平成28年度 春期 応用情報技術者試験 午前 問38
テクノロジ／セキュリティ重要情報の取扱いを委託する場合における，委託元の情報セキュリティ管理のうち，適切なものはどれか。
出典：平成28年度 春期 応用情報技術者試験 午前 問38
- ア委託先が再委託を行うかどうかは委託先の判断に委ね，事前報告も不要とする。
- イ委託先の情報セキュリティ対策が確認できない場合は，短期間の業務に限定して委託する。
- ウ委託先の情報セキュリティ対策が適切かどうかは，契約開始前ではなく契約終了時に評価する。
- エ情報の安全管理に必要な事項を事前に確認し，それらの事項を盛り込んだ上で委託先との契約書を取り交わす。
正解：エ
解説
重要情報の取扱いを委託する場合，委託元は委託先に求める情報セキュリティ対策の内容を事前に明確化し，それを契約書に盛り込んで取り交わすことが基本的な管理策です。
選択肢ごとの解説
- ア誤り。再委託の可否や事前報告の要否を委託先任せにすると，委託元が情報の取扱い状況を把握できなくなり，適切な管理とはいえません。
- イ誤り。情報セキュリティ対策が確認できない委託先に対して業務期間を限定するだけでは，情報漏えいなどのリスクを十分に低減できません。
- ウ誤り。情報セキュリティ対策の適切性は契約開始前に評価すべきであり，契約終了時の評価では手遅れです。
- エ正しい。事前に必要な事項を確認し，それらを契約書に盛り込んで委託先と取り交わすことが適切な委託元の管理です。