【問197】ビジネスマネジャー検定 練習問題｜委託先の情報管理
業務・組織・事故災害のリスクマネジメント 問13/16難易度B（標準）
問題文
自社の業務の一部を外部の企業に委託しており、その委託先が個人情報を取り扱っている場合、情報漏えいに関するリスクへの対応として、最も適切なものはどれか。
- 1.個人情報の管理は委託先の責任範囲であり、自社としては委託先の管理状況を確認しなくてよい。
- 2.委託契約を締結した時点で情報管理に関する取り決めは完了しており、その後の状況を継続的に確認する必要はない。
- 3.端末やクラウドサービスの利用状況は委託先の内部事情であるため、自社が関与すべき事柄ではない。
- 4.委託先に業務を委ねた後も、情報管理の状況を継続的に把握し、必要に応じて改善を求めるなど自社として関与し続ける。
解説
正解は選択肢4。業務を外部に委託して個人情報を取り扱わせる場合であっても、委託元である自社は、委託先における情報管理の状況を継続的に把握し、問題があれば改善を求めるなど関与し続けることが求められる。委託したことをもって自社の責任が消えるわけではなく、端末の取扱いやクラウドサービスの利用状況を含め、委託先の管理体制に目を配る姿勢が重要である。選択肢1は、個人情報の管理をすべて委託先の責任とみなし、自社が確認を怠ってよいとする点で誤りであり、委託元としての関与を放棄することになる。選択肢2は、契約締結時点で取り決めが完了したとみなし、その後の継続的な確認を不要とする点が誤りであり、委託先の状況は時間の経過とともに変化しうる。選択肢3は、端末やクラウドの利用状況を委託先の内部事情として自社の関与範囲外に置いており、情報漏えいの実際の発生要因になりやすい領域を見落としている。委託先を含めた情報管理の継続的な把握は、漏えいリスクを抑えるうえで欠かせない。