正解：エ
各選択肢の解説
ア雇用契約を結んでいる正社員に限り、派遣社員やアルバイトは適用の対象外とする。
誤り。雇用形態で線を引く誤解です。派遣社員やアルバイトも 顧客情報や社内資料に触れます。規則が及ばない人がいれば、 そこが情報の抜け道になります。
イ情報システムを運用する部門の担当者に限り、それ以外の部門は対象外とする。
誤り。情報セキュリティを「システムの話」とみなす誤解です。 営業部門の顧客名簿や、総務部門の契約書も守るべき情報です。 書類の扱いや会話の内容まで、全部門が関わります。
ウ一般の従業員に限り、方針を承認する立場の経営者や役員は対象外とする。
誤り。経営者や役員は、重要な経営情報に最も多く触れる立場です。 ポリシーを承認した本人が守らなければ、組織全体に規則が浸透しません。 むしろ率先して守ることが求められます。
エ雇用形態や部門を問わず、組織の情報資産を扱う人には全員に適用する。
正解。ポリシーの対象は、組織の情報資産に触れる人すべてです。 一人でも規則の外にいると、そこから情報が漏れるおそれがあります。
理解を深めるために
鎖の強さは、いちばん弱い輪で決まる
家族のうち一人でも鍵をかけずに出かければ、家の防犯は成り立ちません。 情報セキュリティポリシーも同じで、情報に触れる人が一人でも対象外なら、 そこが抜け道になります。
なぜ全員に適用するのか
情報セキュリティポリシーに基づく情報の管理とは、 組織が定めた方針と規則に沿って、情報資産を全員が同じ基準で扱うことです。
- 情報資産は、顧客名簿、契約書、設計データなど全部門にある
- 派遣社員やアルバイトも、日常業務で情報資産に触れる
- 経営者は重要な情報に触れる立場であり、率先して守る必要がある
- 対象から外れた人がいると、規則を守っているかを点検できない
業務委託先のように社外の人が情報を扱う場合も、契約で ポリシーに沿った取扱いを求めるのが一般的です。
適用範囲の誤解
| 適用範囲 | どこがずれているか |
|---|---|
| 情報資産を扱う全員 | 抜け道をつくらない |
| 正社員だけ | 派遣社員やアルバイトが規則の外になる |
| 情報システム部門だけ | 紙の書類や他部門の情報が守れない |
| 従業員だけ（経営者は除く） | 最も重要な情報を扱う人が規則の外になる |
試験で適用範囲を問われたら、「その人は組織の情報に触れるか」で判断します。 雇用形態や役職、部門は判断の軸になりません。