重要度：B
問6：H社は委託先から毎月、セキュリティ対策の実施状況の報告を受けている。この報告の取扱いとして最も適切なものはどれか。
- A：報告の受領をもって監督は完了するため、記録して保管しておけばよい。
- B：報告の作成は委託先の負担になるため、報告の頻度を年1回へ減らす。
- C：内容を要求水準と照らして評価し、差異があれば是正を求めて経過を確認する。
- D：内容の確認と保管は毎月行い、差異への是正の要求は次回の契約更新時にまとめて行う。
【第6問：正解と解説】
正解：C
・A
受領だけでは監督にならない。評価と是正の要求まで行って機能する。
・B
頻度は取り扱う情報のリスクに応じて決めるものであり、負担軽減だけを理由に減らさない。
・C
正しい。報告を評価し、必要な是正につなげることが委託中の監督である。
・D
是正を更新時まで先送りすると、その間の管理水準の低下や事故の予兆を放置することになる。
重要度：B
問7：委託先のB社から、預けている顧客データへの不正アクセスの疑いがあるという第一報が委託元のA社へ入った。A社の対応として最も適切なものはどれか。
- A：事実と影響の確認を進めつつ、報告や本人対応の役割分担をB社と決める。
- B：B社の調査が完了して原因が確定するまで、A社としての対応は開始しない。
- C：事故はB社の管理範囲で起きたため、報告や本人対応もB社の判断に任せる。
- D：疑いの段階で顧客全員への通知を最優先し、事実の確認はその後に行う。
【第7問：正解と解説】
正解：A
・A
正しい。被害拡大の防止と事実確認を並行し、法令、契約及び事実関係に照らして、報告、本人対応、原因調査及び再発防止の役割分担をB社と確認する。A社も自社に必要な初動を開始する。
・B
原因の確定を待つと、法令上の報告期限や被害拡大防止の初動に間に合わない。
・C
委託先で事故が発生した場合でも、委託元には必要かつ適切な監督を行い、自社に適用される法令・契約に応じて対応する責任がある。対応を全面的にB社の判断だけへ任せるのは適切でない。
・D
本人通知が必要か、対象者、時期及び内容は、法令と把握した事実に基づいて判断する。疑いの段階で顧客全員への通知だけを最優先するのではなく、被害拡大防止と事実確認を並行して進める。
重要度：C
問8：委託契約において、委託先の従業員に対する情報セキュリティ教育について定める内容として、最も適切なものはどれか。
- A：教育は委託元が直接、委託先の全従業員に対して実施することとする。
- B：教育の実施は契約で義務付けるが、内容と頻度の要件は示さず委託先に委ねる。
- C：教育の実施は推奨事項とし、契約上の義務とはしないこととする。
- D：委託業務の従事者に契約で定めた内容・頻度の教育を実施させ、記録と報告で確認する。
【第8問：正解と解説】
正解：D
・A
委託元が教材提供や合同研修を行う方法もあり得るが、委託先の全従業員へ一律に直接実施する必要はない。委託業務の従事者に必要な教育を委託先の責任で実施させ、結果を確認する方が適切である。
・B
実施だけを義務付けても、内容や頻度の要件を示さなければ求める水準を確保できない。
・C
推奨にとどめると実施が担保されず、現場で義務が守られない。
・D
正しい。対象者、内容、実施時期又は頻度を契約で明確にし、教育記録や定期報告によって実施状況を確認する。
重要度：C
問9：委託契約の終了時に、委託元が取るべき措置として最も適切なものはどれか。
- A：契約が終了すれば秘密保持義務も消滅するため、特段の措置は不要である。
- B：預けた情報の返却または消去を求め、消去の完了を証明書などで確認する。
- C：次の契約に備えて、情報は委託先に保管させたまま契約だけを終了する。
- D：情報の消去を委託先の廃棄手順に従って依頼し、完了の報告は口頭で受ける。
【第9問：正解と解説】
正解：B
・A
秘密保持義務は契約終了後も存続させるのが通常であり、措置も必要である。
・B
正しい。契約や法令上の保存義務を確認した上で、返却又は消去の対象、バックアップを含む取扱い、実施期限及び完了確認の方法を定め、証明書などの記録で確認する。
・C
終了後の保管継続は漏えいリスクを残す。必要なら別途の契約で定める。
・D
口頭の報告では消去の実施を後から証明できない。証明書などの記録で確認する。
重要度：C
問10：委託やクラウド利用における「ロックイン」への備えとして、最も適切なものはどれか。
- A：長期の契約を結んで、契約期間中の利用料金と条件を固定しておく。
- B：委託先の変更を避けるため、同じ事業者との契約を自動更新にする。
- C：データの返却形式や引継ぎの条件を、契約時にあらかじめ定めておく。
- D：乗換えの検討をやめ、現在の事業者との関係の強化に専念する。
【第10問：正解と解説】
正解：C
・A
料金の固定は安定にはなるが、依存から抜け出せない状態への備えではない。
・B
自動更新は依存を深める方向であり、ロックインへの備えと逆である。
・C
正しい。標準的な形式での返却や移行支援を定めておけば乗換えが可能になる。
・D
依存の強化はロックインそのものであり、リスクを高める。
コメント