問84
頻出度★★★
ISMS の情報セキュリティリスク対応における, 人的資源に関するセキュリティ管理策の記述として, 適切でないものはどれか。
令和2年度 ITパスポート試験 問84
テクノロジ系セキュリティ › 情報セキュリティ管理
这道题的解析和你的作答记录。
解説
問 84
错误ア
对所有候选录用人员的履历等进行审查，并依照相关法律法规、规章制度及道德准则进行，这是雇用前（录用时）恰当的人力安全管理措施，属于正确的描述。因此它不是「不恰当的一项」。
错误イ
针对违反信息安全规定的员工，事先制定正式的处分程序并予以公示告知，这是为起到威慑作用并实现公平处分的恰当管理措施，属于正确的描述。因此它不是「不恰当的一项」。
- ウ
正解 正确答案是 ウ。在 ISMS 中，不仅要求本公司员工，还必须要求受委托业务的其他公司（受托方、第三方）按照组织已确立的方针及程序实施信息安全。因为一旦通过委托使信息的处理延伸到外部，若管理在此处中断，就会在整个组织的安全上留下漏洞。而 ウ 声称「对受委托业务的其他公司则不作要求」，把受托方排除在管理对象之外，这违背了上述理念。因此，作为「关于人力资源的安全管理措施的描述」中不恰当的一项就是 ウ。
错误エ
规定离职后仍然有效的信息安全责任与义务（如保密义务等），告知离职员工，并使其在离职后也予以遵守，这是防止雇用终止后信息泄露的恰当管理措施，属于正确的描述。因此它不是「不恰当的一项」。
ここがポイント
- ISMS 的人力资源安全覆盖采用前（履历审查）、在职期间（公示告知处分程序）、雇用终止后（离职后仍然有效的责任与义务）的全过程。
- 信息安全要求不仅要覆盖本公司员工，还需延伸到业务受托方与第三方；把受托方排除在管理对象之外是错误的。
用語