退職する従業員の不正防止｜情報セキュリティマネジメント 令和元年 秋期午前試験 問4
出典：令和元年秋期 午前 問4
分野：セキュリティ ／ 情報セキュリティ対策
退職する従業員による不正を防ぐための対策のうち，IPA"組織における内部不正防止ガイドライン（第4版）"に照らして，適切なものはどれか。
- ア：在職中に知り得た重要情報を退職後に公開しないように，退職予定者に提出させる秘密保持誓約書には，秘密保持の対象を明示せず，重要情報を客観的に特定できないようにしておく。
- イ：退職後，同業他社に転職して重要情報を漏らすということがないように，職業選択の自由を行使しないことを明記した上で，具体的な範囲を設定しない包括的な競業避止義務契約を入社時に締結する。
- ウ：退職者による重要情報の持出しなどの不正行為を調査できるように，従業員に付与した利用者IDや権限は退職後も有効にしておく。
- エ：退職間際に重要情報の不正な持出しが行われやすいので，退職予定者に対する重要情報へのアクセスや媒体の持出しの監視を強化する。
TSUNAGARU-ADVICE
まず押さえたいこと
退職予定者による内部不正では、退職前に重要情報を持ち出すリスクが高まるため、重要情報へのアクセスや外部記憶媒体への持出しなどを重点的に監視することが有効です。退職時期が近い利用者について、不自然な大量アクセスやファイルコピーがないかを確認します。
迷ったときの判断軸
秘密保持誓約では対象となる重要情報を明確にし、競業避止義務も必要性や範囲を適切に定めることが重要です。また、退職者の利用者IDや権限を残しておくと、むしろ不正アクセスの原因になります。退職前は監視を強化し、退職時には不要な権限を速やかに削除すると整理しましょう。
試験では、「退職予定者＝権限の見直し・重要情報へのアクセス監視・媒体持出しの監視を強化する」と押さえると判断しやすくなります。
科目Bにつなげるために
科目Bでは、退職予定者が大量のファイルを参照したり、USBメモリへコピーしたりするログから内部不正を疑う場面があります。アクセスログや媒体利用ログの監視・権限の見直し・退職時のアカウント無効化を一連の対策として考えられるようにしておきましょう。
退職予定者による内部不正では、退職直前に重要情報を持ち出し、その後の転職先などで利用・漏えいするリスクがあります。そのため、退職が決まった従業員については、重要情報へのアクセスや外部記憶媒体の利用などを重点的に監視することが有効です。
本問では、「退職間際に重要情報の不正な持出しが行われやすいので」「アクセスや媒体の持出しの監視を強化する」という部分が判断のポイントです。退職予定者による情報持出しリスクを直接抑える対策なので、エが適切です。
❌他選択肢が誤りの理由ア：在職中に知り得た重要情報を退職後に公開しないように，退職予定者に提出させる秘密保持誓約書には，秘密保持の対象を明示せず，重要情報を客観的に特定できないようにしておく。
⇒秘密保持の対象が不明確では、何を守るべきかを客観的に特定できません。秘密保持義務を有効に機能させるためには、対象となる重要情報を適切に明確化する必要があります。
イ：退職後，同業他社に転職して重要情報を漏らすということがないように，職業選択の自由を行使しないことを明記した上で，具体的な範囲を設定しない包括的な競業避止義務契約を入社時に締結する。
⇒競業避止義務は、職業選択の自由との関係から、期間・地域・対象業務などについて合理的な範囲を設定する必要があります。具体的な範囲を定めない包括的な契約は適切ではありません。
ウ：退職者による重要情報の持出しなどの不正行為を調査できるように，従業員に付与した利用者IDや権限は退職後も有効にしておく。
⇒退職後も利用者IDや権限を有効にしておくと、退職者による不正アクセスのリスクが高まります。退職時には不要となったアカウントや権限を速やかに無効化・削除する必要があります。