ITパスポート試験 ITパスポート 2020年 (令和2年 10月) 問84: ISMSの情報セキュリティリスク対応における,人的資源に関するセキュリティ管理策の記述として,適切でないものはどれか。

正解

ウ. 組織の確立された方針及び手順に従った情報セキュリティの適用を自社の全ての従業員に要求するが,業務を委託している他社には要求しないようにする。

正答率 54.5%（690人中 376人が正解）

問題の解説

問われているのは、人的資源に関するセキュリティ管理策として適切でない記述である。情報セキュリティの方針や手順は、自社の従業員だけでなく、業務を委託している外部の要員にも適用を求める必要がある。委託先に要求しないとする記述が、適切でないものに当たる。

選択肢ごとの解説

• ア適切な記述である。雇用前の経歴などの確認は、関連する法令、規制及び倫理に従って候補者全員に行う。
• イ適切な記述である。違反に対する正式な懲戒手続を定めて周知することは、抑止になる管理策である。
• ウ正しい。これが適切でない記述に当たる。委託先の要員も自社の情報を扱うので、方針や手順の適用を委託先にも要求する必要がある。
• エ適切な記述である。退職後も有効な責任や義務を定めて本人に伝え、守らせることは、人的資源の管理策として適切である。