正解：イ
各選択肢の解説
ア規程に違反する事故が起きたときに限り、原因に関わる条文を見直す。
誤り。事故を受けての見直しは必要ですが、それだけを契機にすると、 事故が起きない限り規程は古いまま残ります。この場面でも、事故ではなく 働き方やサービスの変化に規程が追いつかなかったことが問題でした。
イ定期的な見直しの時期と、組織や技術の大きな変化を見直しの契機として定める。
正解。決まった時期の見直しに加えて、業務の進め方や使う技術が大きく変わったときにも 見直すと定めておけば、規程を実態に合わせ続けられます。見直しの担当者も定めておきます。
ウ実態と合わない条文は、各部門の判断で運用を変えてよいと定める。
誤り。部門ごとに運用を変えてよいとすると、規程は残っていても守られる中身が部門で ばらばらになります。規程どおりにできない事情は例外の規程に沿って申請し、 規程そのものは定められた手続で改定します。
エ規程の改定は、情報セキュリティ方針の改定と同時に行うものと定める。
誤り。方針は目的や基本的な考え方を示し、頻繁には変わりません。 対策基準を方針と同時にしか改定できないとすると、方針を変えないまま技術や業務が 変わる場面で、規程が取り残されます。
理解を深めるために
規程は「見直す日」まで決めておく
家の防災用品も、置いたまま何年もたつと、電池が切れたり家族の人数と合わなくなったりします。 「年に1回、防災の日に点検する」「引っ越したら見直す」と決めておけば、古いまま放置されません。 規程も同じで、いつ見直すかを規程の中で決めておくのが規則更新の規程です。
なぜ見直しの契機を2種類定めるのか
- 定期的な見直し：年1回など時期を決めておく。変化に気付かなくても、点検の機会が必ず来る
- 変化をきっかけにした見直し：組織の再編、テレワークのような働き方の変更、 新しいサービスや技術の導入、法令の改正、重大な事故などがあったときに見直す
- 見直しの担当者と、改定案を承認する手続も定めておく。誰が見直すか決まっていないと、 時期が来ても手が付かない
- JIS Q 27002 でも、情報セキュリティのための方針群は、あらかじめ定めた間隔で、 また重大な変化が生じた場合にレビューすることが求められている
混同しやすい定め方との違い
| 定め方 | どうなるか |
|---|---|
| 定期の見直し＋大きな変化を契機にした見直し | 事故がなくても実態に合わせ続けられる |
| 事故のときだけ見直す | 事故が起きない変化には追いつかない |
| 部門の判断で運用を変えてよい | 規程と実態が部門ごとにずれる（例外の規程との混同） |
| 方針の改定と同時にしか改定しない | 方針が変わらない限り対策基準が古くなる |
規程と実態がずれた場面では、運用で吸収するのではなく、見直しの仕組みそのものを規程に組み込みます。