委外對象・教育・稽核

從事郵購業務的A公司，將顧客名冊的資料輸入作業委外給B公司。合約中訂有保密義務與安全管理措施，B公司也已取得ISMS認證。某天，B公司一名從業人員將作業用資料複製到私人電腦帶回家中，結果導致約5,000名顧客的姓名與住址從此外洩。B公司雖已致歉並說明經過，也對該名從業人員做出處分。身為A公司營業部門負責人（Leader）的你，須在公司內部會議上說明今後的因應方針。會議中出現「既然合約已對B公司課予義務，本公司就沒有必要出面」的意見。此時，關於A公司責任的思考方式，下列何者最為適當？

1. 即使委外處理個人資料，委託方的責任也不會因此消失，本人聯繫與是否公布的判斷應由A公司主導進行
2. 由於實際處理資訊的是B公司，向主管機關報告及再發防止對策的說明皆應單獨由B公司負責
3. A公司的責任已透過向B公司請求損害賠償而告完成
4. 既然委外合約已要求B公司負起安全管理義務，A公司便無需自行進行本人聯繫或結果公布

A公司總務部正著手重新選定薪資計算業務的委外對象。由於須交付員工的姓名、帳戶號碼、薪資金額，因此決定除價格外，也將資訊安全的觀點納入選定基準。候選有3家公司，已取得各公司對確認表的回覆。總務部長表示「無論如何都想壓低費用」，但身為負責人（Leader）的你整理回覆內容以製作判斷依據。回覆結果如下表所示。從資訊安全的觀點來看，下列何者判斷最為適當？

確認項目                          X社  Y社                     Z社------------------------------------------------------------------情報セキュリティ責任者の設置      有   有                      有従業者への年次教育                済   済                      未再委託の予定                      無   有（事前承認手続あり）  有（詳細は不明）監査（立入りまたは書面）の受入れ  可   可                      不可事故発生時の報告期限の明記        可   可                      不可提示価格                          高   中                      低

1. Y公司有意進行再委外，因此不論其他項目評估如何，僅憑這一點就應無條件將其排除於候選之外
2. X公司提出的價格在各家中最高，即使其他項目皆符合要求，仍應將其排除於選定候選之外
3. Z公司價格最低且已設有負責人，即便從業人員教育與接受稽核未達要求，也應以簽約後再改善為前提選擇該公司
4. Y公司對再委外訂有事前核准程序，也接受稽核，因此可在確認其對再委外對象的管理方式後，列為候選

A公司將核心系統的維護業務委外給B公司。合約書中訂有「進行再委外時，須事先取得委託方的書面核准」。某天下午，B公司承辦人致電A公司資訊安全負責人（Leader）的你，表示「由於業務繁忙人手不足，明天起想讓協力公司C公司協助部分作業，事情緊急，能否口頭同意即可」。C公司的作業需要連接至含有A公司顧客資料的維護環境。B公司說明「與C公司長期合作，應該沒問題」。此時你最應優先進行的是下列何者？

1. 跳過B公司，由A公司直接與C公司簽約，將此事整理成不屬於再委外的形式
2. 認為提出再委外要求的時點即已構成違反合約，因此立即終止與B公司的委外合約
3. 要求以書面提交再委外對象C公司的名稱與所在地、作業範圍與期間、所處理資訊的種類，以及C公司是否受到同等保密與安全管理義務的約束
4. 由於事情緊急，先以電話口頭當場同意，記載再委外對象名稱與作業範圍的書面文件則於作業開始後再一併收取

A公司決定將客服窗口業務新委外給D公司，身為負責人（Leader）的你確認了法務部轉來的合約書草案。草案中訂有保密義務、禁止目的外使用、再委外事前核准、事故發生時的通報義務。另一方面，卻找不到契約終止時委託資料返還或刪除的規定，以及A公司確認執行狀況所需之稽核受理的規定。法務部承辦人表示「這是對方的標準合約書，恐怕難以新增條款」。委外業務將處理顧客的姓名與聯絡方式。此時，你最適當的因應方式為何？

