問84
頻出度★★★
ISMS の情報セキュリティリスク対応における, 人的資源に関するセキュリティ管理策の記述として, 適切でないものはどれか。
令和2年度 ITパスポート試験 問84
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 84
不正解ア
採用候補者全員の経歴などの確認を、関連する法令・規制・倫理に従って行うことは、雇用前 (採用時) の適切な人的セキュリティ管理策であり正しい記述。よって「適切でないもの」ではない。
不正解イ
情報セキュリティ違反を犯した従業員に対する正式な懲戒手続をあらかじめ定め、周知しておくことは、抑止と公平な処分のための適切な管理策であり正しい記述。よって「適切でないもの」ではない。
- ウ
正解 正解は ウ。ISMS では、自社の従業員だけでなく、業務を委託している他社 (委託先・第三者) に対しても、組織の方針・手順に沿った情報セキュリティの適用を要求しなければならない。委託によって情報の取扱いが外部に及ぶ以上、そこで管理が途切れれば組織全体のセキュリティに穴が開くからである。ウ は「他社には要求しないようにする」と委託先を管理対象から外しており、この考え方に反する。したがって「人的資源に関するセキュリティ管理策の記述として適切でないもの」は ウ である。
不正解エ
退職後も有効な情報セキュリティ上の責任・義務 (守秘義務など) を定めて退職者に伝え、退職後も守らせることは、雇用終了後の情報漏えいを防ぐ適切な管理策であり正しい記述。よって「適切でないもの」ではない。
ここがポイント
- ISMS の人的資源セキュリティは、採用前 (経歴確認)・在職中 (懲戒手続の周知)・雇用終了後 (退職後も有効な責任義務) の全期間を対象とする。
- 情報セキュリティ要求は自社従業員だけでなく、業務委託先・第三者にも及ぼす必要があり、委託先を管理対象から除外するのは誤り。
用語