正解：イ
各選択肢の解説
ア公平にするため確認の深さを職務によらずそろえ、全応募者に最も厳しい確認を行う。
誤り。選考の確認は、就く職務で扱う情報の重要度とリスクに見合う深さで行います。 誰にでも最も厳しい確認をすると、必要以上に個人の情報を集めることになり、 法令や倫理の面でも問題が生じます。そろえるのは「確認を行うこと」で、深さではありません。
イ経歴などの確認を、法令に従い、扱う情報の重要度とリスクに見合う深さで入社前に行う。
正解。選考は、組織に加わる前に、職務に見合った確認を法令の範囲で行う管理策です。 重要な情報を扱う管理者には、それに応じた確認が求められます。
ウ入社前の確認は省き、採用後に問題が起きたときに経歴を調べ直せば足りる。
誤り。選考は、問題のある人に重要な情報を扱わせる前に防ぐための管理策です。 問題が起きてから調べるのでは、防ぐ機会を逃しています。入社後も継続して 確認することはありますが、入社前の確認を省く理由にはなりません。
エ入社後のアクセス権を最小限に絞れば、入社前の経歴の確認は行わなくてよい。
誤り。アクセス権の管理は組織的管理策で、選考の代わりにはなりません。 しかもデータベースの管理者には強い権限を与えざるを得ないので、 権限を絞って危険を減らすという前提がこの職務では成り立ちません。
理解を深めるために
鍵を預ける前に、預ける相手を確かめる
金庫の鍵を預ける相手を決めるとき、受付の担当者と同じ確かめ方では足りません。 一方で、すべての来訪者に金庫番と同じ身元調査をするのはやりすぎです。 人的管理策の「選考」は、任せる仕事の重さに見合った確認を、任せる前に行うことを求めます。
選考で押さえる3つの点
JIS Q 27002 の選考は、次の考え方で行います。
- 時期: 組織に加わる前に行う。必要に応じて入社後も継続して確認する
- 深さ: 扱う情報の重要度（情報の分類）と、想定されるリスクに見合わせる
- 範囲: 関係する法令や倫理に従う。必要以上の個人の情報は集めない
個人情報データベースの管理者は、大量の重要な情報に強い権限で触れる職務です。 経歴や資格の確認を、一般の職務より丁寧に行う理由がここにあります。
混同しやすいものとの違い
| 対策 | 中身 |
|---|---|
| 選考 | 加わる前に、職務に見合う深さで経歴などを確かめる（人的） |
| 一律に最も厳しい確認 | 職務との釣り合いを欠き、必要以上の個人の情報を集める |
| 問題が起きてからの調査 | 防ぐための確認になっていない |
| アクセス権の管理 | 与える権限を決める手続（組織的）。選考の代わりにならない |
選考の問題では、「いつ（加わる前）」と「どの深さで（職務とリスクに見合う）」の 2点がそろっている選択肢を選びます。