情報セキュリティマネジメント過去問題 平成30年春期 午後問2

問2 

内部不正事案に関する次の記述を読んで,設問1,2に答えよ。

 Q社は,従業員数300名の保険代理店であり,生命保険会社2社,損害保険会社2社と代理店委託契約を締結し,保険商品を販売している。Q社の主な組織,担当業務及び体制を表1に示す。
 Q社では,最高情報セキュリティ責任者(CISO)を委員長とする情報セキュリティ委員会(以下,Q社委員会という)を設置して,情報セキュリティポリシ及び情報セキュリティ関連規程を定めている。総務部長,営業部長はQ社委員会の委員であり,総務部長は総務部の,営業部長は営業部及び全営業所の情報セキュリティ責任者である。また,総務部で,総務及び情報システム管理の業務を担当しているG主任は,総務部の情報セキュリティリーダであり,営業部で,営業所管理・支援業務を担当しているH主任は,営業部及び全営業所の情報セキュリティリーダである。
 Q社の情報セキュリティ関連規程では,役職,職務などに応じて,アクセス可能なデータの範囲及び情報システムの操作権限を適切に設定することを求めている。営業担当者が,保険商品の説明資料や提案書を顧客に渡す方法には,"面会して直接手渡す","郵送する","電子メール(以下,メールという)に添付して送信する"の3通りがある。最近は面会が少なくなり,メールに添付して送信することが大半を占めている。Q社が導入しているメール管理ツールの機能を図1に,メール利用ルールを図2に示す。
 Q社では,ここ数年,売上向上や事務作業効率化を目指して,業務のシステム化を推進している。その一環として,各営業担当者が担当している顧客及び見込客の個人情報(以下,顧客情報という)をデータベース化して一元的に管理する顧客情報管理システム(以下,顧客システムという)を2017年4月3日に利用開始することにした。顧客システムは,営業担当者と営業所管理者が顧客情報を共用し,顧客及び見込客に対して最適な保険商品を迅速に提案することを目的の一つにしている。顧客システムの概要を図3に示す。
 顧客システムは,総務部と営業部の従業員の一部で編成された開発チームが,ベンダの協力を得ながら開発した。2016年10月から3か月間,顧客情報の登録業務などの機能及びユーザビリティの最終確認のために,T営業所で,顧客システムを試行運用した。試行期間中の主な実施事項を次に示す。
  • 営業所の営業担当者全員及び営業所管理者,営業部の顧客管理スタッフ並びに開発チームのメンバ(以下,試行利用者という)に,試行用の利用者IDを付与
  • 営業担当者全員は,自らの顧客情報を登録し,図3の機能を確認
  • 営業所管理者及び営業部の顧客管理スタッフは,図3の機能を確認
  • 開発チームのメンバは,利用者管理機能,顧客情報のダウンロード機能などを確認

 試行終了時に,開発チームは,試行利用者全員に対して,ダウンロードした顧客情報(以下,顧客ファイルという)をPCから削除するように連絡し,試行用の利用者IDを削除した。

