情報セキュリティマネジメント 2018年 春期 午前（科目A） 問04

退職者による不正防止【情報セキュリティマネジメント解説】

正解の理由

• 退職直前にアクセス権限を見直し、不要な権限を削除または一時的に制限すること。
• 重要情報へのアクセスや外部媒体への書き出しを監視・記録し、不正を早期に発見できるようにすること。 これらは「被害の予防」と「不正発覚時の証拠確保」の両面で有効です。

解法ステップ

1. 問題が求める観点を確認：IPAのガイドラインに照らした「退職者による不正防止」策で適切かを問うている。
2. ガイドラインの主要原則を思い出す：明確性（対象の特定）、最小限の制約、アクセス制御・監視の実施、労働法や職業選択の自由の尊重。
3. 各選択肢がガイドラインに合致しているかを照らし合わせる：
   • 秘密保持の範囲が明確か
   • 競業避止が過度でないか
   • アカウント管理は適切か
   • 監視・アクセス制御は実効性があり適法か
4. 矛盾や法令上の問題点を含む選択肢を順に除外する。
5. 最終的に監視とアクセス制御を強化する選択肢（エ）を選ぶ。

選択肢別の誤答解説

• ア: 在職中に知り得た重要情報を退職後に公開しないように、退職予定者に提出させる秘密保持誓約書には、秘密保持の対象を明示せず、重要情報を客観的に特定できないようにしておく。
  → 間違いです。秘密保持（NDA：Non-Disclosure Agreement、機密保持契約）は、守るべき情報の範囲を明確にすることが重要です。あいまいにすると従業員・企業双方に不利益（何が禁止か不明で運用困難、法的執行性の低下）があります。IPAも機密の特定性を重視します。
• イ: 退職後、同業他社に転職して重要情報を漏らすということがないように、職業選択の自由を行使しないことを明記した上で、具体的な範囲を設定しない包括的な競業避止義務契約を入社時に締結する。
  → 間違いです。職業選択の自由は基本的人権的に重要です。包括的で範囲の定まらない競業避止義務は原則として無効または無効化されやすく、ガイドラインも「合理的かつ限定的な範囲」を求めています。条件（期間、地域、業務範囲）や対価の検討が必要です。
• ウ: 退職者による重要情報の持出しなどの不正行為を調査できるように、従業員に付与した利用者IDや権限は退職後も有効にしておく。
  → 間違いです。退職後にアカウントや権限を残すと、最も単純かつ重大なリスク（不正アクセス）になります。ガイドラインでは退職時にアクセス権を速やかに無効化することが基本です。調査はログや監査証跡で行えばよく、アカウントを維持する必要はありません。
• エ: 退職間際に重要情報の不正な持出しが行われやすいので、退職予定者に対する重要情報へのアクセスや媒体の持出しの監視を強化する。
  → 正しいです。退職前後はリスクが上がるため、アクセス制限や持出し監視（例えばデータの外部出力のアラート、USB持出しの制限、ログの集中的確認）を強化することが適切です。ただし監視は合理的に行い、プライバシーや法令を遵守する必要があります。

よくある誤解

1. 「秘密保持はぼんやり書いておけばよい」
   → ぼんやりだと実務で運用できず、法的効力も弱くなります。何を守るかを具体的に示すことが重要です。
2. 「厳しく縛れば不正を完全に防げる」
   → 過度な競業禁止や常時監視は法的問題や職場の信頼低下を招きます。予防と検知、権限管理をバランスよく組み合わせるべきです。
3. 「退職者のアカウントを残しておくと調査が楽になる」
   → アカウントを残すと不正利用の温床になります。ログやバックアップで調査し、アカウントは速やかに無効化します。

補足コラム

• 退職予定が決まった時点で関係部門（人事・情報システム・管理部門）に通知する。
• アクセス権の棚卸し：業務で使うシステム・データを特定し、不要な権限は速やかに削除する。
• 退職前の監視強化：重要ファイルへのアクセスログ、外部へのファイル送信、USB/クラウドへの書き出しを監視する（DLP：Data Loss Prevention、データ流出防止）。
• 資産回収と端末初期化：社用PCやスマートフォン、USB等を回収し、必要に応じてデータをバックアップして初期化する。
• 退職面談で口頭・書面での確認：保有情報、秘密保持義務の再確認、必要書類の回収。
• ログの保存と証拠保全：不審な行動があった場合に備え、ログは適切に保管する。

• 監視を導入する際は、従業員に方針を周知しておくこと（事前通知は法令順守の観点でも重要）。
• 法的な限界（個人情報やプライバシー）を越えないよう、必要に応じて法務・人事と相談すること。
• 競業避止の規定を設ける場合は、期間・地域・業務範囲を限定し、合理性と対価の検討が必要。

• IPA（Information-technology Promotion Agency：情報処理推進機構）
  → 日本のIT関連の推進・ガイドライン作成を行う公的機関。
• DLP（Data Loss Prevention：データ流出防止）
  → 機密データの持出しや送信を検出・阻止する技術や仕組み。

FAQ