情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 平成29年度春期 午前 問8: A社は，情報システムの運用をB社に委託している。当該情報システムで発生した情報セキュリティインシデントについての対応のうち，適切なものはどれか。

問題本文

A社は，情報システムの運用をB社に委託している。当該情報システムで発生した情報セキュリティインシデントについての対応のうち，適切なものはどれか。

選択肢

• ア.情報セキュリティインシデント管理を一元化するために，委託契約継続可否及び再発防止策の決定をB社に任せた。
• イ.情報セキュリティインシデントに迅速に対応するために，サービスレベル合意書（SLA）に緊急時のセキュリティ手続を記載せず，B社の裁量に任せた。
• ウ.情報セキュリティインシデントの発生をA社及びB社の関係者に迅速に連絡するために，あらかじめ定めた連絡経路に従ってB社から連絡した。
• エ.迅速に対応するために，特定の情報セキュリティインシデントの一次対応においては，事前に定めた対応手順よりも，経験豊かなB社担当者の判断を優先した。

正解

ウ. 情報セキュリティインシデントの発生をA社及びB社の関係者に迅速に連絡するために，あらかじめ定めた連絡経路に従ってB社から連絡した。

解説

本問は委託先（B社）で発生したインシデントに対する委託元（A社）を含めた適切な対応を問う。インシデント対応は、あらかじめ定められた連絡経路や手順に従って関係者へ迅速・確実に情報共有することが原則であり、委託元にも管理責任が残る。正解はウで、事前に定めた連絡経路に従ってB社が関係者へ連絡する対応が適切である。

選択肢ごとの解説

• ア.誤り。委託契約の継続可否や再発防止策の決定は委託元A社の責任で行うべき経営判断であり、B社に丸投げするのは不適切である。
• イ.誤り。緊急時のセキュリティ手続はSLAに明記しておくべきであり、記載せずB社の裁量任せにすると対応がばらつき不適切である。
• ウ.正しい。あらかじめ定めた連絡経路に従って関係者へ迅速に連絡することは、インシデント対応の基本に沿った適切な行動である。
• エ.誤り。一次対応で事前手順を無視して個人の判断を優先すると対応の一貫性や証跡が失われるため不適切である。