〔内部不正事案の発生〕
 2017年3月1日にT営業所のK所長から,総務部の人事担当の主任と,営業部H主任に連絡があった。T営業所のJ主任が3月31日付で退職したいと申し出たということであった。J主任の退職届を3月6日に受理したという連絡が人事担当の主任からあり,H主任は,従業員退職時の点検手続に従って,J主任が退職申出日の1か月前からこれまでに社外に送信したメールをチェックした。Q社では,情報セキュリティ関連規程で会社の秘密情報の社外持出しを原則禁止するとともに,万一持ち出したものがあれば全て返却した旨を退職者に退職時の誓約書で誓約させている。 チェックの結果,J主任の私用と思われるメールアドレス宛てに,ファイルが5回送信されていることが分かった。送信されたファイルは,暗号化されていた。H主任は,分かったことをすぐに営業部長に報告した。営業部長は,総務部長及びK所長に連絡し,H主任とともにT営業所に赴いた。営業部長とK所長は,J主任に面談して事情を確認した。その後,営業部長は,K所長とも面談した。J主任との面談結果を図4に,K所長との面談結果を図5に示す。
 営業部長は,社長及びQ社委員会の委員に一報するとともに,各保険会社に対しても状況を報告した。また,営業部長は,総務部長及び弁護士とも相談して,K所長とH主任に,J主任の自宅を訪問し,後日の調査への備え及び顧客情報保護のために,J主任の自宅のPCを会社で,預かってくるよう指示した。訪問時は,セキュリティ専門事業者の情報処理安全確保支援士(登録セキスペ)であるU氏にも同行を依頼した。
 J主任の自宅で,U氏が確認したところ,メールで送信された顧客ファイルは自宅のPCに保存されていた。K所長は,J主任の同意を得て,自宅のPCを当面,会社で預かることにした。また,面談結果は事実に相違ないこと,顧客情報を業務外で利用していないこと,Q社から持ち出した顧客情報が他に残っていないか改めて確認し,残っていたら直ちに削除することなどについてJ主任から念書をとった。
 営業部長及び総務部長(以下,両部長という)は,今回発生した内部不正事案(以下,事案という)について,3月13日に臨時に開催されたQ社委員会に報告した。また,両部長は,個人情報の保護に関する法律,保険業法,各保険会社との契約などへの対応,社内規程に基づいたJ主任に対する処分と法的措置について,弁護士と相談の上,対応していくことを報告した。Q社委員会では,CISOが両部長に,メールによる顧客ファイルの不正な送信が他にないか調査すること,及び事案の原因分析と再発防止策の検討を早急に行うことを指示した。これらが完了するまで,2017年4月に予定していた顧客システムの全社での利用開始を延期することにした。また,Q社委員会では,翌3月14日に,Q社の秘密情報の取扱いルール,メール利用ルールなどについて,全従業員に緊急に再周知するとともに,同日分から当面の間,社外送信される全メールについて,メール管理ツールを使って監視を行うよう総務部長に指示した。総務部長は,社外送信メールの上長確認を,当面全件行うように社内に周知した。

〔事案のメール調査〕
 Q社委員会の翌日,両部長は,H主任とG主任(以下,両主任という)に,顧客情報をダウンロードして社外に送信した者がJ主任以外にいないかの調査と,事案の原因分析を指示した。
 両主任は,社外送信メールの調査範囲として,対象期間をa,対象者をb1b2に設定した。調査の結果,顧客ファイルの不正送信はなかったが,自宅に仕事を持ち帰るために,私用のメールアドレス宛てに業務関係のファイルを送信している事例が発見された。

〔事案の原因分析〕
 両主任は,事案発生までの顧客システムやメールの取扱い,J主任及びK所長との面談結果から,"不正のトライアングル"を基に,表2のとおり,J主任の立場から見た事案の原因を整理した。また,事案発生までのQ社の状況を確認するために,IPAの"組織における内部不正防止ガイドライン(第4版)"を基に,表3のとおり,原因を整理した。
 両主任によるメール調査と原因分析の結果は,3月29日に両部長に報告され,両部長は再発防止策の検討を,開発チーム,両主任などに指示した。

〔事案の再発防止策の策定〕
 開発チームでは,顧客システムからの顧客情報のタウンロードについて,抽出件数の上限を設けるという対応策を考えた。また,顧客ファイルの保管場所や保管期間についても案を検討した。
 営業所管理者によるメールの確認が不十分であるという問題については,総務部が,個人別の社外送信メール数,送信時刻などを監視するとともに,監視について従業員全員に周知する案をまとめた。
 再発防止策の案が固まり,両部長は,Q社委員会にメール調査結果,原因分析結果,及び再発防止策の案を報告し,了承された。Q社委員会の報告を受けた社長は,全営業所長と面談した上で,営業所の管理業務全般の見直しを取締役会に提案し,併せて営業所管理者に対する教育にも力を入れることにした。
 Q社では,営業所の管理体制の強化及び全従業員への教育も含めた再発防止への取組みを進めた。2017年6月にはその取組みの成果が確認できたので,Q社委員会の承認の下,2017年7月に全社で顧客システムの利用を開始した。

設問1

〔事案のメール調査〕について,(1),(2)に答えよ。
(1) 本文中のaに入れる字句はどれか。解答群のうち,最も適切なものを選べ。
a に関する解答群
  • 2016年10月1日から12月31日まで
  • 2016年10月1日から2017年3月6日まで
  • 2016年10月1日から2017年3月13日まで
  • 2016年10月1日から2017年3月31日まで
  • 2017年1月1日から3月6日まで
  • 2017年1月1日から3月13日まで
  • 2017年1月1日から3月31日まで

