重要度：A 論点：委託元の責任
問1：情報処理を外部の事業者へ委託しても、委託元は情報や業務の重要度に応じて委託先の対策状況を確認し、選定から契約・監督・終了時の処理まで継続的に管理する必要がある。
解答を見る
○：委託しても、委託元には委託先を必要かつ適切に監督する責任が残る。委託先で漏えいが起きた場合も、法令・契約・事実関係に応じて、報告、本人対応、被害拡大防止など自社に必要な対応を行う。だからこそ選定前の確認、契約、委託中の監督、終了時の処理までの一連の委託先管理が必要になる。
重要度：A 論点：選定基準
問2：情報セキュリティ上重要な業務の委託先は、料金が最も安いことだけを基準に選定すればよい。
解答を見る
×：料金だけでなく、管理体制や規程の整備状況、教育の実施状況、事故対応の体制、再委託の方針、事業継続の備え、過去の事故の有無とその際の対応・原因分析・改善の状況などを、あらかじめ定めた選定基準に照らして評価する。
重要度：B 論点：契約の要求事項
問3：委託契約では、秘密保持、アクセスできる者の限定、事故発生時の報告、再委託の条件、監査権、契約終了時のデータの返却・消去などの条件を必要に応じて定める。
解答を見る
○：要求事項を契約で明確にすることで、委託元と委託先の役割と責任、報告と確認の方法を共有できる。秘密保持については、対象情報の範囲や契約終了後の義務の存続期間まで定めておく。
重要度：B 論点：再委託の承認
問4：委託先は、委託元へ知らせることなく、機密情報を扱う業務を任意の事業者へ再委託できる。
解答を見る
×：再委託の可否や、通知・事前承認などの手続を契約で定め、取り扱う情報や業務のリスクに応じて、再委託先の名称、業務範囲、管理体制などを確認する。必要な手続は法令や契約によって異なるが、委託元へ知らせず任意の事業者へ再委託する運用は適切でない。
重要度：B 論点：事故報告
問5：委託先での情報セキュリティ事故に備え、報告の対象、連絡先、報告の期限、初報に含める事項などを契約や合意文書で事前に定めておくことが望ましい。
解答を見る
○：報告条件が曖昧だと、委託元の初動や法令・契約上の対応が遅れる。契約で定めた報告対象に該当する疑いがある段階で、原因の確定を待たず速やかに初報し、その後に続報・確報を行う流れを定めておく。報告期限、連絡先、初報に含める最低限の情報及び続報の方法は、事象の重大度に応じて具体化する。
コメント