解説

情報セキュリティ管理基準（平成28年）は、情報セキュリティマネジメントの実践規範であるJIS Q 27002を参照し、組織が情報セキュリティ対策を実施する際の規範を示したものです。懲戒手続に関しては「情報セキュリティ違反を犯した従業員への懲戒手続は、違反の可能性を認識した段階から開始できるべきである（選択肢a）」という考え方が重要です。これは、確定的な証拠が揃う前でも手続きを開始できることを意味し、調査・証拠収集の段階から適切な手続きが取れるようにしておく必要があります。懲戒手続きは事後的な処罰だけでなく、抑止力としても機能します。就業規則に明記することで「予見可能性」を高め、従業員が違反行為をためらう心理的効果があります。

なぜ他の選択肢は違うのか

選択肢 イ

「懲戒手続は情報セキュリティ違反による業務への影響の大きさに応じて判断する」は管理基準の趣旨と異なります。管理基準では影響の大きさに関係なく、違反の可能性を認識した段階から手続きを開始できるよう定めています。影響が小さければ手続きしなくてよい、という解釈は誤りです。

選択肢 ウ

「懲戒手続は違反を犯した従業員に対してのみ適用する」は一見正しそうですが、管理基準の要点は「可能性を認識した段階から開始できる」という点にあります。選択肢aの方が管理基準の核心を正確に表しています。

選択肢 エ

「懲戒手続を具体化した細則を策定すること及び従業員への周知のみが必要」は管理基準の要件の一部のみを示しており不十分です。管理基準は細則策定・周知に加え、違反認識段階からの手続き開始も求めています。

解くときのポイント

情報セキュリティ管理基準の懲戒手続のポイント：「違反の可能性を認識した段階から手続き開始できる」こと。確定証拠を待たずに調査・手続きを開始できる仕組みが必要。就業規則への明記と周知は抑止力として重要。