組織における内部不正防止ガイドライン｜情報セキュリティマネジメント 令和4年 サンプル問題 問2
出典：令和4年度 サンプル問題 科目A 問2
分野：セキュリティ ／ 情報セキュリティ対策
退職する従業員による不正を防ぐための対策のうち，IPA"組織における内部不正防止ガイドライン（第5版）"に照らして，適切なものはどれか。
- ア：在職中に知り得た重要情報を退職後に公開しないように，退職予定者に提出させる秘密保持誓約書には，秘密保持の対象を明示せず，重要情報を客観的に特定できないようにしておく。
- イ：退職後，同業他社に転職して重要情報を漏らすということがないように，職業選択の自由を行使しないことを明記した上で，具体的な範囲を設定しない包括的な競業避止義務契約を入社時に締結する。
- ウ：退職者による重要情報の持出しなどの不正行為を調査できるように，従業員に付与した利用者IDや権限は退職後も有効にしておく。
- エ：退職間際に重要情報の不正な持出しが行われやすいので，退職予定者に対する重要情報へのアクセスや媒体の持出しの監視を強化する。
TSUNAGARU-ADVICE
まず押さえたいこと
退職予定者による内部不正では、退職直前に重要情報を持ち出すリスクが高まるため、重要情報へのアクセスや外部媒体への持出しを重点的に監視することが有効です。退職手続では、秘密保持や権限削除とあわせて、退職前後の不審な操作を確認できる体制を整えます。
迷ったときの判断軸
退職者対策では、秘密保持義務の明確化、必要に応じたアクセス権限の見直し、重要情報の持出し監視、退職後の不要な権限の削除といった観点で整理すると判断しやすくなります。
秘密保持誓約書は対象となる重要情報を明確にし、競業避止義務も必要性や範囲を合理的に設定することが重要です。また、退職者の利用者IDや権限を残すと、むしろ不正アクセスの機会を与えてしまいます。退職時は「監視を強化し、不要な権限は速やかに無効化する」と整理しましょう。
科目Bにつなげるために
科目Bでは、退職予定者が大量のファイルを閲覧・コピーしている、外部媒体を接続しているなどの事例から、内部不正の兆候を読み取ることがあります。アクセスログ・媒体利用・権限変更・退職日を時系列で確認し、予防と事後追跡の両面から対策を考えられるようにしましょう。
退職予定者は、退職後の転職や独立などを目的として、在職中にアクセスできる重要情報を持ち出すリスクが高まる場合があります。そのため、IPAの「組織における内部不正防止ガイドライン」では、退職時や退職前後における情報へのアクセスや持出しについて、適切に管理・監視することが重要とされています。
本問では、「退職間際に重要情報の不正な持出しが行われやすい」という点が判断のポイントです。退職予定者に対して、重要情報へのアクセスやUSBメモリなどの媒体の持出しを重点的に監視することは、内部不正の防止や早期発見につながります。そのため、エが適切です。
❌他選択肢が誤りの理由ア：在職中に知り得た重要情報を退職後に公開しないように，退職予定者に提出させる秘密保持誓約書には，秘密保持の対象を明示せず，重要情報を客観的に特定できないようにしておく。
⇒秘密保持の対象は、何を保護すべき情報として扱うのかを明確にする必要があります。対象をあえて特定できないようにすると、従業員が守るべき情報を判断しにくくなり、適切な秘密保持につながりません。
イ：退職後，同業他社に転職して重要情報を漏らすということがないように，職業選択の自由を行使しないことを明記した上で，具体的な範囲を設定しない包括的な競業避止義務契約を入社時に締結する。
⇒競業避止義務を定める場合でも、対象となる業務、期間、地域などを合理的な範囲で設定することが重要です。職業選択の自由を全面的に制限するような包括的な契約は適切ではありません。