情報セキュリティマネジメント 2017年 春期 午前（科目A） 問08

委託先との連絡体制【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 「インシデント発生時に誰が最終責任を持つか」を想像する（委託しても責任が消えない）。
2. 各選択肢が「責任の所在」「連絡・手順の明確さ」「事前取り決め（SLAや契約）」をどう扱っているかを比較する。
3. 最も実務的でかつ監督・報告の要請を満たすものを選ぶ。
   → 監督側（A社）に連絡や判断の機会を確保することが重要。

選択肢別の誤答解説

• ア: 「委託契約継続可否及び再発防止策の決定をB社に任せた」
  → 委託先に契約継続や再発対策の最終決定を丸投げするのは不適切です。委託元が法的・業務上の責任を持つため、契約継続の判断や重大対策はA社が関与するべきです。監査や説明責任の点でも問題になります。
• イ: 「SLAに緊急時の手続を記載せずB社の裁量に任せた」
  → 緊急対応は手順・連絡先・目標時間（例：検知から報告までの時間）などを事前にSLAや委託契約に明記しておく必要があります。曖昧にすると対応遅延や責任押し付けが起きやすくなります。
• ウ: 「あらかじめ定めた連絡経路に従ってB社から連絡した」
  → 正解。発見者であるB社からA社および関係者に速やかに通知されることで、共同で被害調査・対応・外部報告（顧客・監督官庁）を行えます。通知経路・担当窓口・優先連絡手段（電話・メール）を契約や手順書で決めておくのが実務的です。
• エ: 「一次対応で対応手順よりB社担当者の判断を優先した」
  → 経験は重要ですが、事前に定めた対応手順がある理由は、対応の一貫性・証跡（あとで何をしたか説明できること）・法令遵守の観点です。特に証拠保全が必要な場合、独自判断で手順を省くと調査や責任追及に支障が出ます。

よくある誤解

• 外注したら責任も外注できる：委託しても情報資産の最終責任は委託元に残ります。契約で業務を委ねても、法的・社会的責任は消えません。
• ベテラン担当者の裁量に任せれば問題ない：ベテランでも手順を守ることが重要です。手順は再発防止や説明責任を果たすために存在します。
• SLAは性能指標だけでよい：SLAには障害対応や緊急連絡体制、報告フォーマットやタイムラインも含める必要があります。

補足コラム

• B社がインシデントを検知したら、まず電話でA社の一次窓口に即報告（緊急連絡）。同時に所定のインシデント報告フォームを24時間以内にメールで提出。A社は受領後に関係部署へ展開し、共同で対応方針を決める。
  契約や手順に明記しておくべき項目（例）
• 連絡先（氏名・役職・代替連絡先）と優先連絡手段（電話→メール）
• 通知タイムライン（検知から●時間以内に初報、詳細報告は●時間以内）
• 初期対応の禁止事項（例：ログ削除や機器の初期化は行わない）と証拠保全方法
• 再発防止策の提案プロセスと最終決定者（A社の承認要否）
• 定期的な合同演習（インシデント対応訓練）と報告様式のテンプレート

FAQ