情報セキュリティマネジメント 2016年 秋期 午前（科目A） 問10

教育対象の範囲【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題の焦点を確認：教育の「対象範囲」に関する指摘かを把握する。
2. JIS Q 27002の基本原則を思い出す：情報に関わる全員を対象にすること。
3. 各選択肢が「誰を対象にしているか」を比べる。
4. 「同じ仕事をしているのに教育から除外している」選択肢を選ぶ。
   この順で見れば、除外しているエが不適切と判断できます。

選択肢別の誤答解説

• ア: 従業員の受講記録を分析し教育計画を見直す。
  • 良い実施例です。記録を分析して継続改善するのはJIS Q 27002で推奨されるプロセスです。
• イ: 職務内容や職制に応じた教育を実施。
  • これも適切です。業務ごとに必要な知識は異なるため、職務別の教育は有効です。
• ウ: 出張で受講できなかった人への追加教育を実施。
  • 欠席者に補講を用意するのは運用として正しい対応です。受講率向上に寄与します。
• エ: 正規従業員と同様の業務に従事する派遣従業員を除外して教育を実施。
  • 不適切。業務上同等であれば派遣従業員も教育対象に含める必要があります。教育除外は管理策の抜け穴になります。

よくある誤解

• 誤解1: 「派遣や契約社員は会社の社員でないから教育しなくて良い」
  • 実務上は、業務で情報に触れる人は社員区分に関係なく教育対象です。
• 誤解2: 「短期の派遣だから教育は不要」
  • 短期でも機密に触れる可能性があれば、必須の最低限の教育（例：守秘・アクセスルール）は必要です。
• 誤解3: 「委託先とは契約で守っていれば十分」
  • 契約は重要ですが、契約条項に基づき相手に教育を求め、履行状況を確認する（証跡を取る）運用が必要です。

補足コラム

• 採用／受け入れ時チェックリストに「情報セキュリティ教育の実施」を入れる。派遣受け入れ窓口で受講を確認してからアカウント発行する運用にする。
• LMS（学習管理システム）や受講記録で派遣社員も通常社員と同じように管理する。言語や就業期間に合わせて短縮版や重点項目の教材を用意するのも実務的です。
• 委託先や派遣元との契約書に「教育実施」「実施記録の提供」「守秘義務の確認」を明記し、定期的に監査する。

• 業務で情報に触れる全員を洗い出す
• 派遣・契約社員を含め教育対象を明文化する
• 受講記録を保管し、受講率を定期評価する

FAQ