令和2年度 10月 （特別措置試験） 問84

✓ これが正解ウ組織の確立された方針及び手順に従った情報セキュリティの適用を自社の全ての従業員に要求するが，業務を委託している他社には要求しないようにする。

解説

委託先にだけ求めないという扱いが、適切でないものになります。

人的資源にまつわる守りの管理策は、雇う前、働いている間、辞めた後という三つの段に分けて考えます。問われているのは適切でないものなので、守りが薄くなってしまう扱いを探すことになります。組織の方針や手順に従わせる相手を、自社の従業員だけに限り、業務を委託している他社には求めないという扱いが、それにあたります。委託先も同じ情報を扱う以上、そこが緩ければ、守りは弱いほうの水準にそろってしまいます。委託する側には、委託先にも同じ水準を求め、確かめる責任があります。雇う前には、経歴を確かめて、扱わせてよい相手かを見ます。働いている間は、方針と手順に従わせ、違反があれば定めた手続きで応じます。辞めた後にも、守ってもらう事項が残ります。よって適切でないのは、委託先には要求しないようにするという記述です。

ほかの選択肢はなぜ違うのか

• ア雇用する候補者全員に対する経歴などの確認…：雇う前に経歴などを確かめておくことは、人にまつわる守りの入口にあたる、正しい管理策です。ただし調べ方は法令や規制、倫理に沿う必要があるという但し書きも付いており、記述として適切なので、答えにはなりません。
• イ情報セキュリティ違反を犯した従業員に対す…：違反があったときの手続きをあらかじめ定め、それを全員に知らせておくことは、正しい管理策です。何が起きるかが分かっていること自体が抑えとして働くので、周知まで含めて意味があります。記述として適切です。知らせるところまでが管理策です。
• エ退職する従業員に対し，退職後も有効な情報…：辞めた後も守ってもらう事項を定め、本人に伝えたうえで守らせることは、正しい管理策です。知り得た情報は退職によって消えるわけではないので、責任が続くことをはっきりさせておく必要があります。適切な記述です。退職後まで及ぶ点が要点です。