平成25年度春期 プロジェクトマネージャ 午前Ⅰ 問21

責任の根拠と運用記録を照合する視点

監査指摘を整理するときは、従業員に求められる責任を抽象的に捉えず、組織の要求と日常の運用記録がどのようにつながり、説明可能な状態になっているかという一つの視点で確認しましょう。

この問題で問われていること

確認の中心は、責任の所在を断定することではなく、求められている行動と、それを裏付ける手続・記録・確認結果の関係を、設問の文脈に沿って丁寧に読み取り、関係を一つに絞って考えることです。

視点

要求事項、担当者の役割、実施の証跡、確認や改善の流れを混同せず、設問中で示された事実がどの部分に関係するかを整理します。

確認ポイント

• 要求と実際の運用を同じ内容として扱っていないか
• 誰が何を担うかと、実施を示す記録を区別できているか
• 指摘の根拠が事実・手続・確認のどこに置かれているか

正解

ア

解説

情報セキュリティ管理基準では、従業員の守秘責任を雇用契約などで明確にし、勤務時間外や雇用終了後にも継続する扱いを求めるため、雇用終了で責任が解消される記述が指摘事項となる。

理由

従業員の守秘責任は、勤務時間中だけに限定されるものではなく、雇用終了後も継続するように定める必要があります。雇用契約で責任の終了時期を誤って定めている場合は、情報セキュリティ管理上の問題になります。

比較

勤務時間外にも守秘責任を負わせること、守秘義務契約書への署名を求めること、責任を果たさなかった場合の措置を定めることは、守秘責任を明確にして実効性を持たせるための適切な扱いです。

選択肢ア（正解）

これは正解だよ。情報セキュリティ管理基準では、従業員の守秘責任は雇用中だけに限定せず、雇用終了後も継続するよう契約などで明確にする考え方が基本です。雇用終了を理由に責任が解消されるという定めは、この要求に反するため、監査上の指摘事項に該当します。

選択肢イ

これは不正解だよ。守秘責任は勤務時間中の業務だけに限られるものではなく、勤務時間以外に知り得た情報の取扱いにも及び得ます。そのため、定められた勤務時間以外も守秘責任を負うことを雇用契約に記載する内容は、情報管理上の適切な定めです。

選択肢ウ

これは不正解だよ。守秘責任を果たさなかった場合に、契約違反などとして相応の措置をとることをあらかじめ雇用契約に定めるのは、責任を実効性あるものにするための適切な対応です。責任不履行への措置を定めること自体は、監査上の指摘事項ではありません。

選択肢エ

これは不正解だよ。守秘義務の内容を契約書で明確にし、従業員がその内容を確認して署名することは、情報セキュリティ上の責任を周知し、合意を記録する適切な方法です。定められた内容の守秘義務契約書への署名を求める記述は、基準に沿う扱いです。

学習のポイント

守秘義務の時間的な継続性と契約記載事項を整理する。