情報セキュリティマネジメント試験 令和7年度 公開問題 問8

【正解】ア

監査報告書の指摘事項とすべきなのは、違反の「可能性」を認識しただけで直ちに懲戒手続を開始する規定です。情報セキュリティ違反の疑いが生じても、事実関係を調査する前には、違反が実際にあったのか、誰が関与したのか、どの程度の影響があったのかは確定していません。懲戒手続を開始する前に違反の事実を適切に確認する必要があり、疑いだけで手続を開始するアの規定は不適切です。

イは指摘事項ではありません。違反による影響の大きさ、故意か過失か、従業員に必要な教育が行われていたかなどを考慮し、違反の程度に応じた段階的な対応を定めることは適切です。

ウも指摘事項ではありません。担当者の感情や立場によって処分が変わらないように恣意性を排除し、一貫した公平な取扱いを定めることは、懲戒手続に必要な要件です。

エも指摘事項ではありません。懲戒手続を実際に運用できるよう細則で具体化し、その内容を従業員へ周知しておくことは適切です。ルールを知らされていない従業員に処分だけを科すことを防ぐ意味もあります。

【ポイント】 懲戒手続では、「違反事実の確認」「公平で一貫した取扱い」「違反の程度に応じた対応」「従業員への周知」が重要です。監査では、規程の存在だけでなく内容の妥当性も確認します。