企業統合における情報セキュリティガバナンスに関する次の記述を読んで，設問1～3に答えよ。

　X社は，本社の他に20か所の地方営業所(以下，営業所という)を有する，法人向けオフィス機器などの販売代理店業を営む非上場会社で，従業員数は320名である。従業員のうち営業に従事する者(以下，営業員という)は200名である。X社は，旧X社が同業で業績が低迷していた旧Y社を，販路拡大のために，2016年4月1日に吸収合併してできた。
　X社の社長は，合併直後，株式の上場，取引先からの信頼の維持・向上及び事業継続性の向上のために，全社的な業務の効率化，コーポレートガバナンスの強化及び社内の情報システムの計画的な統合を図ることを社長方針として周知した。社長方針を実行に移すために，社長直下に経営企画室を設置し，ITに詳しいC氏を室長に任命した。コーポレートガバナンスの強化の一環として，情報セキュリティガバナンスを整備するために，社長を委員長，経営企画室を事務局とし，各部室長を委員とする情報セキュリティ委員会(以下，委員会という)を設置した。また，経営企画室の職務分掌には，全社的な情報システムの企画及び運用を含めた。A部長が率いる営業統括部では，全社的な営業戦略の策定及び営業管理を行っている。営業統括部には管理課がある。管理課のB課長は，委員会の指示の下，営業部門全体の情報セキュリティに関わる実務を担当する情報セキュリティリーダーである。
　営業所数は，旧X社が15，旧Y社が10であったが，合併後，統廃合によって旧X社が14，旧Y社が6の計20となった。合併時点で，旧Y社からの事業の承継に伴い提供された顧客データを含め，X社の顧客データベースに登録されている顧客企業の購買担当者数は2,800名となった。
　X社では，全ての営業所にLAN環境が整備されている。各営業所の従業員は，会社貸与のデスクトップPC(以下，業務PCという)をLAN環境に接続して使用している。本社と各営業所のLANの間は，WAN回線で結ばれ，本社においてインターネットに接続している。旧X社及び旧Y社(以下，両社という)での業務用ITツールの利用方法を表1に，2016年3月末時点での旧X社の情報セキュリティポリシー(以下，情報セキュリティポリシーをポリシーという)を図1に示す。　ポリシーは旧X社だけが整備していた。旧X社のポリシーを旧Y社の営業所へ適用する時期については，経営企画室が検討し，委員会に諮ることにした。そこで，C室長は，情報資産の特定及びリスクアセスメントを2016年5月中旬から開始し，現状の情報資産の取扱状況及び情報セキュリティ対策を調査したところ，同年6月中旬に，旧X社と比べて旧Y社の営業所での情報資産の取扱いがずさんなことが明らかになった。

〔情報システムの利用の変化〕
　X社では，旧X社で導入済みの営業支援ツールの利用を2016年7月から全社的に開始した。同年8月からは，業務用のメール利用も旧X社で導入済みの方法に全社で統一し，メールの添付ファイルのサイズを5Mバイト以下とする設定にした。同時に，毎年，社外への送信メールを監査することにし，監査証跡として1年間分の送信メールを残すために，メールアーカイブサーバをメールサーバとは別に設置した。

　経営企画室が，2016年9月に合併後の従業員満足度及び旧X社のポリシーの全社適用についての社内アンケートを行った。その結果，旧Y社の営業員から，不慣れな業務用ITツールの利用による勤務時間の増加に対する不満，及び旧X社のポリシーを全社に適用する方針についての反発が多いことが分かった。そこで，旧X社のポリシーの適用は，旧Y社の営業所では，条文によって時期を分け，2016年10月から1年掛けて段階的に行う方針を委員会で決定した。
　段階的なポリシーの適用を進めていたところ，2015年に改正された個人情報の保護に関する法律の全面施行日を2017年5月30日とする政令が，2016年12月20日に閣議決定された。X社が取り扱う個人情報は，合併以降2016年12月20日まで3,800件を超えることはなかったが，①改正法の全面施行日以降は，X社も，個人情報取扱事業者に該当することになる。そこで，委員会では方針を変更し，2017年1月10日に，旧X社のポリシーを2017年4月1日から全社適用することにした。社長から経営企画室及び管理課(以下，両課室という)に対して，旧X社のポリシーの全社適用と社長方針の具体的推進を行うよう指示があった。特に，社会的責任にも配慮したコーポレートガバナンスと，それを支えるメカニズムであるaの仕組みを，情報セキュリティの観点から，社内に構築・運用するよう指示があった。そこで，両課室は，次の検討を開始した。

