A社は、情報システムの運用をB社に委託している。当該情報システムで発生した情報セキュリティインシデントについての対応のうち、適切なものはどれか。

選択肢

• ア情報セキュリティインシデント管理を一元化するために、委託契約継続可否及び再発防止策の決定をB社に任せた。
• イ情報セキュリティインシデントに迅速に対応するために、サービスレベル合意書（SLA）に緊急時のセキュリティ手続を記載せず、B社の裁量に任せた。
• ウ情報セキュリティインシデントの発生をA社及びB社の関係者に迅速に連絡するために、あらかじめ定めた連絡経路に従ってB社から連絡した。
• エ迅速に対応するために、特定の情報セキュリティインシデントの一次対応においては、事前に定めた対応手順よりも、経験豊かなB社担当者の判断を優先した。

正解と解説

正解：ウ 情報セキュリティインシデントの発生をA社及びB社の関係者に迅速に連絡するために、あらかじめ定めた連絡経路に従ってB社から連絡した。

運用を外部委託していても、情報セキュリティの最終的な責任は委託元にある。したがって、緊急時の手続や連絡経路をあらかじめ契約やSLAで定め、その定めに従って迅速に情報共有することが適切な対応となる。契約継続の可否や再発防止策の決定といった経営判断を委託先に委ねてはならない。

選択肢ごとの解説

• ア誤り。契約継続可否や再発防止策の決定は委託元が担うべき判断。
• イ誤り。緊急時の手続こそSLAに明記すべきで、裁量任せは統制の放棄。
• ウ正解。事前に定めた連絡経路に従って迅速に関係者へ連絡している。
• エ誤り。一次対応で手順より個人の判断を優先すると対応が属人化し統制が効かない。

同じ分野の他の問題

• A社は、従業員300名の部品メーカーである。A社ではこれまで、業務に必要なファイルを他社との間で受け渡す場合には電子メー…2025年度 公開問題 科目A・B 問14
• デジタルフォレンジックスの説明はどれか。2023年度 公開問題 科目A・B 問3
• デジタルフォレンジックスでハッシュ値を利用する目的として、適切なものはどれか。2022年度 公開問題 科目A・B 問10
• JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）及びJIS Q 27001:2014（情報…2018年度 春期 午前 問5
• ディジタルフォレンジックスの説明として、適切なものはどれか。2017年度 春期 午前 問15