平成29年度 春期 情報セキュリティマネジメント試験 午前 問8
テクノロジ／セキュリティA 社は，情報システムの運用を B 社に委託している。当該情報システムで発生した情報セキュリティインシデントについての対応のうち，適切なものはどれか。
出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問8
- ア情報セキュリティインシデント管理を一元化するために，委託契約継続可否及び再発防止策の決定を B 社に任せた。
- イ情報セキュリティインシデントに迅速に対応するために，サービスレベル合意書（SLA）に緊急時のセキュリティ手続を記載せず，B 社の裁量に任せた。
- ウ情報セキュリティインシデントの発生を A 社及び B 社の関係者に迅速に連絡するために，あらかじめ定めた連絡経路に従って B 社から連絡した。
- エ迅速に対応するために，特定の情報セキュリティインシデントの一次対応においては，事前に定めた対応手順よりも，経験豊かな B 社担当者の判断を優先した。
正解：ウ
解説
委託先で発生したインシデントについては、委託元と委託先の関係者へあらかじめ定めた連絡経路に従って迅速に連絡することが適切な対応です。委託契約の継続可否や再発防止策の決定などの重要な意思決定を委託先に一任してはいけません。
選択肢ごとの解説
- ア誤り。委託契約継続可否や再発防止策の決定は委託元であるA社が主体的に行うべき事項であり、B社に一任すべきではありません。
- イ誤り。緊急時のセキュリティ手続はSLAにあらかじめ明記し、委託先の裁量任せにすべきではありません。
- ウ正しい。インシデント発生時は、あらかじめ定めた連絡経路に従って関係者に迅速に連絡することが適切です。
- エ誤り。一次対応は事前に定めた対応手順に従って行うべきであり、担当者個人の判断を優先させるべきではありません。