1. 由於是對方的標準合約書，維持所示內容不變並簽約，待契約終止時再以口頭方式要求刪除資料
2. 在簽約前，透過備忘錄等方式協商，新增契約終止時資料返還或刪除、以及接受書面或實地確認的規定
3. 既然條款有缺，可認為風險較大，應取消此次委外，改為全部業務由自家公司執行
4. 由於稽核受理實務上用不到，將其從條款中省略，僅要求對方以備忘錄新增契約終止時資料返還或刪除的規定

A公司持續採行以下運作方式：每年1次向委外對象寄送檢核表，要求其回覆執行狀況，並一併要求提交作為佐證的證明文件。今年資料輸入業務的委外對象B公司也回覆了，身為負責人（Leader）的你確認內容後發現，全部項目的回覆皆為「已執行」。但要求提交的證明文件中，唯獨從業人員年度教育訓練的相關文件並未提交。B公司承辦人於年度中途已交接，似乎未能從前任處獲得充分交接。回覆與證明文件的狀況如下表所示。此時最應優先進行的是下列何者？

確認項目                  B社の回答       証跡の提出----------------------------------------------------従業者への年次教育の実施  実施            未提出アクセス権の定期棚卸し    実施            提出済再委託の有無              無              該当なし委託データの保管場所      社内サーバのみ  提出済事故時の連絡先の更新      更新済          提出済

1. 由於回覆再委外情況為『無』，因此從下個年度的合約中刪除有關再委外的條款
2. 由於回覆的可信度令人存疑，未經事先聯繫即實施實地檢查，當場重新確認全部項目
3. 要求對方於期限內提交已執行教育訓練的佐證，例如受訓紀錄等證明文件
4. 由於回覆全部為『已執行』，直接保存為紀錄，在下個年度之前不再進行額外確認

A公司人事部正在研議，將以全體員工為對象的職場環境公司內部問卷之彙整與分析，委外給外部的B公司。提供給B公司的資料中，包含員工姓名、所屬單位、回答內容。人事部承辦人向身為負責人（Leader）的你諮詢：「既然要將資料交給公司外部，是不是必須向全體員工個別取得同意？」在委外時，合約中將訂定保密與安全管理措施，並指定作業地點與保管方式。此時，下列何者為最適當的說明？

1. 由於委外對象同樣受個人資料保護法規範，交付資料後的管理全數屬於委外對象的責任，委託方不負監督義務
2. 因委外而交付個人資料並不屬於第三方提供，不需要取得本人同意，但委託方負有監督委外對象的義務
3. 未經去識別化或匿名化處理的個人資料，在任何情況下都不得提供給外部
4. 即使是委外，也屬於第三方提供，若未個別取得全體員工的同意，便無法委外

A公司營業部使用雲端檔案共用服務（SaaS）來共用報價單與提案書。該服務業者已取得ISMS認證，資料中心的管理體制也已公開。某天，往來客戶聯絡表示「貴公司的報價單在網路搜尋中處於可被看見的狀態」。經調查發現，承辦人在建立共用連結時，以預設狀態發布連結，設定為『知道連結的所有人皆可瀏覽』，該連結隨後遭外部部落格轉載。營業部承辦人主張「這是業者的服務出了問題，應要求業者查明原因並防止再發」。此時最適當的因應方式為何？

1. 認為業者所取得認證的適用範圍存在缺失，向認證機構提出正式的書面申訴
2. 由於原因出在使用雲端服務本身，應全公司禁止使用雲端服務，改回公司內部伺服器
3. 使用SaaS時使用者一方不負任何責任，因此應向業者請求損害賠償並辦理相關程序
4. 公開範圍的設定屬於使用者的責任範圍，因此應檢視A公司這邊的預設設定、連結建立的權限，以及檢查的運作方式

A公司在與物流委外對象E公司續約之際，將合約條款整理成一覽表。整理結果顯示，大部分必要條款皆已訂定，但也有部分條款存在缺漏或限制。E公司處理A公司顧客的姓名與送貨地址，且計畫將部分配送作業再委外給協力公司。身為負責人（Leader）的你，正依此一覽表整理續約協商時應要求的事項。條款整理結果如下表所示。A公司的因應中，下列何者不恰當？

