に対して個別に指導と注意を実施する
4. 現場が把握していないことが分かったので、規程の改訂そのものを取りやめて、これまでどおりの運用に戻す

A社のリーダーであるあなたは、今年度の情報セキュリティ教育の年間計画と実績を一覧に整理した。整理してみると、実施できている区分と、計画そのものが存在しない区分があることが分かった。システム管理者は特権IDを扱い、常駐の委託先従業者は顧客データを閲覧できる立場にある。来年度の計画を作るにあたり、限られた工数のなかで何から手を付けるかを決める必要がある。整理した結果は次の表のとおりである。このとき、来年度の計画の見直しとして最も適切なものはどれか。

対象                時期           方法         受講率------------------------------------------------------新入社員            4月（配属前）  集合研修     100%中途入社者          随時           eラーニング  100%一般社員            10月           eラーニング  97%管理職              10月           集合研修     88%システム管理者      未実施         なし         なし派遣・委託先従業者  未実施         なし         なし

1. 受講率が最も低い管理職向けの集合研修を廃止して、管理職に対する教育もすべてeラーニングへ一本化する
2. 新入社員は受講率が100%で定着しているので、来年度については新入社員向けの集合研修そのものを取りやめる
3. 一般社員向けの教育を年1回から年2回に増やすことを、来年度の教育計画における最優先の課題として掲げる
4. 計画そのものがないシステム管理者と派遣・委託先従業者の教育を、来年度の計画に加えることを優先する

A社では年次教育の最後に理解度テストを実施しており、今年も全社の結果を分野別に集計した。全体の平均正答率は前年から2ポイント上がっている。一方で、分野ごとに見ると差が大きく、特定の分野だけが低いまま推移していることが分かった。現場では、私物USBメモリでの持出しに関するヒヤリハットが依然として報告されている。リーダーであるあなたは、次年度の教育計画に反映するため結果を分析している。集計結果は次の表のとおりである。このとき、最初に行うべきことはどれか。

分野                    今年の正答率  前年の正答率--------------------------------------------------パスワードの管理        92%           90%不審メールの報告先      88%           60%情報の持出し申請の手順  41%           44%記録媒体の廃棄          78%           75%SNSでの発信             85%           83%

1. 全体の平均正答率が前年より上がっているため、来年度も同じ教材と同じ構成で実施する
2. 正答率が低いまま推移している持出し申請の手順について、教材の説明が不足していないかと、実際の申請手続が使いにくくないかを確認する
3. 正答率の低い分野の設問を来年度のテストから外し、全体の平均正答率を引き上げる
4. 不審メールの報告先の正答率が大きく上がったので、その分野の教育と設問は来年度から取りやめることとし、その時間を他の分野に振り向ける

A社はランサムウェア感染を想定したインシデント対応手順書を作成したが、作ってから半年間、一度も訓練を行っていない。手順書には初動の連絡先、ネットワーク遮断の判断者、公表の判断者などが書かれている。実際に業務システムを停止する実動訓練は、生産ラインへの影響が大きく実施が難しい。訓練の外部委託を検討したが、今年度の予算では難しいことが分かった。リーダーであるあなたは、それでも手順書が実際に使えるかを確かめたいと考えている。このとき、最も適切なものはどれか。

1. 実動訓練ができないのであれば訓練は行わず、手順書を全員に配布することで代える
2. 手順書の読み合わせでは意味がないため、予算を確保できるまで訓練は行わずに待ち、本番の業務システムを停止させる実動訓練を行う
3. 想定シナリオを配って関係者が集まり、各自が次に取る行動と判断を順に確認する机上訓練を行い、連絡先の古さや判断者の抜けを洗い出す
4. 訓練は情報システム部門だけで実施すれば十分であり、業務部門の参加は必要ない

A社では、情報セキュリティ教育の受講記録を担当者が個人のPC上の表計算ファイルで管理していた。その担当者が異動する際にファイルを整理した結果、過去2年分の受講記録が残っていないことが判明した。折悪しく、委託元であるF社から『貴社の従業者に対する教育の実施状況が分かる記録を提出してほしい』という依頼が届いた。教育自体は毎年実施しており、当時の教材や案内メールは残っている。リーダーであるあなたは、今回の提出と今後の管理の両方に対応する必要がある。このとき、最も適切なものはどれか。

