重要度：B 論点：契約手続の権限
問6：委託契約の条項変更は、業務担当者が相手方との打合せで合意できれば、契約担当部門の権限や正式な手続を経ずに確定してよい。
解答を見る
×：業務担当者が要件の整理や交渉を行う場合はあるが、自らの権限を超える契約変更を単独で確定してはならない。法務・購買などの契約担当部門の権限と正式な手続に従い、セキュリティ要求、責任分担、報告条件などを契約又は変更合意へ反映する。
重要度：B 論点：委託中の監督
問7：委託期間中に委託先から定期報告を受領して保管していれば、委託元の監督としては完了している。
解答を見る
×：報告は受領するだけでなく、内容を要求水準と照らして評価し、差異があれば是正を求めて経過を確認して初めて監督として機能する。受領の形骸化は、管理水準の低下や事故の予兆の見逃しにつながる。
重要度：C 論点：監査権・第三者認証
問8：多数の委託先の対策状況の確認は、取り扱う情報のリスクに応じて、契約に基づく実地監査、監査報告書の入手、第三者認証の確認などの手段を使い分けて行う。
解答を見る
○：委託先の確認方法は一律にせず、取り扱う情報の重要度、委託業務の内容、事故時の影響などに応じて選ぶ。高リスクの委託では実地監査が適切な場合があり、その他では監査報告書、第三者認証、質問票、定期報告などを組み合わせる。契約では、必要な報告や確認を行える条件を明確にする。
重要度：C 論点：認証の限界
問9：委託先やクラウド事業者が第三者認証や保証報告書を取得していれば、自社の利用目的や設定を確認しなくても、安全性と法令適合性が完全に保証される。
解答を見る
×：認証は特定の規格・適用範囲への適合評価、保証報告書は対象期間・対象統制・例外等を記載した報告であり、いずれも対象範囲・時点・除外事項がある。自社の利用方法や設定までは保証しないため、自己申告や実地監査も含めてリスクに応じて確認手段を使い分け、自社側のリスク評価・設定の確認を組み合わせる。
重要度：C 論点：終了時の措置
問10：委託やクラウド利用の終了時に備え、データの返却・消去とその証跡の確認、アカウントの無効化、データの出力形式や移行の方法を、契約時から定めておくことが有効である。
解答を見る
○：終了時にデータやアカウントが残ると漏えいや不正利用につながる。また出力形式や移行支援を定めておかないと、特定の事業者から乗り換えられないロックインに陥る。終了戦略は契約時に決めておく。
コメント