解答選択欄

  • a:

解答

  • a=

解説

aについて〕
顧客情報の持出しが行われた可能性があるのは試用期間中である10月からの3ヶ月間です。さらに試用期間終了後も、J主任のようにそのダウンロードデータを社外に送信することができる状態にありました。
3月13日にQ社委員会が開催され、問題への対策として3月14日からは総務部が社外宛メールの全件を監視することになっていますから、3月14日以降の不正送信は起こらないと考えられます。このため調査対象範囲は、試用開始日に当たる10月1日から対策実施日の前日に当たる3月13日までの期間になります。

a=2016年10月1日から2016年3月13日まで
pm02_8.gif/image-size:413×155
(2) 本文中のb1b2に入れる字句の組合せはどれか。bに関する解答群のうち,最も適切なものを選べ。
b に関する解答群
pm02_6.gif/image-size:496×338

解答選択欄

  • b:

解答

  • b=

解説

bについて〕
試用期間中に顧客システムにアクセス可能な状態にあった全員が調査対象になります。

顧客システムの試行はT営業所で行われました。本文中に試行用の利用者IDを付与したのは「営業所の営業担当者全員及び営業所管理者,営業部の顧客管理スタッフ並びに開発チームのメンバ」と説明されていますので、調査対象者はこの全員です。

よってb1には「T営業所の営業担当者及び営業所管理者」、b2には「営業部の顧客管理スタッフ及び開発チームのメンバ」が入ります。したがって「オ」の組合せが正解です。

b=オ

設問2

〔事案の原因分析〕について,(1),(2)に答えよ。
(1) 表2中のcfに入れる字句はどれか。解答群のうち,最も適切なものをそれぞれ選べ。
c,d,e,f に関する解答群
  • Q社が,自分のことを公平に評価してくれないので,営業成績を悪化させて損害を与えたいと考えたこと
  • T営業所が担当する顧客情報には,自分が担当する顧客の情報も多くあり,退職後ももっていても構わないと考えたこと
  • 営業所長が多忙で,不在なときが多く,メールの確認が十分に行われていなかったこと
  • 顧客情報を持ち出して利用すれば,転職先で実力が発揮できて高く評価されると考えたこと
  • 顧客ファイルを会社のPCに保管し続けることができたこと

解答選択欄

  • c:
  • d:
  • e:
  • f:

解答

  • c=
  • d=
  • e=
  • f=
※dとeは順不同

解説

不正のトライアングルとは、不正行動は「動機・プレッシャー」「機会」「正当化」の3要素がすべて揃った場合に発生するという理論で、米国の組織犯罪研究者であるドナルド・R・クレッシーにより提唱されました。

不正発生の要因は以下の3要素です。
動機・プレッシャー
自己の欲求の達成や問題を解決するためには不正を行うしかないという考えに至った心情のこと。例えば、「過大なノルマ」、「個人的に金銭的問題がある」という心情が、これに当てはまる。
機会
不正を行おうと思えばいつでもできるような職場環境のこと。例えば、「悪用可能なシステムの不備が存在する」、「チェックする人がいない」「やってもばれない」という職場環境が、これに当てはまる。
正当化
自分に都合の良い理由をこじつけて、不正を行う時に感じる「良心の呵責(かしゃく)」を乗り越えてしまうこと。例えば、「組織のためであり、悪いことではない」、「自分のせいではない、組織・制度が悪い」「職場で不遇な扱いを受けている」等の身勝手な言い訳(罪悪感からの逃避や責任転嫁)が、これに当てはまる。
pm02_7.gif/image-size:331×222
cについて〕
「動機・プレッシャ」とは、不正行動を起こした・または起こさざるを得なかった理由のことです。
J主任が顧客情報を持ち出そうとした動機は転職先で利用するためなので、cには「エ」が入ります。

c=エ

deについて〕
「機会」とは、不正行動を起こせるシステム上または管理上の隙のことです。

まず1つ目は、上長によるメールのチェックがされていなかったことです。Q社では上長がBccで届いた社外送信メールを確認するルールになっていましたが、実際には上長は多忙で確認を怠っている状態でした。これがJ主任に不正送信をしてもばれないと思わせる隙になりました。
2つ目は、試行期間中にダウンロードしたデータの削除が徹底されていなかったことです。営業所責任者であるK所長は、開発チームからの連絡があった時点で営業所内に周知していましたが、実際に削除したかどうかについて試行利用者のPCの中までは確認していません。J主任はこれを悪用してデータを削除せずに自身のPC内にそのまま保管しておくことができました。

