情報セキュリティマネジメント試験情報＆徹底解説

内部不正事案に関する次の記述を読んで，設問1，2に答えよ。

　Q社は，従業員数300名の保険代理店であり，生命保険会社2社，損害保険会社2社と代理店委託契約を締結し，保険商品を販売している。Q社の主な組織，担当業務及び体制を表1に示す。　Q社では，最高情報セキュリティ責任者(CISO)を委員長とする情報セキュリティ委員会(以下，Q社委員会という)を設置して，情報セキュリティポリシー及び情報セキュリティ関連規程を定めている。総務部長，営業部長はQ社委員会の委員であり，総務部長は総務部の，営業部長は営業部及び全営業所の情報セキュリティ責任者である。また，総務部で，総務及び情報システム管理の業務を担当しているG主任は，総務部の情報セキュリティリーダーであり，営業部で，営業所管理・支援業務を担当しているH主任は，営業部及び全営業所の情報セキュリティリーダーである。
　Q社の情報セキュリティ関連規程では，役職，職務などに応じて，アクセス可能なデータの範囲及び情報システムの操作権限を適切に設定することを求めている。営業担当者が，保険商品の説明資料や提案書を顧客に渡す方法には，"面会して直接手渡す"，"郵送する"，"電子メール(以下，メールという)に添付して送信する"の3通りがある。最近は面会が少なくなり，メールに添付して送信することが大半を占めている。Q社が導入しているメール管理ツールの機能を図1に，メール利用ルールを図2に示す。　Q社では，ここ数年，売上向上や事務作業効率化を目指して，業務のシステム化を推進している。その一環として，各営業担当者が担当している顧客及び見込客の個人情報(以下，顧客情報という)をデータベース化して一元的に管理する顧客情報管理システム(以下，顧客システムという)を2017年4月3日に利用開始することにした。顧客システムは，営業担当者と営業所管理者が顧客情報を共用し，顧客及び見込客に対して最適な保険商品を迅速に提案することを目的の一つにしている。顧客システムの概要を図3に示す。　顧客システムは，総務部と営業部の従業員の一部で編成された開発チームが，ベンダの協力を得ながら開発した。2016年10月から3か月間，顧客情報の登録業務などの機能及びユーザビリティの最終確認のために，T営業所で，顧客システムを試行運用した。試行期間中の主な実施事項を次に示す。

• 営業所の営業担当者全員及び営業所管理者，営業部の顧客管理スタッフ並びに開発チームのメンバー(以下，試行利用者という)に，試行用の利用者IDを付与
• 営業担当者全員は，自らの顧客情報を登録し，図3の機能を確認
• 営業所管理者及び営業部の顧客管理スタッフは，図3の機能を確認
• 開発チームのメンバーは，利用者管理機能，顧客情報のダウンロード機能などを確認

　試行終了時に，開発チームは，試行利用者全員に対して，ダウンロードした顧客情報(以下，顧客ファイルという)をPCから削除するように連絡し，試行用の利用者IDを削除した。