条項                        定めの有無  内容の要点--------------------------------------------------秘密保持義務                有          契約終了後3年間存続目的外利用の禁止            有          委託業務以外での利用を禁止再委託                      有          事前の書面による承認が必要監査の受入れ                有          書面での確認のみ。立入りは不可事故発生時の報告            有          発覚後72時間以内に報告終了時のデータの返却・削除  無          定めなし

1. 由於發現後72小時內通報恐使初動因應延遲，應考慮另外訂定更短的第一報期限
2. 既然已訂有保密義務，關於再委外對象只要交由委外對象自行管理即可，A公司無須掌握再委外對象的名稱或作業範圍
3. 由於契約終止時的資料處理未有規定，要求在續約後的合約書中新增返還或刪除的範圍與期限，以及完成報告書的提交
4. 由於不允許實地查核，因此應事先具體訂定書面確認時須提交的證明文件種類

星期五下午6點，A公司資訊安全負責人（Leader）的你，手機收到委外對象B公司承辦人的來電。內容是：「作業用的筆記型電腦不見了，也有可能是遺留在公司內，還無法確定是否真的遺失」。據稱該電腦中可能儲存了A公司交付的顧客資料作業用檔案。B公司承辦人表示「等情況明朗後再正式報告」。A公司合約規定，包括可能發生事故在內，須於發現後2小時內提出第一報，受理窗口為資訊系統部門的資安事件（Incident）窗口。此時最應優先進行的是下列何者？

1. 在事實確定之前，指示B公司承辦人不得告知公司內外任何人
2. 由於遺失尚未確定，決定等到星期一早上再向上司報告，在此之前不特別聯繫，僅靜觀其變
3. 立即向自家公司的資安事件窗口提出第一報，同時要求B公司依規定格式提交第一報並確認電腦內的資訊範圍
4. 不等到週一，親自前往B公司辦公室，與承辦人一同尋找該電腦

A公司委外給B公司長達半年的促銷活動事務局業務已經結束。此業務處理了約2萬名應徵者的姓名、住址、電話號碼。B公司寄來報告郵件表示「業務已全部完成，所交付的資料將依本公司規定妥善處理」。合約中訂有契約終止時須返還或刪除委外資料，並提交完成報告書的規定。向B公司確認後得知，除作業用資料外，另有每日備份保存於其他系統中。此時A公司最適當的因應方式為何？

1. 是否已完成刪除，等到下年度的內部稽核再確認即可，目前僅保留收到報告郵件的紀錄
2. 確認備份與作業用複本也一併納入範圍後，訂定期限要求提交刪除完成報告書
3. 由於B公司已取得認證值得信賴，因此不要求提交刪除完成報告書，直接終止委外
4. 備份是B公司為自身營運目的而製作，因此不需要納入刪除範圍

A公司首次實施定向式攻擊郵件演練。將偽裝成業務聯絡的演練郵件寄給全體員工後，開封率為22%，向通報窗口通報的比例僅有6%。在分享結果的會議上，某部門主管提出要求：「請提供開啟郵件員工的姓名清單，我要點名指導，並反映在人事考核上」。身為負責人（Leader）的你，認為有必要重新說明此項演練的目的。演練預計今後每年持續實施1次。此時，你最適當的因應方式為何？

1. 依要求將開啟郵件員工的姓名清單提供給部門主管，協助部門主管進行個別指導並反映於人事考核
2. 下次起將演練郵件的文字內容改得容易辨識，藉此調降開封率
3. 由於開封率偏高的結果會打擊公司內部士氣，因此不對外公布結果，僅由承辦人保管
4. 不提供姓名，改以部門單位的趨勢分享結果，並以開封率較高的手法為題材，推動報告行為的養成教育

