顧客データの入力業務を委託している委託先で、作業用PCのマルウェア感染が起きた。 委託先は月例の作業報告書でこれを伝えてきたため、自社が知ったのは発生から3週間後だった。 次回の契約更新で見直す内容として、最も適切なものはどれか。

正解：エ

各選択肢の解説

1. ア月例の作業報告書の様式に、インシデントの発生状況を記入する欄を新たに設ける。

   誤り。報告の漏れは減りますが、伝わる時期は月に1回の報告のままです。今回の問題は 内容ではなく知るまでの遅さなので、定期の報告に載せても3週間の遅れは解消しません。

2. イ委託先の従業員に情報セキュリティの研修を年1回以上実施させ、受講記録を出させる。

   誤り。研修は感染を起こしにくくする予防の対策で、委託先の管理として意味はあります。 ただ、事故は研修をしても起こりえます。起きたときに委託元へすぐ伝わる仕組みは 別に定めないと、今回と同じ遅れが繰り返されます。

3. ウ委託先で起きた事故は委託先の責任で対処させ、対処の結果だけを年度末に報告させる。

   誤り。業務を委託しても、預けた顧客データについての責任は委託元に残ります。 顧客への連絡や、外部への報告が必要かどうかの判断は委託元が行うので、 結果だけを後から受け取る形では対応が間に合いません。

4. エ委託先で事故が起きたときは、定めた連絡先へ直ちに報告する義務とその手順を定める。

   正解。委託元は、影響の調査や顧客への連絡、外部への報告の要否をすぐ判断する必要があります。 定期の報告とは別に、事故のときの即時の報告を契約で義務づけ、連絡先と手順を決めておきます。

理解を深めるために