令和2年度 ITパスポート試験 問84
テクノロジ／セキュリティISMS の情報セキュリティリスク対応における，人的資源に関するセキュリティ管理策の記述として，適切でないものはどれか。
出典：令和2年度 ITパスポート試験 問84
- ア雇用する候補者全員に対する経歴などの確認は，関連する法令，規制及び倫理に従って行う。
- イ情報セキュリティ違反を犯した従業員に対する正式な懲戒手続を定めて，周知する。
- ウ組織の確立された方針及び手順に従った情報セキュリティの適用を自社の全ての従業員に要求するが，業務を委託している他社には要求しないようにする。
- エ退職する従業員に対し，退職後も有効な情報セキュリティに関する責任事項及び義務を定めてその従業員に伝え，退職後もそれを守らせる。
正解：ウ
解説
情報セキュリティの方針や手順の適用は，自社の従業員だけでなく，業務を委託している他社の人員にも求める必要があります。委託先から情報が漏れれば，自社の責任が問われるからです。したがって，委託先には要求しないとする記述が適切でないものです。他の三つは，採用時の確認，違反者への懲戒手続，退職後の守秘義務の周知といった，人的資源のセキュリティ管理策として適切な内容です。
選択肢ごとの解説
- ア誤り。採用時に候補者の経歴などを法令や倫理に従って確認することは，適切な管理策です。
- イ誤り。違反した従業員への懲戒手続をあらかじめ定めて周知することは，適切な管理策です。
- ウ正しい。この記述が「適切でないもの」に当たります。委託先にもセキュリティの適用を求めるべきで，要求しないのは不適切です。
- エ誤り。退職後も有効な責任事項や義務（守秘義務など）を伝えて守らせることは，適切な管理策です。