A公司實施了第2次定向式攻擊郵件演練，並依部門彙整結果。演練郵件內容偽裝成業務聯絡，同時測量開封與通報兩項指標。通報率為通報件數占發送件數的比例，初報時間則為第一則通報送達窗口所需的時間。全公司訂有「開封率15%以下」的目標，但身為負責人（Leader）的你認為不應僅憑開封率來判斷好壞。彙整結果如下表所示。此時，對結果的解讀何者最為適當？

部門    送信数  開封数  開封率  報告数  報告率  初報までの時間--------------------------------------------------------------営業部  120     24      20%     40      33%     12分総務部  40      4       10%     2       5%      180分製造部  90      18      20%     27      30%     15分開発部  60      6       10%     3       5%      150分

1. 全公司開封率已低於目標的15%，通報率也有所改善，因此決定今後全面取消演練
2. 總務部與開發部雖然開封率較低，但通報率也偏低、初報時間也較長，應優先加強通報窗口與通報流程的周知
3. 開封率最低的總務部可視為狀態最佳，因此應評估其他部門應效法總務部的做法
4. 營業部的開封率最高，因此應對營業部承辦人進行包含處分在內的再教育

A公司每年以電子學習（e-learning）方式實施資訊安全教育，對象僅限正式員工。實際上，負責櫃檯業務的派遣員工，以及常駐公司內部進行開發的委外從業人員，也處於可連接公司內部網路並瀏覽顧客資料的狀態。日前的內部稽核指出「部分接觸資訊者未列入教育對象」。人事部則提出意見：「派遣員工與委外從業人員並非本公司員工，教育應是派遣公司或委外公司的責任吧？」身為負責人（Leader）的你，須提出改正方針。此時，下列何者最為適當？

1. 對派遣員工不實施自家公司的教育，改為僅縮減其可瀏覽的資訊範圍作為因應
2. 由於委外從業人員已依委外合約負有保密義務，因此判斷自家公司無需另行實施教育
3. 由於雇用形態不同，仍將其排除於對象之外，並以口頭方式告知教育應交由派遣公司或委外公司負責
4. 依接觸自家公司資訊的範圍，對派遣員工與委外從業人員也實施依自家公司規範進行的教育與切結

A公司修訂了資訊攜出相關規範。修訂後，原則上禁止以USB隨身碟（含私人物品）攜出資料，對外傳送檔案改為須經指定的雲端服務、並取得上級主管的申請與核准。事務局已將修訂版規範刊登於內部網路的規範集，並訂定次月1日為施行日。然而在現場負責人會議上，卻接連出現「不知道已經刊登」「從未見過新的申請畫面」等聲音。距離施行日還有3週。此時，最應優先進行的是下列何者？

1. 既然已刊登於規範集並對外公開，周知即已完成，不需要再採取其他額外因應措施
2. 既然發現現場並未掌握此事，決定取消此次規範修訂，恢復為原本的運作方式
3. 在施行日之前，向相關對象傳達變更重點、施行日與新的申請流程，並安排確認理解程度的場合
4. 等施行日過後，先盤查違反規範者，再對相關人員個別進行指導與告誡

身為A公司負責人（Leader）的你，將本年度資訊安全教育的年度計畫與實績整理成一覽表。整理後發現，有些項目已確實執行，有些項目則根本不存在計畫。系統管理者掌管特權ID，常駐委外從業人員則處於可瀏覽顧客資料的立場。在擬定下年度計畫時，須在有限的工時中決定優先著手的項目。整理結果如下表所示。此時，下年度計畫的檢討方向，下列何者最為適當？

対象                時期           方法         受講率------------------------------------------------------新入社員            4月（配属前）  集合研修     100%中途入社者          随時           eラーニング  100%一般社員            10月           eラーニング  97%管理職              10月           集合研修     88%システム管理者      未実施         なし         なし派遣・委託先従業者  未実施         なし         なし

1. 將一般員工教育由每年1次增加為每年2次，列為下年度教育計畫的最優先課題
2. 優先將目前完全沒有計畫的系統管理者，以及派遣・委外從業人員的教育，納入下年度計畫
3. 新進員工的受訓率已達100%並已穩定，因此下年度取消新進員工的集體研習
4. 廢止受訓率最低的管理職集體研習，將管理職的教育全面整合為電子學習

