情報セキュリティマネジメント 令和7年度 科目A 問8

✓ これが正解ア 従業員による情報セキュリティ違反の可能性を認識したら，直ちに懲戒手続を開始することを定めていた。

解説

違反の可能性だけで直ちに懲戒を始める定めは指摘対象です。

システム監査で監査報告書に指摘事項として書くのは、望ましくない状態が見つかったものです。ここで監査の対象になっているのは、懲戒手続を規定した就業規則を含む社内規程です。違反の可能性を認識した段階で直ちに懲戒手続を開始すると定めていると、事実関係をまだ確かめていないのに不利な扱いを始めることになります。可能性の段階では、まず調査して事実を確認するのが先です。だからこの定めが指摘の対象になります。残りの三つは、影響度や教育の状況を踏まえた段階別の対応、恣意性を排した公平な取扱い、細則の策定と周知徹底で、いずれも望ましい定めなので指摘にはあたりません。

ほかの選択肢の解説

• イ …による業務への影響度，違反を犯した従業員に対する教育の実施状況などを考慮した段階別の対応を定めていた。：業務への影響度や教育の実施状況を考えて段階別に対応すると定めているのは、行き過ぎや軽すぎを避けるための適切な作りです。望ましい状態なので、指摘事項として書くものではありません。
• ウ …を犯した従業員に対する恣意性を排除した公平な取扱いを定めていた。：違反した従業員に対して恣意性を排した公平な取扱いを定めているのは、処分が担当者の気分で変わらないようにするためのものです。あるべき定めなので、指摘の対象にはなりません。
• エ 懲戒手続を具体化した細則を策定すること，及び従業員に周知徹底することを定めていた。：手続を具体化した細則を作り、従業員へ周知徹底すると定めているのは、規程が実際に運用されるために必要なことです。適切な状態であり、指摘事項として挙げるものではありません。