1. 記録の保管責任者・保管場所・保管期間を規程で定めて個人の管理に依存しない仕組みに改めたうえで、現存する範囲の記録と再発防止策をF社に示す
2. 記録は残っていないが教育自体は毎年実施しているので、実施した旨を口頭で説明すれば足りる
3. 当時の受講者や関係者の記憶を頼りに過去2年分の受講者一覧を作り直し、それを当時の実際の受講記録としてF社に提出し、今後も同じ方法で対応する
4. 記録は監査や委託元の確認のためのものなので、依頼を受けた都度まとめて作成する

A社は標的型攻撃メール訓練を3年続けて実施し、そのつど結果を教育に反映してきた。初回は開封した社員が多く、報告もほとんど上がらなかったため、報告窓口の周知と報告しても責められないことの説明に力を入れた。訓練とは別に、社員が実際に受け取った不審メールを窓口へ報告した件数も月平均で記録している。次の委員会で、リーダーであるあなたが経営層に3年間の推移を報告することになった。推移は次の表のとおりである。このとき、報告の内容として最も適切なものはどれか。

回     開封率  報告率  初報までの時間  実際の不審メール報告-----------------------------------------------------------第1回  22%     6%      120分           月2件第2回  15%     18%     45分            月9件第3回  12%     34%     18分            月21件

1. 社員が実際に受け取った不審メールの報告件数が増え続けているため、従業員の情報セキュリティ意識はむしろ低下していると報告する
2. 開封率だけが評価に値する指標であるため、開封率が10%を下回るまでは成果は出ていないと報告する
3. 報告率は上がったが開封率がまだ0%になっていないため、3年間の訓練に効果はなかったと報告する
4. 開封率の低下に加えて報告率の上昇と初報の短縮が続き、実際の不審メールの報告も増えていることから、報告行動が定着しつつあると報告する

A社では年1回の情報セキュリティ委員会で、リーダーであるあなたが教育の実施状況を報告している。これまでの報告は『eラーニングを実施し、受講率は97%であった』という実施の事実が中心で、経営層からは毎回『それで当社は強くなったのか』という質問が出ていた。来年度は、訓練の一部を外部に委託することと、理解度が低い分野の教材を作り直すことを考えており、そのための予算が必要である。手元には受講率のほか、理解度テストの分野別正答率、訓練の報告率と初報までの時間、インシデントの件数と種類の推移がそろっている。このとき、委員会での報告の仕方として最も適切なものはどれか。

1. 受講率だけを示し、100%に達しないのは現場の意識が低いためであると説明する
2. 受講率に加えて理解度テストの分野別正答率、訓練の報告率と初報までの時間、インシデントの件数と種類の推移を示し、次に何を変えるかと必要な資源を提案する
3. 教育の効果は数値では表せないため、実施した回数と参加した人数だけを報告する
4. 経営層は細かい内容までは求めていないので、指標の推移や来年度の計画、必要となる予算には触れず、大きな問題は起きていないという結論だけを報告する

A社では年1回、情報セキュリティに関する内部監査を実施している。今年の監査対象には、情報システム部が自ら設計し運用しているアクセス権管理の仕組みが含まれている。監査担当者を決める会議で、事務局から『仕組みを一番よく知っているのは情報システム部なので、同部の主任に監査を担当してもらうのが効率的だ』という案が出された。主任自身も『自分なら短時間で確認できる』と述べている。リーダーであるあなたは、この案に懸念を持っている。このとき、最も適切なものはどれか。

1. 監査対象部門に所属しない者、監査部門、または外部の専門家が担当し、情報システム部は説明と証拠を提出する側に回る
2. 仕組みに最も詳しい担当者が監査するほうが不備を見つけやすいため、事務局の案のまま情報システム部の主任に担当させる
3. 独立性は形式的な要件にすぎないので、事務局の案のまま実施し、監査報告書に独立性へ配慮した旨を記載しておけば足りる
4. 内部監査は形式的な活動にすぎないので今回は実施せず、認証機関による外部審査の結果をもって代えることとして差し支えない

A社は今年から情報セキュリティの内部監査を始めることになり、総務部の担当者が監査人に指名された。担当者は『まず各部署を回って、気になったところをその場で挙げていくつもりだ』と話している。社内には情報セキュリティ規程と各種の手順書があり、委託先との契約書には安全管理に関する条項が定められている。監査の結果は経営層に報告し、指摘があれば是正を求める予定である。リーダーであるあなたは、この進め方では被監査部門が納得しないのではないかと考えている。このとき、最初に行うべきことはどれか。

1. 各部署を回って気づいた点を列挙し、そのなかから重要そうなものを選んで指摘とする
2. 監査の対象範囲と、何と照らして良し悪しを判断するかという監査基準（自社規程、手順書、契約条項、法令）をあらかじめ定める
3. 事前に伝えると準備されてしまうため、監査の対象範囲も日程も知らせず抜き打ちで実施し、その場で見えたものだけを指摘する
4. 他社の監査報告書を入手し、そこに書かれた指摘事項をそのまま自社の指摘として採用する

