ISMSの情報セキュリティリスク対応における、人的資源に関するセキュリティ管理策の記述として、適切でないものはどれか。

選択肢

• ア雇用する候補者全員に対する経歴などの確認は、関連する法令、規制及び倫理に従って行う。
• イ情報セキュリティ違反を犯した従業員に対する正式な懲戒手続を定めて、周知する。
• ウ組織の確立された方針及び手順に従った情報セキュリティの適用を自社の全ての従業員に要求するが、業務を委託している他社には要求しないようにする。
• エ退職する従業員に対し、退職後も有効な情報セキュリティに関する責任事項及び義務を定めてその従業員に伝え、退職後もそれを守らせる。

正解と解説

正解：ウ 組織の確立された方針及び手順に従った情報セキュリティの適用を自社の全ての従業員に要求するが、業務を委託している他社には要求しないようにする。

ISMSでは、情報を取り扱う相手が自社の従業員か外部の委託先かにかかわらず、同等の情報セキュリティ要求を課す必要がある。委託先を対象外にすると、そこが弱点となって情報漏えいの経路になり得るため、契約などを通じて方針・手順の順守を求めるのが適切である。よって委託先には要求しないとする記述が不適切となる。

選択肢ごとの解説

• ア採用選考時の経歴確認は法令や倫理に従って行うべきで、適切な管理策である。
• イ懲戒手続を定めて周知することは違反の抑止につながり、適切である。
• ウ適切でない記述。委託先にも同等の情報セキュリティ要求を課す必要がある。
• エ退職後も守秘義務などを課すことは適切な管理策である。

同じ分野の他の問題

• ISMSの活動に関する記述として、最も適切なものはどれか。2026年度 秋期 問100
• 情報セキュリティ対策を、“技術的セキュリティ対策”、“人的セキュリティ対策”及び“物理的セキュリティ対策”に分類したとき…2026年度 秋期 問94
• 次のISMSにおける実施項目のうち、最初に行うものはどれか。2026年度 秋期 問93
• 企業のリスクマネジメントの一環として行われるサイバーセキュリティリスク対策の推進において、経営者に求められる役割として、…2026年度 秋期 問79
• ISMSにおける情報セキュリティインシデントの管理に関する記述のうち、適切なものはどれか。2026年度 秋期 問70