ISMSの情報セキュリティリスク対応における、人的資源に関するセキュリティ管理策の記述として、適切でないものはどれか。
- ア雇用する候補者全員に対する経歴などの確認は、関連する法令、規制及び倫理に従って行う。
- イ情報セキュリティ違反を犯した従業員に対する正式な懲戒手続を定めて、周知する。
- ウ組織の確立された方針及び手順に従った情報セキュリティの適用を自社の全ての従業員に要求するが、業務を委託している他社には要求しないようにする。
- エ退職する従業員に対し、退職後も有効な情報セキュリティに関する責任事項及び義務を定めてその従業員に伝え、退職後もそれを守らせる。
正解と解説を見る
正解
ウ 組織の確立された方針及び手順に従った情報セキュリティの適用を自社の全ての従業員に要求するが、業務を委託している他社には要求しないようにする。
適切でないものは「組織の確立された方針及び手順に従った情報セキュリティの適用を自社の全ての従業員に要求するが、業務を委託している他社には要求しないようにする」である。ISMSの人的資源に関するセキュリティでは、自社従業員だけでなく業務委託先などの関係者に対しても、契約などを通じて同等の情報セキュリティ順守を要求する必要があり、委託先を除外するのは不適切である。雇用時の経歴などの確認、違反者への懲戒手続の整備と周知、退職者に対する退職後も有効な守秘義務等の伝達と徹底は、いずれもISMSの人的資源セキュリティ管理策として適切な内容である。