情報セキュリティマネジメント 平成29年度 春期 午前 問8

✓ これが正解ウ 情報セキュリティインシデントの発生をA社及びB社の関係者に迅速に連絡するために，あらかじめ定めた連絡経路に従ってB社から連絡した。

解説

決めておいた経路どおりに関係者へ早く知らせます。

運用を外部に任せていても、情報を守る責任そのものは任せた側に残ります。だから情報セキュリティインシデントが起きたときに最初に必要なのは、任せた側と任せられた側の双方の関係者が、同じ事実をできるだけ早くつかむことです。誰から誰へどの順に伝えるかをあらかじめ決めておけば、伝える相手を迷って時間を失うことも、連絡が届かない人が出ることもありません。運用を担っている委託先が、あらかじめ定めた連絡経路に従って発生を知らせるという対応は、この備えをそのまま実行したものです。残りの三つは、決めておくべきことを決めずに現場任せにする、任せた側が負うべき判断まで渡す、決めた手順があるのにその場の判断で外れる、という形でいずれも取決めから離れています。

ほかの選択肢の解説

• ア …管理を一元化するために，委託契約継続可否及び再発防止策の決定をB社に任せた。：契約を続けるかどうかや、再発を防ぐ手立てをどうするかは、業務を任せた側が自ら下すべき経営の判断です。運用を担う相手に自社との契約の可否まで決めさせるのは、責任の預け方を誤っています。
• イ …に迅速に対応するために，サービスレベル合意書（SLA）に緊急時のセキュリティ手続を記載せず，B社の裁量に任せた。：急ぎの場面で迷わずに動けるよう取り決めを結んでおくことが、サービスレベル合意書の役割です。緊急時の手続を書かずに相手の裁量へ委ねると、動き方が人によってばらつき、かえって遅れます。
• エ 迅速に対応するために，特定の情報セキュリティインシデントの一次対応においては，事前に定めた対応手順よりも，経験豊かなB社担当者の判断を優先した。：経験の豊富な担当者であっても、決めた手順から外れると記録や連絡が抜けやすくなります。手順に不備があるなら手順のほうを直すのが筋で、その場の判断で置き換えるやり方は長続きしません。