A公司在每年教育的最後階段實施理解程度測驗，今年也依領域彙整了全公司的結果。整體平均正確率較去年提升了2個百分點。但依領域檢視卻發現差異甚大，特定領域持續維持偏低水準。現場方面，關於私人USB隨身碟攜出的驚險狀況（Near Miss）仍持續有人通報。身為負責人（Leader）的你，正在分析結果以反映於下年度的教育計畫。彙整結果如下表所示。此時，最應優先進行的是下列何者？

分野                    今年の正答率  前年の正答率--------------------------------------------------パスワードの管理        92%           90%不審メールの報告先      88%           60%情報の持出し申請の手順  41%           44%記録媒体の廃棄          78%           75%SNSでの発信             85%           83%

1. 由於可疑郵件通報對象的正確率大幅提升，決定該領域的教育與題目自下年度起取消，將時間轉移至其他領域
2. 確認正確率持續偏低的攜出申請流程項目，是否是教材說明不足，或實際申請程序本身不易使用
3. 將正確率偏低領域的題目從下年度測驗中剔除，以拉高整體平均正確率
4. 由於整體平均正確率較去年提升，下年度仍沿用相同教材與相同架構實施

A公司已製作以勒索軟體感染為情境的資安事件（Incident）應變程序書，但製作完成後半年間，一次演練也未實施過。程序書中記載了初動聯絡對象、網路阻斷的決策者、對外公布的決策者等內容。若要實際停止業務系統進行實動演練，對生產線影響甚大而難以執行。曾考慮委外辦理演練，但發現本年度預算難以負擔。身為負責人（Leader）的你，仍希望確認此程序書是否真正可用。此時，下列何者最為適當？

1. 由於單純朗讀程序書並無意義，因此在爭取到預算之前暫不實施演練，等待日後進行停止正式業務系統的實動演練
2. 演練僅由資訊系統部門實施即已足夠，業務部門不需要參與
3. 發放假設情境給相關人員集合，逐一確認各自接下來應採取的行動與判斷，實施紙上演練，藉此找出聯絡方式過時或決策者缺漏等問題
4. 既然無法進行實動演練，就不實施演練，改以將程序書發放給全體人員替代

A公司的資訊安全教育受訓紀錄，一直由承辦人以個人電腦上的試算表檔案自行管理。該承辦人異動整理檔案時，發現過去2年份的受訓紀錄已不存在。恰巧此時，委託方F公司提出要求：「請提交能顯示貴公司從業人員教育實施狀況的紀錄」。教育本身每年皆有實施，當時使用的教材與通知郵件仍然保留。身為負責人（Leader）的你，必須同時處理此次的提交要求，以及今後的管理方式。此時，下列何者最為適當？

1. 雖然紀錄不存在，但教育本身每年皆有實施，因此只需以口頭說明已實施即可
2. 由於紀錄是為稽核或委託方確認之用，因此每次接到要求時再彙整製作即可
3. 以規範訂定紀錄的保管負責人、保管地點、保管期間，改為不依賴個人管理的機制，同時將現存範圍的紀錄與再發防止對策提交給F公司
4. 依當時受訓者與相關人員的記憶，重新製作過去2年份的受訓名單，作為當時實際的受訓紀錄提交給F公司，今後也採用同樣的方式因應

A公司連續3年實施定向式攻擊郵件演練，每次都將結果反映於教育之中。首次演練時開啟郵件的員工眾多，通報也幾乎沒有，因此當時著重於通報窗口的周知，以及說明通報不會被究責這一點。除演練外，A公司也每月記錄員工實際收到並向窗口通報可疑郵件的件數平均值。在下次委員會上，身為負責人（Leader）的你須向經營層報告3年間的變化趨勢。變化趨勢如下表所示。此時，報告內容何者最為適當？