• 業務用ITツールの利用による営業効率の最大化及び営業活動の可視化
• 情報セキュリティ対策の強化

　両課室は，PC管理ツール及びセキュアUSBメモリ(以下，2対策という)を旧X社のポリシーの全社適用と同時に全社導入することを，2017年1月中旬に全従業員に通知した。PC管理ツールには，USBデバイス管理機能が含まれている。通知後，旧Y社の営業員から反対意見が管理課に寄せられたので，C室長は旧Y社の情報資産の取扱いにおけるリスクを旧Y社の営業員に説明した。B課長とC室長は，旧X社のポリシーの適用及び2対策の導入について，効果，業務への影響，現場の意見を確認するために，旧Y社の営業所1か所で試行導入することを検討した。B課長とC室長の検討の結果，反対意見が多く，情報資産の取扱いが最もずさんで，試行導入後の業務への影響が大きそうな北関東営業所で試行することを委員会に諮り，了承された。北関東営業所の概要を図2に示す。〔メールの誤送信〕
　北関東営業所での2対策の試行内容の概要は，図3のとおりである。2017年3月6日から，北関東営業所で旧X社のポリシーの全面適用及び2対策の試行を開始した。　2017年3月17日正午，北関東営業所の営業員のEさんの担当顧客M氏が，Eさんから，無題かつ本文なしであるが添付ファイル付きのメールを受信した。M氏は不審に思い，同日午後2時，その旨を営業所にいたD所長に電話で伝えた。その直後，D所長からM氏の電話内容を聞いたEさんは，誤送信をM氏に謝罪し，そのメールの削除を依頼した。そのメールには，社外秘文書ファイルが添付されていたが，そのファイルは旧X社のポリシーに則してbしてあった。そのため，M氏はファイルを開こうとしたが開くことができず，内容の確認ができなかったので，情報漏えいという重大な事故には至らなかった。D所長はこの件についてB課長に報告をした。B課長は，念のために，試行開始後，他の営業員もEさんと同様なメール誤送信がないかD所長に調査を依頼したところ，②メール誤送信には至らなかったが，送信直前の確認で宛先の間違いに気づいて修正してから送信した事例が6件あったという報告を受けた。B課長は，このままでは後に重大な事故が起きると考え，メール誤送信未遂とEさんの件の詳しい調査をD所長に依頼した。

〔情報セキュリティガバナンスの向上〕
　D所長は，Eさんへの聞き取り調査の結果を，図4のとおりB課長に報告した。　D所長は，3月17日時点でのセキュアUSBメモリの管理台帳を確認し，貸出し中のものの中には，借用期限が過ぎたものが5個あったこと，1人で2個以上のセキュアUSBメモリを同時に借りていた営業員が3人いたことをB課長に報告した。B課長は，D所長から報告を受けた直後，Eさんが用いた業務PC，メールアーカイブサーバなどの調査を経営企画室に依頼した。経営企画室が，④Eさんからメールの添付ファイルのパスワードを聞きながら調査を進めたところ，試行開始後にEさんが旧X社のポリシーに違反していたことが確認できた。そのため，B課長は，Eさんと話をしてメール誤送信の根本的な原因を明らかにすることにした。次は，そのときのB課長とEさんの会話である。

B課長:

今回のメール誤送信の件は，情報漏えいには至りませんでした。M氏がそのメール受信直後に当社に連絡してくれたので，我々もすぐに誤送信に気づくことができ，幸運でした。しかし，メール誤送信の根本的な原因を明らかにしたいと思っています。そもそも，なぜ，旧X社のポリシーに違反して社外秘文書ファイルを送信したのですか。

Eさん:

試行のせいで業務の効率が悪くなったからです。

B課長:

業務の効率が悪くなったのは問題なので，解決していきましょう。ところで，試行内容について，詳しい説明はありませんでしたか。

Eさん:

いいえ，営業所内の営業員に対しては，試行開始直前，D所長から試行の概要説明があっただけでした。

B課長:

なるほど。D所長によるセキュアUSBメモリの管理台帳の確認結果も，営業員への試行内容に関する説明が不十分だったことを示していますね。それで，図4のようなことになったのですね。

　B課長は，Eさんとの会話の後，北関東営業所の営業員に試行内容を周知した。加えて，メールの宛先入力自動補完機能の使用禁止について意見を聴いた。そうしたところ，営業員から要望が出されたので，それらの要望を試行に関する報告書の一部として図5に取りまとめた。　B課長は，図5の各要望への対応とメール誤送信の防止をどのように両立させるかについて，C室長に相談した。次は，C室長とB課長の会話である。

C室長:

(a)は，営業員の営業効率の向上には有効なので，同意します。ただし，(a)を実現するためには，⑤次の二つの条件を両方満たす対策が必要です。一つ目はデータの漏えい・消失のリスク又はそれによる被害のリスクが低減可能であること，二つ目は社長方針に沿うことです。(b)及び(c)については，D所長によるセキュアUSBメモリの管理台帳の確認結果とEさんへの聞き取り調査の結果から分かる問題のうち幾つかを解決すれば，(b)及び(c)の要望自体が出なくなります。一方，(d)の宛先入力自動補完機能は，今回のメール誤送信を引き起こした原因の一つなので，無効化すべきと考えます。いかがですか。

B課長:

(b)及び(c)については，C室長の意見に賛成です。しかし，(d)については，この機能がないと，メールアドレスを全て手入力することになるので，非常に不便だと思います。旧X社のポリシーに従った，かつ，誤送信も低減できる形で，メールの宛先の入力を便利にする方法はありませんか。

C室長:

二つの方法があります。一つ目は，宛先入力自動補完機能を無効化させた上で，cという方法です。二つ目は，宛先入力自動補完機能を無効化させずに，dという方法です。

B課長:

(d)は要望どおりとして，追加費用は掛かりますが，dという方法が，情報セキュリティ対策としてバランスが良いと思います。(e)については，現場の意見を聞くためのワーキンググループ(以下，現場WGという)を立ち上げたいと思います。そして，現場WGをまとめられる人材に現場WGを運営してもらって，業務効率向上と情報セキュリティ対策強化が両立できる提案をまとめてもらえるよう，A部長と相談します。

　A部長及びC室長は，委員会において，試行結果及びメール誤送信の報告を行った。委員会では，始めは社長方針の実現のためにe1で取り組み，さらに現場の意見をくみ取るというe2によってバランスを取るというB課長の姿勢が高く評価された。A部長は，B課長からの相談内容について，現場WGの設置を委員会に提案し，承認された。その後，4月1日に旧X社のポリシーが全社適用された。さらに，上場企業に必要なaの六つの基本的要素の一つであるITへの対応の準備，全社的な業務の効率化，情報セキュリティガバナンスの強化が図られることになった。