プロジェクトマネージャ 2018年午前2 問21

問題文

システム開発を請負契約でベンダに委託する場合、ベンダに起因する、機密漏えいなどの情報セキュリティ事故を防止するために、委託する側がとるべき手段として、適切なものはどれか。

🖊️ 解答を隠して解いてみる

ア：委託業務に関する情報セキュリティレベルを取り決め、情報セキュリティ対策実施状況の定期的な報告を義務付け、適時に監査を実施する。（正解）

イ：情報セキュリティに関するルールの違反者個人に対する高額なペナルティを取り決める。

ウ：ベンダの業務手順、体制図を提示させ、委託する側でプロジェクト全体の情報セキュリティ対策手順、詳細な体制図を作成して指揮命令する。

エ：ベンダの選定条件を厳しく設定し、選定後はベンダに情報セキュリティ対策の管理を一任する。

🔒 解説は解答すると表示されます

請負契約でシステム開発を委託する場合、委託先であるベンダに情報セキュリティ対策を任せきりにせず、委託元が必要な対策を契約などで明確にし、その実施状況を確認することが重要です。

アは、委託業務に必要な情報セキュリティレベルを取り決めたうえで、対策状況の定期報告や監査を求めています。これにより、対策の実施状況を把握し、不備があれば是正を促せるため、委託元がとるべき手段として適切です。

ア：適切です。セキュリティ要件を合意し、報告と監査によって実施状況を確認できます。
イ：不適切です。違反者個人への高額なペナルティだけでは、組織としての対策状況を把握・改善できません。予防策や監査の代わりにはなりません。
ウ：不適切です。委託元が詳細な手順や体制を作り、ベンダを指揮命令する方法は、請負契約における役割分担にそぐわない場合があります。委託元は要件や成果を定め、契約に基づいて管理するのが基本です。
エ：不適切です。ベンダの選定条件を厳しくすることは有効ですが、選定後に管理を一任すると、実際の対策状況を把握できず、事故の予防や早期発見が難しくなります。

委託先管理では、契約時に情報の取扱い、アクセス制御、事故発生時の報告、再委託の条件、記録の保管などを明確にしておくことが大切です。さらに、定期報告や監査で実施状況を確認し、問題が見つかった場合の是正方法も取り決めておくと、より実効性のある管理になります。

Q. ベンダの選定時にセキュリティ審査をすれば十分ですか？
A. 十分とは限りません。契約後も、対策の実施状況や体制の変更を継続的に確認する必要があります。

Q. 監査は必ず現地で行う必要がありますか？
A. 必ずしも現地監査に限りません。契約内容やリスクに応じて、報告書の確認、質問票による確認、現地監査などを組み合わせます。

関連キーワード: 委託先管理、情報セキュリティ監査、請負契約、セキュリティ要件、再委託管理

\ せっかくなら /

プロジェクトマネージャを
クイズ形式で学習しませんか？

すぐに利用可能！