回     開封率  報告率  初報までの時間  実際の不審メール報告-----------------------------------------------------------第1回  22%     6%      120分           月2件第2回  15%     18%     45分            月9件第3回  12%     34%     18分            月21件

1. 由於唯一值得評估的指標是開封率，應報告在開封率降至10%以下之前，尚未看到成果
2. 由於通報率雖有提升，但開封率尚未降至0%，應報告3年來的訓練並無效果
3. 由於員工實際收到並通報可疑郵件的件數持續增加，應報告員工的資訊安全意識反而正在下降
4. 應報告除開封率下降外，通報率持續上升、初報時間持續縮短，且實際可疑郵件的通報件數也在增加，顯示報告行為正逐漸養成

A公司每年於資訊安全委員會上，由身為負責人（Leader）的你報告教育的實施狀況。過去的報告多以「已實施電子學習，受訓率為97%」等執行事實為主，經營層每次都會提出「這樣本公司真的變強了嗎？」的疑問。下年度計畫將部分演練委外辦理，並重新製作理解程度偏低領域的教材，為此需要編列預算。手邊已備妥受訓率之外，理解程度測驗的領域別正確率、演練的通報率與初報時間、資安事件（Incident）件數與種類的變化趨勢等資料。此時，於委員會上的報告方式，下列何者最為適當？

1. 由於經營層不需要瑣碎內容，不觸及指標的變化趨勢、下年度計畫或所需預算，僅報告『未發生重大問題』這項結論
2. 除受訓率外，一併呈現理解程度測驗的領域別正確率、演練的通報率與初報時間、資安事件的件數與種類變化趨勢，並提出下一步應變更的內容與所需資源
3. 由於教育成效無法以數字表示，僅報告實施次數與參加人數
4. 僅呈現受訓率，並說明未達100%的原因在於現場意識偏低

A公司每年實施1次資訊安全內部稽核。今年的稽核對象包含由資訊系統部自行設計並營運的存取權限管理機制。在決定稽核承辦人的會議上，事務局提出方案：「最了解此機制的是資訊系統部，讓該部門的主任負責稽核最有效率」。該名主任本人也表示「以我來說，能在短時間內完成確認」。身為負責人（Leader）的你，對此方案抱持疑慮。此時，下列何者最為適當？

1. 內部稽核只是形式性的活動，此次可不實施，改以認證機構的外部審查結果替代即可
2. 獨立性僅是形式上的要件，因此依事務局方案實施即可，只要在稽核報告書中記載已留意獨立性即足夠
3. 由於最熟悉機制的承辦人稽核較容易發現缺失，因此依事務局方案，由資訊系統部主任負責
4. 由不隸屬受稽核部門者、稽核部門，或外部專家擔任稽核人員，資訊系統部則轉為提供說明與證據的一方

A公司自今年起開始實施資訊安全內部稽核，由總務部承辦人被指派為稽核人員。該承辦人表示「打算先逐一走訪各部門，當場列出感到在意的地方」。公司內部訂有資訊安全規範與各種程序書，與委外對象的合約書中也訂有安全管理相關條款。稽核結果將向經營層報告，若有指摘事項則要求改正。身為負責人（Leader）的你，認為這種進行方式恐怕無法讓受稽核部門信服。此時，最應優先進行的是下列何者？

1. 取得其他公司的稽核報告書，將其中所寫的指摘事項原封不動採用為自家公司的指摘
2. 逐一走訪各部門列出注意到的事項，從中挑選看起來重要的部分作為指摘
3. 事先訂定稽核的對象範圍，以及用以判斷良窳所依據的稽核基準（自家公司規範、程序書、合約條款、法令）
4. 由於事先告知會讓對方預作準備，因此不通知稽核對象範圍與日程，採取突擊方式進行，僅就當場所見提出指摘

A公司以一覽表管理內部稽核的指摘事項，每月確認分類、改正期限與進度。分類分為未符合規範或要求事項的「不符合」，以及雖非違反但可進一步改善的「改善機會」兩種。今天是10月20日，身為負責人（Leader）的你正為進度會議整理現況。有部分項目改正進度遲緩，其中甚至有已超過期限者。目前狀況如下表所示。此時，最應優先著手的是下列何者？

