重要度：A
問1：A社は顧客情報の入力業務をB社へ委託している。B社の作業ミスで顧客情報が漏えいした場合の、A社の立場に関する説明として最も適切なものはどれか。
- A：漏えいの原因はB社にあるため、A社は本人への対応を行う必要はない。
- B：委託契約を締結した時点で、個人データの管理責任はB社へ移転している。
- C：A社は委託元として監督責任を負い、法令・契約に応じた対応の責任も残る。
- D：A社の責任は、B社との契約を解除して委託をやめることに限定される。
【第1問：正解と解説】
正解：C
・A
原因が委託先でも、個人データの委託元には法令に基づく報告や本人対応が必要になる場合があり、対応不要とはならない。
・B
委託契約を締結しても、委託元に必要かつ適切な監督を行う責任が残る。事故時に委託元と委託先のどちらが報告・本人対応などを行うかは、法令、契約及び事実関係に応じて判断する。
・C
正しい。委託元は選定・契約・監督の責任を負い、事故時も法令・契約・事実関係に応じて報告や本人対応など自社に必要な対応を行う。
・D
契約解除は選択肢の一つにすぎず、事故対応や報告の義務はなくならない。
重要度：A
問2：C社の情報システム担当者は、新たな委託先の候補との打合せで、契約条件の変更を口頭で求められた。担当者の対応として最も適切なものはどれか。
- A：打合せの場でひとまず合意し、次回までに変更後の条件で覚書を作成すると約束する。
- B：その場では変更を確約せず、要望を持ち帰って契約担当部門と協議し、正式な手続で回答する。
- C：変更内容が軽微であると判断できる場合に限り、担当者の裁量で承諾する。
- D：口頭での変更は無効であると説明し、候補先からの要望自体を断る。
【第2問：正解と解説】
正解：B
・A
担当者に契約締結・変更の権限はなく、その場の合意は組織の手続に反する。
・B
正しい。要望の内容を確認することはできるが、担当者が権限を超えて変更を確約せず、契約担当部門の審査と正式な手続を経て回答する。
・C
軽微かどうかの判断も含めて、契約条件は担当者の裁量では決められない。
・D
口頭による合意が常に無効になるとは限らないため、一律に無効と説明するのは適切でない。要望を持ち帰り、権限のある部門が契約条件と正式な手続を確認する。
重要度：B
問3：D社から業務を受託しているE社が、業務の一部をさらにF社へ委託したいと考えている。契約では再委託にはD社の事前承認が必要と定められている。E社の対応として最も適切なものはどれか。
- A：F社はISMS認証を取得しているため、承認を得ずに委託して事後に報告する。
- B：F社と秘密保持契約を結べば、D社への承認申請は省略できると判断する。
- C：D社への申請は行うが、承認を待たずにF社での作業を先行して開始する。
- D：委託先の名称・業務範囲・管理体制を示してD社へ申請し、承認後に委託する。
【第3問：正解と解説】
正解：D
・A
認証の取得は判断材料の一つにすぎず、事前承認の手続は省略できない。
・B
F社との契約は必要な措置だが、D社の事前承認に代わるものではない。
・C
承認前の作業開始は無断の再委託と同じであり、契約違反に当たる。
・D
正しい。判断に必要な情報を示して事前に承認を得るのが定められた手続である。
重要度：B
問4：委託に伴い締結する秘密保持契約（NDA）に関する記述として、最も適切なものはどれか。
- A：対象情報の範囲や契約終了後の義務の存続についても定めておく。
- B：委託先がISMS認証を取得していれば、締結を省略して差し支えない。
- C：業務の開始後、最初の成果物の納品までに締結すれば足りる。
- D：口頭で秘密保持を求めていれば、書面の契約と同じ効力が期待できる。
【第4問：正解と解説】
正解：A
・A
正しい。範囲・目的外利用の禁止・終了後の存続期間などを明確に定める。
・B
認証は水準確認の材料であり、個別の契約上の義務に代わるものではない。
・C
情報の開示は業務開始前から生じるため、開示に先立って締結する。
・D
口頭では範囲や義務が不明確で、違反時の責任追及の根拠として弱い。
重要度：B
問5：多数の委託先を抱えるG社が、各委託先のセキュリティ対策の実施状況を確認する方法として、最も適切なものはどれか。
- A：全ての委託先に対して毎年、自社の監査要員による実地監査を一律に実施する。
- B：委託先のリスクの大きさに応じて、実地監査・報告書・認証確認を使い分ける。
- C：契約時に確認済みであるため、契約期間中の再確認は行わない方針とする。
- D：確認の方法は委託先に任せ、各社から届く自己申告をそのまま受け入れる。
【第5問：正解と解説】
正解：B
・A
全委託先へ同じ頻度・深度の実地監査を一律に行うと、リスクと確認負担が見合わない場合がある。高リスクの委託では実地監査を選び、その他は報告書、第三者認証、質問票などを組み合わせる。
・B
正しい。取り扱う情報の重要度などに応じて確認手段を組み合わせる。保証報告書を用いる場合は、対象サービス・期間・拠点、除外事項、例外・発見事項、利用者側で実施すべき管理策を確認して読む。
・C
委託先の体制は変化するため、契約時の確認だけでは監督にならない。
・D
自己申告のみでは客観性を欠き、水準の低下を見逃すおそれがある。
コメント