A社では内部監査の指摘事項を一覧で管理し、区分と是正期限、進捗を毎月確認している。区分は、規程や要求事項を満たしていない『不適合』と、違反ではないがより良くできる『改善の機会』の二つである。本日は10月20日で、リーダーであるあなたは進捗会議に向けて状況を整理した。是正が進んでいない項目があり、なかには期限を過ぎているものもある。現在の状況は次の表のとおりである。このとき、最初に取り組むべきものはどれか。

No  指摘事項                            区分        是正期限    状況--------------------------------------------------------------------1   退職者のアカウントが3件残存         不適合      9/30        未（担当が未定）2   委託先の年次報告書が未読のまま保管  不適合      11/15       対応中3   異動時の旧権限の削除手順が未整備    不適合      11/30       対応中4   教育記録の保管期間が規程に未記載    改善の機会  次回改訂時  未5   会議室での書類の置きっぱなし        改善の機会  随時        済

1. No.4の教育記録の保管期間について、規程への記載を整える作業に先行して着手する
2. No.5の会議室での書類の置きっぱなしについて、あらためて全社に向けた注意喚起を行う
3. 期限を過ぎたまま担当も決まっていないNo.1の退職者アカウントの削除に着手する
4. 期限までまだ日数が残っているNo.3の手順の整備を、先に完了させることに集中する

A社の営業部は、昨年の内部監査で『異動した社員の旧部署のアクセス権が削除されていない』という指摘を受けた。営業部は該当者の権限をその場で削除し、監査部門には『担当者に注意した』と回答して是正済みとした。ところが今年の監査でも、同じ内容の指摘が3件出された。調べると、異動の処理は人事システムで行われるが、アクセス権の削除は各部署の担当者が気づいたときに申請する運用になっており、手順書には削除の工程が書かれていない。リーダーであるあなたは、今年こそ再発を止めたいと考えている。このとき、最も適切なものはどれか。

1. 昨年注意したにもかかわらず再発しているので、旧権限の削除を怠った担当者を就業規則に基づいて処分する
2. 毎年出てしまう指摘なので、実務上やむを得ないものとして指摘の対象から外すよう監査部門へ強く依頼する
3. 監査の直前にまとめて権限の棚卸しと不要な権限の削除を行うことによって、翌年も指摘を受けないようにする
4. 異動処理の手順に旧権限の削除を必須の工程として組み込み、四半期ごとの棚卸しで実施状況を確認する

A社の営業部に対し、来週『顧客情報の持出しと保管』を対象範囲とする内部監査が実施されることになった。営業部では、正規の申請手続が煩雑だという理由で、一部の担当者が上長の承認を得ないまま顧客リストを個人契約のクラウドストレージへ保存している実態がある。営業部長は部内会議で『監査で評価が下がると困るので、その話は聞かれない限り触れないように』と指示した。リーダーであるあなたは、この指示のままでよいのか迷っている。監査後には是正計画の提出が求められる予定である。このとき、最も適切なものはどれか。

1. 実態と件数を隠さずに説明し、正規の手続が使いにくいという原因と是正計画を併せて示すよう営業部長に進言する
2. 部長の指示に従い、質問されたことにだけ形式的に答え、こちらからは実態に触れない
3. 監査日までに個人契約のクラウドストレージ上のファイルをすべて消し、そのような運用はなかったものとして説明する
4. 監査は形式的なものにすぎないので、求められた記録を提出するだけにとどめ、実態を知る担当者は同席の対象から外す

A社の内部監査で、監査人が業務部門の担当者に運用状況を聞き取り、あわせて裏づけとなる記録の有無を確認した。担当者はいずれの項目についても『規程どおり実施しています』と説明したが、記録の状況は項目によって差があった。監査人は、説明と記録を突き合わせて判断する必要があると考えている。確認の結果は次の表のとおりである。このとき、監査人の判断として最も適切なものはどれか。

確認事項                            現場の説明    記録の状況------------------------------------------------------------特権IDの利用は都度申請し承認を得る  実施している  申請書はあるが承認欄が空欄サーバ室の入退室を記録する          実施している  入退室記録あり委託先への情報の持出しを台帳に記録  実施している  台帳がなく担当者の記憶のみ従業者教育を年1回実施する           実施している  受講記録あり

