解説

テレワーキングにおける情報セキュリティ管理は、企業の機密情報を社外で扱うため、特に重要な課題です。情報セキュリティ管理基準では、テレワーキングにおけるセキュリティ対策は組織が主体となって統一的に実施・管理すべきとされています。これは、個々の従業員の判断に委ねると、セキュリティレベルにばらつきが生じ、最も脆弱な部分から情報漏洩などのインシデントが発生するリスクが高まるためです。 マルウェア対策は、テレワーキングセキュリティの最も基本的な要素の一つです。会社のネットワークに接続するPCがマルウェアに感染していれば、社内システム全体に被害が及ぶ可能性があります。そのため、マルウェア対策ソフトの導入判断を個人に委ねることは、組織的なセキュリティ管理の観点から重大な問題となります。 この問題が出題される意図は、テレワーキングのセキュリティ対策が個人の裁量ではなく、組織として統一的に実施・管理されるべきという基本原則の理解を問うことにあります。特に、マルウェア対策のような基本的なセキュリティ対策の実施判断を個人に委ねることの危険性を認識することが重要です。

なぜ他の選択肢は違うのか

選択肢 ア

全従業員がテレワーキングを利用できるという規定自体は、情報セキュリティ管理基準に違反するものではありません。むしろ、明確な規程の下で公平に運用することは望ましい方針です。利用者を制限すること自体がセキュリティ対策になるわけではなく、適切なセキュリティ管理があれば、全従業員の利用を認めることは問題ありません。

選択肢 イ

会社支給PCに限定することは、むしろ適切なセキュリティ管理の一環として推奨される方針です。会社支給PCであれば、セキュリティ設定やソフトウェアの導入状況を組織として一元管理できるため、セキュリティリスクを最小限に抑えることができます。

選択肢 エ

家族による使用を禁止することは、適切なセキュリティ管理方針の一つです。業務用PCの私的利用や第三者による使用を禁止することで、意図しない情報漏洩やセキュリティ侵害のリスクを低減できます。この規定は情報セキュリティ管理基準に沿った適切な方針といえます。

解くときのポイント

テレワーキングのセキュリティ対策を考える際は、「組織による統一的な管理」という視点を常に意識しましょう。セキュリティに関する重要な判断を個人に委ねている選択肢を見つけたら、それは問題のある方針だと判断できます。また、マルウェア対策は基本中の基本であり、必須の対策として位置づけられることを覚えておきましょう。テレワーキングに関する問題では、「統一的な管理」「必須のセキュリティ対策」「個人判断の排除」がキーワードとなります。