この2点が不正のトライアングルの「機会」に該当します。

d=ウ(順不同)
 e=オ(順不同)

fについて〕
「正当化」とは、自分自身の勝手な解釈によって不正行動を起こすハードルを下げる要因となるものです。
J主任はヒアリングにおいて「自分の担当する顧客の情報は退職後ももっていて構わない」という考えを述べていますが、実際には顧客情報は会社の秘密情報であり誤った考え方です。しかし、J主任にとってはこの理屈が「この行動は不正ではない」と自分を正当化する理由になっていたことがわかります。よってfには「イ」が入ります。

f=イ
(2) 表3中のgiに入れる字句はどれか。解答群のうち,最も適切なものをそれぞれ選べ。
g,h,i に関する解答群
  • 営業所ごとの個別の情報セキュリティリーダの任命・配置が未実施
  • 営業所長が多忙で,不在なときが多く,営業所内のコミュニケーションが不十分
  • 社外送信メールの記録と保存が不十分
  • 社内の懲戒処分を含めた内部規程及びメール利用ルールなどの周知,教育が不十分
  • 従業員退職時の点検手続及びチェックが不十分
  • 内部不正事案発生時の報告体制及び調査のための備えが不十分
  • 本社において,情報セキュリティ責任者及び情報セキュリティリーダが不足

解答選択欄

  • g:
  • h:
  • i:

解答

  • g=
  • h=
  • i=

解説

IPAが公開している"組織における内部不正防止ガイドライン"では、内部不正を防ぐ管理のあり方として以下の10の観点を挙げています。
  1. 基本方針(経営者のリーダーシップによる基本方針の策定及び組織的な管理体制の構築)
  2. 資産管理
  3. 物理的管理
  4. 技術・運用管理
  5. 証拠確保
  6. 人的管理(継続的な教育、雇用終了時の人事手続き、情報資産の返却など)
  7. コンプライアンス
  8. 職場環境(公平な人事評価、 適正な労働環境及びコミュニケーション、職務分掌など)
  9. 事後対策
  10. 組織の管理
これを踏まえて、各選択肢の事案が適切であるか、または内部不正防止ガイドラインにおけるどの観点に相当するかを検討します。
  • Q社では、営業所全体として本社営業部のH主任を情報セキュリティリーダに任命していましたが、営業所ごとのリーダは任命されていない状態でした。この点が情報セキュリティ体制の構築における不備であり、基本方針面から見た原因になります。よってgには「ア」が入ります。
  • 多忙な所長が管理業務をスタッフに任せていたために、所長と営業員とのコミュニケーションが不足していたことが職場環境面から見た原因となります。よってiには「イ」が入ります。
  • メール管理ツールの機能で社外送受信メールの自動保存が行われているので、管理上の不備には当たりません。
  • 営業員が社外に秘密情報を持ち出したり、営業所長がBccメールのチェックを怠っていたりするなど、教育不足によるT営業所のセキュリティ意識の低さが人的管理面から見た原因となります。よってhには「エ」が入ります。
  • 退職時には定められた点検手続きに従って、退職申出日の1か月前からこれまでに社外に送信したメールをチェックしているので問題ありません。
  • H主任は不正を見つけるとわかったことをすぐに営業部長に連絡し、営業部長は総務部とK所長に連絡するとともに現地での面談を実施しています。営業部長は、その後社長及びQ社委員会の委員に報告しているため、適切な報告並びに連絡体制が整っていたことがわかります。
  • 本社ではCISOを委員長とする情報セキュリティ委員会が設置され、各部の長が委員となっています。さらに各部の主任1人を情報セキュリティリーダに任命しており十分な体制です。
g=ア
 h=エ
 i=イ

参考URL: IPA 組織における内部不正防止ガイドライン
 https://www.ipa.go.jp/files/000057060.pdf
© 2015-2019 情報セキュリティマネジメント試験ドットコム All Rights Reserved.

Pagetop