1. 現場が実施していると説明している以上、記録の有無にかかわらず問題なしと判断する
2. 承認欄が空欄の申請書と、台帳がなく記憶に頼っている持出しについては、実施を確かめられないため監査証跡が不十分として指摘する
3. 記録が残っている入退室と教育についても、担当者の説明だけでは足りないため同様に指摘とする
4. 記録が残っていない項目については、監査人が担当者の説明を詳しく聞き取って台帳を新たに作成し、それをそのまま監査証跡として扱う

A社では情報セキュリティの内部監査を毎年実施し、監査報告書も作成している。しかし報告書は事務局で保管されるだけで、経営層に報告される場がなく、次年度の計画や予算にも反映されていない。その結果、毎年ほとんど同じ指摘が並び、現場からは『どうせ何も変わらない』という声が出ている。今年も監査が終わり、リーダーであるあなたは報告書を受け取ったところである。このとき、最も適切なものはどれか。

1. 監査結果やインシデントの発生状況、目標の達成度を経営層が見直すマネジメントレビューの場を設け、その決定を次年度の計画と資源配分に反映する
2. 監査結果は現場の運用の問題であるため、経営層へ報告する必要はないと判断する
3. 毎年同じ指摘が出るのは監査人の視点が固定しているためなので、監査の項目を毎年入れ替えることとし、同じ指摘が重複して出ることのないようにする
4. 監査は点検にあたる活動なので、監査を実施した時点でPDCAは一周したと考える

A社は取引先の要請を受けて、初めてISMS認証の取得を目指すことになった。事務局の担当者は『審査に通ることが目的だから、規程は他社の立派なものを参考にして理想的な内容にし、記録も審査用にきれいに作り直そう』と提案している。実際の運用は規程案よりも緩い部分があり、例えば入退室記録は毎回ではなく週単位でまとめて記入されている。審査では、規程と実際の運用の両方が確認される。リーダーであるあなたは、この進め方に懸念を持っている。このとき、最も適切なものはどれか。

1. 審査に通ることが目的なので、理想的な内容の規程を新たに作成して、記録も審査に向けて整えたうえで提出する
2. 規程は自社が実際に実行できる内容に整え、日々の運用で残る記録をそのまま証拠として提出できる状態にする
3. 規程と運用が食い違う部分については、審査の期間だけ規程どおりに運用して、審査が終わったら元の運用に戻す
4. 現場の運用に合わせるため規程を廃止し、その都度の判断に任せる形にする

A社は外部審査を受け、審査機関から報告書を受け取った。報告書では指摘が区分されており、区分ごとに求められる対応と期限が異なる。事務局の担当者は『件数が多いので、期限が明示されているものだけ対応すればよいのではないか』と話している。リーダーであるあなたは、区分の意味を整理したうえで対応方針を決めることにした。報告書の内容は次の表のとおりである。このとき、A社の対応として不適切なものはどれか。

区分          件数  求められる対応                        期限--------------------------------------------------------------重大な不適合  1     原因分析と是正計画の提出、是正の完了  30日以内に計画提出軽微な不適合  3     是正処置の実施                        次回審査まで改善の機会    5     対応は任意（推奨事項）                期限なし

1. 重大な不適合について、直ちに原因分析に着手し、30日以内に是正計画を提出できるよう準備する
2. 軽微な不適合3件についても是正が必要であるため、それぞれに担当者と社内の期限を割り当てる
3. 改善の機会5件は期限がなく対応も任意であるため、記録に残さず検討の対象にもしない
4. 是正処置が期限までに実施されたかを確認するフォローアップの仕組みを社内に設ける

A社の内部監査で『基幹システムの操作ログの保存期間が1週間しかなく、不正の疑いが生じても遡って追跡できない』という不適合の指摘が出た。是正にはストレージの増設と設定の変更が必要で、費用は数百万円と見積もられている。情報システム部は『今年度の予算に計上がないため着手できない』と回答し、是正期限まであと2か月となった。リーダーであるあなたは3回にわたり対応を依頼したが状況は変わらず、部門間の調整だけでは動かせないと感じている。このとき、最も適切なものはどれか。

1. 予算がない以上どうにもならないので、是正期限を延長し続け、状況は対応中として報告する
2. 監査部門に依頼して今回の指摘をいったん取り下げてもらい、予算が付く次年度になってから同じ内容で改めて指摘してもらうよう調整する
3. 情報システム部の判断としてリスクを受け入れることとし、リーダーの判断で是正済みとして処理する
4. 追跡できない場合に想定される影響と必要な資源、対応を見送る場合に誰がリスクを受容するのかを整理し、経営層へ上申して判断を仰ぐ