事例で管理策を選ぶ

業務を外部へ委託しても、自社が求める情報管理の水準を委託先へ伝え、契約や確認手続で管理します。再委託の条件、事故時の連絡、アクセス範囲、契約終了時のデータ処理などが判断材料になります。

委託しただけで責任が消えるわけではないので、選定時と契約中の両方で確認する視点が必要です。

点検結果を記録し、問題が見つかったときの是正方法も契約と運用で確認します。

委託先は選定時だけでなく、契約中も確認する。

アクセス権は、担当業務に必要な範囲へ絞る最小権限の考え方で設定します。異動や退職があれば、不要になった権限を速やかに変更または削除します。

共有アカウントを広く使うと、誰が操作したか追いにくくなります。権限の申請、承認、定期確認を分けて考えると、事例の改善策を選びやすくなります。

定期的な棚卸しを行うと、業務変更後に残った不要権限を見つけやすくなります。

権限は業務に必要な範囲へ絞り、変化時に見直す。

インシデント発生時は、被害拡大を抑える対応、状況把握、原因除去、復旧、再発防止を状況に応じて進めます。証拠となるログや端末情報を失わないことも重要です。

事例では、原因究明より前に接続を切るべき場面など、優先する目的を考えます。業務継続とのバランスも読み取ります。

連絡先や判断権限を事前に決めておくと、初動で迷う時間を減らせます。

事故対応は被害拡大防止と証拠保全の優先度を見る。

バックアップは、障害や攻撃で元データが使えないときに復旧するための複製です。同じ装置だけに保存すると、装置故障や暗号化被害の影響を同時に受けるおそれがあります。

復旧手順は保存するだけでなく、実際に戻せるかを確認します。復旧可能性の確認まで含めて継続策を評価します。

必要な復旧時間や失ってよいデータ量も、業務側の要求と合わせて考えます。

バックアップは保存先の分離と復旧確認まで考える。

科目Bの形: 事例を読んで解答群から選ぶ(このページのために作った問題)

A社は、顧客から受け取る申込書の画像データを、入力業務を委託しているB社へ毎日送っている。B社は業務量の増加を理由に、A社への連絡をせず一部の入力をC社へ再委託した。A社とB社の契約では、再委託にはA社の事前承認が必要で、事故発生時はB社からA社へ直ちに連絡することになっている。A社が調べると、C社で利用する端末の管理方法や作業後のデータ削除方法も確認されていなかった。表中の(一)～(三)の対応を中心となって行う組織の組合せとして、最も適切なものを選べ。

項目	対応
(一) 再委託の承認判断	再委託の経緯やC社の管理状況を確認した上で、再委託を認めるか判断する
(二) 作業時の端末利用とデータ削除	再委託された入力作業の中で、定められた方法どおりに端末を使い、作業後にデータを削除する
(三) A社への事故連絡	C社を含む委託業務で事故が発生したとき、契約に従ってA社へ連絡する

1. A社 / B社 / B社
2. A社 / C社 / B社
3. B社 / C社 / B社
4. A社 / C社 / C社
5. B社 / B社 / B社
6. A社 / B社 / C社

答えと解説を見る

正解: A社 / C社 / B社

再委託を承認するかどうかは、委託元であるA社が判断します。定められた方法どおりに端末を使い、データを削除するのは、実際に作業するC社です。一方、A社と契約しているのはB社なので、再委託先で起きた事故を含め、契約に基づくA社への連絡はB社が担います。

まちがえやすい点: 再委託先が実作業をしていても、A社への契約上の報告責任までC社へ移るとは限らない。承認する組織、実作業を管理する組織、委託元へ報告する組織を分けて考える。

科目Bの形: 事例を読んで解答群から選ぶ(このページのために作った問題)

D社では、営業部の共有フォルダに見積書と顧客連絡先を保存している。組織変更で営業部員の半数が別部門へ異動したが、以前の編集権限が残っている。また、退職者のアカウントが一つ有効なままである。さらに、人事異動や退職が発生したときに誰が権限変更を申請し、誰が確認するかを定めた手続がない。D社は、利用者には現在の業務に必要な権限だけを与える方針である。表中の(一)～(三)の状況に対して適用する対策の組合せとして、最も適切なものを選べ。

記号	対策
対策a	アカウントを利用できない状態にする
対策b	現在の担当業務に合わせてアクセス権を変更する
対策c	異動・退職時の権限変更について責任者と手順を定める

項目	状況
(一)	別部門へ異動した社員に以前の編集権限が残っている
(二)	退職者のアカウントが有効なままである
(三)	異動・退職時の権限変更の責任者や手順が決まっていない

1. 対策b / 対策a / 対策c
2. 対策a / 対策b / 対策c
3. 対策b / 対策c / 対策a
4. 対策c / 対策a / 対策b
5. 対策b / 対策a / 対策b
6. 対策c / 対策a / 対策c

答えと解説を見る

正解: 対策b / 対策a / 対策c

異動者には、現在の担当業務に必要な権限だけが残るようアクセス権を見直します。退職者は業務上の利用資格を失っているので、アカウントを利用できない状態にします。また、同じ問題の再発を防ぐには、異動や退職が発生したときの権限変更について責任者と手順を定めます。

まちがえやすい点: 異動者と退職者では対応が異なる。異動者は必要な権限へ変更し、退職者は利用資格そのものを止める。個別対応と運用手続の整備も区別する。

科目Aの形: 四肢択一(このページのために作った問題)

バックアップ運用に関する記述として、最も適切なものはどれか。

1. 3-2-1の考え方では、元データを含めて3個のコピーを用意すれば、全て同じ種類の記憶装置に保存してもよい
2. バックアップを別の記憶装置へ保存していれば、復元できることは確認済みとみなせるので復元試験は不要である
3. バックアップから実際に復元できるかを定期的に確認し、必要に応じて元データと同時に被害を受けにくい保存方法を採用する
4. ランサムウェア対策では、復旧を速くするために全てのバックアップを本番環境から常時書込み可能にしておく方がよい

答えと解説を見る

正解: バックアップから実際に復元できるかを定期的に確認し、必要に応じて元データと同時に被害を受けにくい保存方法を採用する

バックアップは保存するだけでなく、必要なときに復元できることを確認する必要があります。また、障害やランサムウェアなどで元データとバックアップが同時に失われないよう、保存媒体や保存場所、接続状態を分けることも検討します。3-2-1の考え方は、単にコピー数を増やすだけのものではありません。

まちがえやすい点: 3-2-1はコピー数だけを見る考え方ではない。保存媒体や別の場所への保管も含め、同じ原因で同時に失わないようにする。