No  指摘事項                            区分        是正期限    状況--------------------------------------------------------------------1   退職者のアカウントが3件残存         不適合      9/30        未（担当が未定）2   委託先の年次報告書が未読のまま保管  不適合      11/15       対応中3   異動時の旧権限の削除手順が未整備    不適合      11/30       対応中4   教育記録の保管期間が規程に未記載    改善の機会  次回改訂時  未5   会議室での書類の置きっぱなし        改善の機会  随時        済

1. 集中先完成期限尚有餘裕的No.3程序整備工作
2. 著手處理已逾期且尚未指定負責人的No.1離職員工帳號刪除事項
3. 針對No.5會議室文件擺放未收拾的問題，再次向全公司發出提醒
4. 優先著手整理No.4教育紀錄保管期間的規範記載事項

A公司營業部在去年的內部稽核中，被指出「異動員工原部門的存取權限未被刪除」。營業部當場刪除了該員工的權限，並向稽核部門回覆「已對承辦人提出警告」，視為已完成改正。然而今年的稽核，卻再度出現3件相同內容的指摘。經調查發現，異動作業雖在人事系統中辦理，但存取權限的刪除卻是由各部門承辦人在察覺時才提出申請，程序書中並未記載刪除這道工序。身為負責人（Leader）的你，希望今年務必阻止再次發生。此時，下列何者最為適當？

1. 既然去年已提出警告仍再度發生，應依就業規則對怠於刪除原有權限的承辦人進行處分
2. 在稽核前夕集中進行權限盤點與刪除不需要的權限，以避免翌年再度受到指摘
3. 由於每年皆會出現此項指摘，應強力要求稽核部門將其視為實務上難以避免而排除於指摘對象之外
4. 將原有權限的刪除納入異動處理程序中作為必要工序，並以每季盤點確認執行狀況

下週將對A公司營業部實施以「顧客資訊的攜出與保管」為對象範圍的內部稽核。營業部的實際情況是：由於正規申請程序繁瑣，部分承辦人未取得上級主管核准，便將顧客名單存放於個人契約的雲端儲存空間。營業部長在部內會議中指示：「稽核評價下降會很麻煩，除非被問到，否則不要主動提起」。身為負責人（Leader）的你，正猶豫是否應依此指示行事。稽核後預計須提交改正計畫。此時，最適當的做法為何？

1. 不隱瞞實際情況與件數，如實說明，並向營業部長建議一併呈現正規程序不易使用這項原因與改正計畫
2. 在稽核當天之前將個人契約雲端儲存空間上的檔案全部刪除，並說明從未有過此種運作方式
3. 遵循部長指示，僅就被問及的部分做形式上的回答，不主動提及實際狀況
4. 稽核不過是形式，因此僅提交所要求的紀錄即可，了解實際狀況的承辦人不需列席

在A公司的內部稽核中，稽核人員向業務部門承辦人詢問運作狀況，並一併確認佐證紀錄是否存在。承辦人針對各項目皆表示「均依規範執行」，但紀錄的留存狀況因項目而異。稽核人員認為必須將說明與紀錄相互核對後才能做出判斷。確認結果如下表所示。此時，稽核人員的判斷何者最為適當？

確認事項                            現場の説明    記録の状況------------------------------------------------------------特権IDの利用は都度申請し承認を得る  実施している  申請書はあるが承認欄が空欄サーバ室の入退室を記録する          実施している  入退室記録あり委託先への情報の持出しを台帳に記録  実施している  台帳がなく担当者の記憶のみ従業者教育を年1回実施する           実施している  受講記録あり

1. 對於未留存紀錄的項目，由稽核人員詳細聽取承辦人說明後重新製作台帳，並直接將其作為稽核證跡
2. 既然現場已表示有執行，不論紀錄是否存在，皆判斷為無問題
3. 核准欄位空白的申請書，以及沒有台帳、僅憑記憶的攜出紀錄，因無法確認是否確實執行，應以稽核證跡不足為由提出指摘
4. 即使是已留存紀錄的出入紀錄與教育項目，僅憑承辦人的說明仍不足以佐證，應同樣提出指摘

