平成30年度春期 プロジェクトマネージャ 午前Ⅱ 問21

委託先リスクと委託元の管理策の対応

開発を外部に委託する場面では、リスクの発生源と、それに対して誰がどの立場で手を打つのかを切り分けて考えることが大切です。検討対象の内容が委託元の管理行為として筋が通っているかを、一つの観点に絞って落ち着いて確かめましょう。

この問題で問われていること

着目したいのは、委託先で生じうる情報セキュリティ上の問題に対して、委託元が主体となって講じる管理であるかどうかという視点です。主語が誰で、その行為が誰のリスクを抑えるものかを意識して整理してみてください。

視点

委託関係では、リスクが生じる場所と、それを管理する立場が一致するとは限りません。管理策を整理するときは、リスクがどこで生じるか、その行為を実行するのは誰か、その行為が当該リスクを抑える方向に働くか、の三つを対応付けて考えます。この対応が崩れていないかを確かめることが、この分野を学ぶうえでの基本的な検討手順です。

確認ポイント

• その内容で行為の主体となっているのが委託元か委託先か、あるいは別の立場かを確認する
• その行為が抑えようとしているのが委託先に起因するリスクなのか、それ以外のリスクなのかを確認する
• 主体とリスクの対応を自分の言葉で一文に言い直し、筋が通るかを確かめる

正解

ア

解説

委託先に起因する情報セキュリティ事故を防ぐには、委託業務に必要なセキュリティ水準を契約などで明確化し、対策の実施状況を継続的に報告させ、必要に応じて監査する管理が適切です。

理由

請負契約でベンダに開発を委託しても、委託する側は情報資産を守る責任を負います。そのため、必要な情報セキュリティレベルを取り決め、対策の実施状況を定期的に報告させ、適時に監査できるようにすることが有効です。

比較

個人への高額なペナルティだけでは組織的な管理を確認できません。また、委託側がベンダを細部まで指揮命令する方法や、選定後に管理を全面的に任せる方法も、請負契約における適切な監督とはいえません。

選択肢ア（正解）

これは正解だよ。委託業務に必要な情報セキュリティレベルをあらかじめ取り決め、ベンダに対策の実施状況を定期的に報告させ、委託する側が適時に監査する内容である。要求事項の明確化、継続的な確認、検証を組み合わせており、委託先に起因する事故の予防に適切である。

選択肢イ

これは不正解だよ。情報セキュリティに関するルール違反者個人への高額なペナルティを定めるだけでは、ベンダの組織的な対策状況や運用の有効性を確認できない。事故を防ぐには、個人への制裁よりも、要求事項、報告、監査などの管理プロセスが必要である。

選択肢ウ

これは不正解だよ。ベンダの業務手順や体制図を確認すること自体は参考になるが、委託する側がプロジェクト全体の詳細な対策手順と体制図を作成して指揮命令するのは適切ではない。請負契約では、契約上の要求と確認を行い、ベンダの責任で業務を遂行させる。

選択肢エ

これは不正解だよ。ベンダの選定条件を厳しくすることは委託先を評価する一要素だが、選定後に情報セキュリティ対策の管理を一任すると、実際の運用状況を委託する側が確認できない。契約後も報告や監査によって継続的に管理する必要がある。

学習のポイント

外部委託では、選定時の評価だけでなく、契約後の監督と検証まで含めて管理する考え方を学びます。