平成30年度 春期 午前Ⅱ 問21

✓ これが正解ア委託業務に関する情報セキュリティレベルを取り決め，情報セキュリティ対策実施状況の定期的な報告を義務付け，適時に監査を実施する。

解説

委託先とセキュリティ水準を取り決め、報告と監査で実施状況を確かめます。

システム開発を外部に委託しても、委託する側は、預けた情報の安全について管理する責任を負い続けます。見分ける軸は、委託先の自主性を保ちながら、委託する側として実施状況を確かめる仕組みになっているかです。契約で情報セキュリティのレベルを取り決め、対策の実施状況を定期的に報告させ、必要な時期に監査を行うという記述は、取決め、報告、確認の流れがそろっており、委託先の管理として適切です。請負契約では、仕事の進め方はベンダが自らの責任で決めるので、委託する側は契約と報告と監査を通じて管理します。決める、報告させる、確かめる、の三つがそろっているかを手がかりにすると判断できます。

ほかの選択肢はなぜ違うのか

• イ情報セキュリティに関するルールの違反者個…：違反した個人に高額なペナルティを科す取決めは、ベンダの従業員個人に責任を負わせる形で、組織としての対策の実施を確かめる仕組みになっていません。委託先の組織を管理する手段として適切ではありません。
• ウベンダの業務手順，体制図を提示させ，委託…：委託する側が詳細な体制図を作り、ベンダの要員に直接指揮命令するのは、請負契約の下では行えない関与です。偽装請負とみなされるおそれがあり、契約形態に合わない手段です。
• エベンダの選定条件を厳しく設定し，選定後は…：選定条件を厳しくしても、選定後に管理を一任してしまうと、対策が実際に行われているかを確かめる手段がなくなります。委託する側としての監督の責任を手放す形になっており、適切ではありません。