A公司每年實施資訊安全內部稽核，也會製作稽核報告書。然而報告書僅由事務局保管，並無向經營層報告的場合，也未反映於下年度的計畫與預算之中。結果每年幾乎出現相同的指摘事項，現場也出現「反正什麼都不會改變」的聲音。今年的稽核也已結束，身為負責人（Leader）的你正好收到報告書。此時，最適當的做法為何？

1. 判斷稽核結果屬於現場運作上的問題，不需要向經營層報告
2. 稽核屬於檢查（Check）性質的活動，因此在完成稽核的時點即可視為PDCA已完成一輪循環
3. 認為每年出現相同指摘是因為稽核人員的觀點固定不變，因此決定每年更換稽核項目，避免重複出現相同的指摘
4. 設置由經營層審視稽核結果、資安事件發生狀況、目標達成度的管理審查（Management Review）場合，並將其決議反映於下年度的計畫與資源分配

A公司應往來客戶要求，決定首次爭取ISMS認證。事務局承辦人提出方案：「既然目標是通過審查，規範就參考其他公司完備的範本製作成理想的內容，紀錄也為了審查重新整理得漂漂亮亮」。實際運作上有部分比規範草案來得寬鬆，例如出入紀錄並非每次記錄，而是以週為單位彙整填寫。審查將同時確認規範與實際運作兩者。身為負責人（Leader）的你，對此進行方式抱持疑慮。此時，最適當的做法為何？

1. 為配合現場運作而廢止規範，改為每次視情況個別判斷
2. 將規範調整為自家公司實際可執行的內容，使日常運作中留下的紀錄能直接作為證據提交
3. 對於規範與運作不一致之處，僅在審查期間依規範運作，審查結束後恢復原本的運作方式
4. 既然目標是通過審查，就重新製作內容理想的規範，紀錄也為審查重新整理後再提交

A公司接受外部審查後，收到審查機構的報告書。報告書中的指摘事項已分類，各分類所要求的因應方式與期限也不相同。事務局承辦人表示：「件數很多，是不是只要處理有明訂期限的項目就好？」身為負責人（Leader）的你，決定先整理各分類的意涵後再訂定因應方針。報告書內容如下表所示。此時，A公司的因應方式中，下列何者不恰當？

区分          件数  求められる対応                        期限--------------------------------------------------------------重大な不適合  1     原因分析と是正計画の提出、是正の完了  30日以内に計画提出軽微な不適合  3     是正処置の実施                        次回審査まで改善の機会    5     対応は任意（推奨事項）                期限なし

1. 5件改善機會由於沒有期限、因應與否亦屬任意，因此不予記錄，也不列入檢討對象
2. 在公司內部建立追蹤機制，以確認改正措施是否於期限內完成
3. 3件輕微不符合事項也需要改正，因此分別指派負責人與公司內部期限
4. 針對重大不符合事項，立即著手原因分析，準備於30天內提交改正計畫

A公司的內部稽核指出一項不符合事項：「核心系統的操作紀錄僅保存1週，一旦產生不當行為的疑慮，便無法回溯追查」。改正需要增設儲存設備並變更設定，預估費用達數百萬日圓。資訊系統部回覆「本年度預算並未編列此項目，無法著手處理」，距離改正期限僅剩2個月。身為負責人（Leader）的你已3度請求因應，狀況卻始終未變，深感僅靠部門間協調已無法推動。此時，最適當的做法為何？

1. 由資訊系統部自行判斷接受此項風險，並以負責人（Leader）的判斷視為已完成改正處理
2. 請稽核部門暫時撤回此次指摘，協調待下年度編列預算後，再以相同內容重新提出指摘
3. 既然沒有預算也無可奈何，持續延長改正期限，並回報狀況為處理中
4. 整理無法追溯時可能造成的影響、所需資源，以及若延後因應時應由誰承擔風險，向經營層上報並請求裁示