システム開発を請負契約でベンダに委託する場合、ベンダに起因する、機密漏えいなどの情報セキュリティ事故を防止するために、委託する側がとるべき手段として、適切なものはどれか。

選択肢

• ア委託業務に関する情報セキュリティレベルを取り決め、情報セキュリティ対策実施状況の定期的な報告を義務付け、適時に監査を実施する。
• イ情報セキュリティに関するルールの違反者個人に対する高額なペナルティを取り決める。
• ウベンダの業務手順、体制図を提示させ、委託する側でプロジェクト全体の情報セキュリティ対策手順、詳細な体制図を作成して指揮命令する。
• エベンダの選定条件を厳しく設定し、選定後はベンダに情報セキュリティ対策の管理を一任する。

正解と解説

正解：ア 委託業務に関する情報セキュリティレベルを取り決め、情報セキュリティ対策実施状況の定期的な報告を義務付け、適時に監査を実施する。

請負契約では受託側に業務の遂行方法を委ねるため、委託側は指揮命令ではなく契約と管理によって統制する。具体的には、求める情報セキュリティレベルを契約で取り決め、対策の実施状況を定期的に報告させ、必要に応じて監査を実施して実効性を確かめる、という仕組みを作ることが適切である。

選択肢ごとの解説

• ア正しい。契約でレベルを定め、定期報告と監査で実施状況を確認する。
• イ個人への高額なペナルティは実効性に乏しく、組織的な管理の代わりにはならない。
• ウ請負契約で委託側が詳細な手順を作り指揮命令するのは、偽装請負となるおそれがある。
• エ選定後に管理を一任してしまうと、委託側による確認の手段が失われる。

同じ分野の他の問題

• 公開された実証コード（PoC：Proof of Concept）を使って、インターネットからWebサーバを狙う攻撃がある…2024年度 秋期 午前II 問25
• テンペスト攻撃の説明とその対策として、適切なものはどれか。2021年度 秋期 午前II 問24
• 暗号技術のうち、共通鍵暗号方式はどれか。2021年度 秋期 午前II 問23
• NISTが制定した、AESにおける鍵長の条件はどれか。2019年度 春期 午前II 問24
• テンペスト攻撃の説明とその対策として、適切なものはどれか。2018年度 春期 午前II 問25