情報セキュリティ意識向上のための教育の実施状況をJIS Q 27002に従ってレビューした。情報セキュリティを強化する観点から、改善が必要な状況はどれか。

選択肢

• ア従業員の受講記録を分析し、教育計画を見直していた。
• イ従業員の職務内容や職制に応じた内容の教育を実施していた。
• ウ出張中で受講できなかった従業員を対象に、追加の教育を実施していた。
• エ正規従業員と同様の業務に従事している派遣従業員を除いて、教育を実施していた。

正解と解説

正解：エ 正規従業員と同様の業務に従事している派遣従業員を除いて、教育を実施していた。

JIS Q 27002は、意識向上・教育・訓練の対象を「組織の全ての従業員、及び関連する場合は契約相手」としており、雇用形態にかかわらず組織の情報を扱う者は対象に含まれる。正規従業員と同じ業務に就く派遣従業員だけを教育から外せば、その部分が情報セキュリティの弱点になる。攻撃者は最も守りの薄いところを突くため、教育対象に穴を作らないことが重要である。

選択肢ごとの解説

• ア受講記録をもとに計画を改善するのは、PDCAが回っており適切な状態である。
• イ職務や職位に応じて内容を変えるのは、実効性を高める望ましい進め方である。
• ウ受講できなかった者への補講は、教育の網羅性を保つ適切な措置である。
• エ正しい。同様の業務に就く派遣従業員を外すのは対象漏れであり、改善が必要である。

同じ分野の他の問題

• 情報セキュリティ管理基準（平成28年）に関する記述のうち，適切なものはどれか。2023年度 公開問題 科目A・B 問1
• 経済産業省"情報セキュリティ監査基準 実施基準ガイドライン（Ver1.0）"における、情報セキュリティ対策の適切性に対し…2019年度 春期 午前 問40
• ソフトウェア開発プロセスにおけるセキュリティを確保するための取組について、JIS Q 27001:2014（情報セキュリ…2019年度 春期 午前 問38
• JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に基づいてISMS内部監査を行った結果…2018年度 秋期 午前 問37
• JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に準拠してISMSを運用している場合，…2018年度 春期 午前 問38