〔内部不正事案の発生〕
　2017年3月1日にT営業所のK所長から，総務部の人事担当の主任と，営業部H主任に連絡があった。T営業所のJ主任が3月31日付で退職したいと申し出たということであった。J主任の退職届を3月6日に受理したという連絡が人事担当の主任からあり，H主任は，従業員退職時の点検手続に従って，J主任が退職申出日の1か月前からこれまでに社外に送信したメールをチェックした。Q社では，情報セキュリティ関連規程で会社の秘密情報の社外持出しを原則禁止するとともに，万一持ち出したものがあれば全て返却した旨を退職者に退職時の誓約書で誓約させている。　チェックの結果，J主任の私用と思われるメールアドレス宛てに，ファイルが5回送信されていることが分かった。送信されたファイルは，暗号化されていた。H主任は，分かったことをすぐに営業部長に報告した。営業部長は，総務部長及びK所長に連絡し，H主任とともにT営業所に赴いた。営業部長とK所長は，J主任に面談して事情を確認した。その後，営業部長は，K所長とも面談した。J主任との面談結果を図4に，K所長との面談結果を図5に示す。　営業部長は，社長及びQ社委員会の委員に一報するとともに，各保険会社に対しても状況を報告した。また，営業部長は，総務部長及び弁護士とも相談して，K所長とH主任に，J主任の自宅を訪問し，後日の調査への備え及び顧客情報保護のために，J主任の自宅のPCを会社で，預かってくるよう指示した。訪問時は，セキュリティ専門事業者の情報処理安全確保支援士(登録セキスペ)であるU氏にも同行を依頼した。
　J主任の自宅で，U氏が確認したところ，メールで送信された顧客ファイルは自宅のPCに保存されていた。K所長は，J主任の同意を得て，自宅のPCを当面，会社で預かることにした。また，面談結果は事実に相違ないこと，顧客情報を業務外で利用していないこと，Q社から持ち出した顧客情報が他に残っていないか改めて確認し，残っていたら直ちに削除することなどについてJ主任から念書をとった。
　営業部長及び総務部長(以下，両部長という)は，今回発生した内部不正事案(以下，事案という)について，3月13日に臨時に開催されたQ社委員会に報告した。また，両部長は，個人情報の保護に関する法律，保険業法，各保険会社との契約などへの対応，社内規程に基づいたJ主任に対する処分と法的措置について，弁護士と相談の上，対応していくことを報告した。Q社委員会では，CISOが両部長に，メールによる顧客ファイルの不正な送信が他にないか調査すること，及び事案の原因分析と再発防止策の検討を早急に行うことを指示した。これらが完了するまで，2017年4月に予定していた顧客システムの全社での利用開始を延期することにした。また，Q社委員会では，翌3月14日に，Q社の秘密情報の取扱いルール，メール利用ルールなどについて，全従業員に緊急に再周知するとともに，同日分から当面の間，社外送信される全メールについて，メール管理ツールを使って監視を行うよう総務部長に指示した。総務部長は，社外送信メールの上長確認を，当面全件行うように社内に周知した。

〔事案のメール調査〕
　Q社委員会の翌日，両部長は，H主任とG主任(以下，両主任という)に，顧客情報をダウンロードして社外に送信した者がJ主任以外にいないかの調査と，事案の原因分析を指示した。
　両主任は，社外送信メールの調査範囲として，対象期間をa，対象者をb1，b2に設定した。調査の結果，顧客ファイルの不正送信はなかったが，自宅に仕事を持ち帰るために，私用のメールアドレス宛てに業務関係のファイルを送信している事例が発見された。

〔事案の原因分析〕
　両主任は，事案発生までの顧客システムやメールの取扱い，J主任及びK所長との面談結果から，"不正のトライアングル"を基に，表2のとおり，J主任の立場から見た事案の原因を整理した。また，事案発生までのQ社の状況を確認するために，IPAの"組織における内部不正防止ガイドライン(第4版)"を基に，表3のとおり，原因を整理した。　両主任によるメール調査と原因分析の結果は，3月29日に両部長に報告され，両部長は再発防止策の検討を，開発チーム，両主任などに指示した。

〔事案の再発防止策の策定〕
　開発チームでは，顧客システムからの顧客情報のタウンロードについて，抽出件数の上限を設けるという対応策を考えた。また，顧客ファイルの保管場所や保管期間についても案を検討した。
　営業所管理者によるメールの確認が不十分であるという問題については，総務部が，個人別の社外送信メール数，送信時刻などを監視するとともに，監視について従業員全員に周知する案をまとめた。
　再発防止策の案が固まり，両部長は，Q社委員会にメール調査結果，原因分析結果，及び再発防止策の案を報告し，了承された。Q社委員会の報告を受けた社長は，全営業所長と面談した上で，営業所の管理業務全般の見直しを取締役会に提案し，併せて営業所管理者に対する教育にも力を入れることにした。
　Q社では，営業所の管理体制の強化及び全従業員への教育も含めた再発防止への取組みを進めた。2017年6月にはその取組みの成果が確認できたので，Q社委員会の承認の下，2017年7月に全社で顧客システムの利用を開始した。

設問1

〔事案のメール調査〕について，(1)，(2)に答えよ。

(1) 本文中のaに入れる字句はどれか。解答群のうち，最も適切なものを選べ。

設問2

〔事案の原因分析〕について，(1)，(2)に答えよ。

(1) 表2中のc～fに入れる字句はどれか。解答群のうち，最も適切なものをそれぞれ選べ。