正解：エ
各選択肢の解説
ア秘密保持の条項を設け、違反したときの損害賠償の額を引き上げる。
誤り。秘密保持の条項は漏らすことを禁じ、賠償額は違反を思いとどまらせる効果を持ちます。 どちらも大事な条項ですが、データが消されたかどうかを確かめる手段にはなりません。 困ったのは、残っているかを確認できなかったことです。
イ委託先を選ぶ条件として、ISMS認証を取得していることを求める。
誤り。これは契約の前に行う委託先の選定の話です。認証は委託先の管理の仕組みが 整っていることを示しますが、自社のデータを契約終了時にどう扱うかまでは決めません。 個々の取引の取扱いは、委託先との合意で定めます。
ウ委託期間中に年1回、委託先での取扱い状況を監査できる権利を定める。
誤り。監査の権利は、委託中にデータが規則どおり扱われているかを確かめるために有効です。 ただし期間中の確認であり、契約が終わった後に残ったデータの扱いは決めていません。 この場面で欠けていたのは、終了時の取扱いの合意です。
エ契約終了時にデータを返却または消去し、その結果を書面で報告させる。
正解。データの扱いは、契約終了時まで含めて委託先と合意しておく必要があります。 返却・消去の義務に加えて結果の報告を定めておけば、残っていないことを確かめられます。
理解を深めるために
「終わったあと」まで契約で決めておく
部屋を貸すとき、退去時に鍵を返してもらう約束をしていなければ、 後から「返してほしい」と言っても強く求められません。業務の外部委託も同じで、 委託先に渡したデータをいつ、どう手放してもらうかは、契約の時点で合意しておく必要があります。 JIS Q 27002 では、供給者関係における情報セキュリティと、供給者との合意における 情報セキュリティの取扱いは、組織的管理策に含まれます。
委託先との合意で定めること
委託先との合意には、渡す情報の扱いを始まりから終わりまで書きます。例えば次のような事項です。
- 渡す情報の範囲と、使ってよい目的
- 委託先が守るべき管理策と、再委託するときの条件
- 事故が起きたときの報告の期限と連絡先
- 取扱い状況を確かめる方法（報告や監査）
- 契約終了時の情報の返却・消去と、その結果の報告
この場面では最後の事項が抜けていたため、委託先に確認を求める根拠がありませんでした。 消去したという報告を書面で受けておけば、残っていないことを記録として示せます。
混同しやすい対策との違い
| 対策 | 何に効くか | 契約終了後のデータ |
|---|---|---|
| 終了時の返却・消去と結果の報告 | 委託先に残る情報をなくす | 確かめられる |
| 秘密保持と損害賠償 | 漏えいを禁じ、思いとどまらせる | 消えたかは分からない |
| ISMS認証による選定 | 委託先の仕組みが整っているかを見る | 個々の取扱いは決めない |
| 委託期間中の監査 | 委託中の取扱いを確かめる | 終了後は対象外 |
どれも委託先管理で使う対策ですが、場面で何が確かめられなかったのかを見れば、 足りない合意事項が絞れます。