人的資源のセキュリティ

ISMS(ISO/IEC 27001)において、組織は自社の正社員・役員だけでなく、業務を委託しているパートナー企業や外部委託先の要員に対しても、組織の情報セキュリティ基本方針やセキュリティ手順の遵守を契約等を通じて要求し、担保しなければなりません。したがって「他社には要求しないようにする」とした記述(ウ)は不適切です。 雇用候補者の身元や経歴の確認を法令・倫理に従って行うことは適切な管理策です。 セキュリティ違反時の懲戒手続きをあらかじめ定めて周知することは適切な管理策です。 退職後も守秘義務などのセキュリティ責任を継続して遵守させることは適切な管理策です。

ISMSの情報セキュリティリスク対応における,人的資源に関するセキュリティ管理策の記述として,適切でないものはどれか。

出典令和2年度 ITパスポート試験 公開問題 問84
ア
雇用する候補者全員に対する経歴などの確認は,関連する法令,規制及び倫理に従って行う。
イ
情報セキュリティ違反を犯した従業員に対する正式な懲戒手続を定めて,周知する。
ウ
組織の確立された方針及び手順に従った情報セキュリティの適用を自社の全ての従業員に要求するが,業務を委託している他社には要求しないようにする。
エ
退職する従業員に対し,退職後も有効な情報セキュリティに関する責任事項及び義務を定めてその従業員に伝え,退職後もそれを守らせる。