違反の理由と規程の見直し
シラバス案 Ver.0.1（2026年9月30日公表）の科目B 大項目11 情報セキュリティマネジメントの継続的改善：『11-1 問題点整理と分析』『11-2 情報セキュリティ諸規程の見直し』
事例
A 社は、従業員 250 名の人材サービス会社である。営業部は、求職者（登録者）の氏名、職歴、希望条件などの個人情報を取り扱い、企業への紹介を行っている。最近、営業部から「ルールが厳しすぎて仕事にならない」という不満が出ており、規程の違反も続いている。営業部の情報セキュリティ担当者（以下、担当者）は、過去 1 年の違反を整理し、本人への聞き取りで理由を確認して、表1にまとめた。
| No. | 違反の内容 | 件数 | 聞き取りで分かった理由 |
|---|---|---|---|
| 1 | 面談の内容を、私物のスマートフォンのメモに入力した | 8 | 面談中に貸与の PC を開くと、登録者が話しにくそうにする。スマートフォンのメモなら目立たない。 |
| 2 | 登録者の職務経歴書を、個人のメールアドレスに送った | 5 | 在宅勤務が週 2 日に増えた。貸与 PC の持ち帰りは、そのつど部長の許可が必要で、許可を待てない。 |
| 3 | 登録者の職歴を、審査を受けていない外部のクラウドストレージに保存した | 3 | 規程と禁止の内容は研修で知っていたが、「自分は大丈夫」と考えた。 |
| 4 | 紙の登録票を、離席時に机の上に置いた | 4 | 新入社員が、規程を読んでいなかった。 |
営業部は、求人票を作るために生成 AI のサービスを使いたいと考えており、登録者の職歴を入力することも想定している。入力した内容が保存されるかどうかは、サービスによって異なる。担当者は、現行の情報セキュリティ規程のうち、関係する箇所を表2に抜き出した。規程に、生成 AI への入力を直接定めた条はない。
| 条 | 内容 |
|---|---|
| 第3条（持ち帰り） | 登録者の個人情報を社外に持ち出すときは、部長の許可をそのつど得て、会社が貸与した暗号化済みの PC だけを使う。 |
| 第4条（私物の端末） | 私物の端末や記録媒体で、業務の情報を取り扱わない。 |
| 第5条（メールの送信） | 業務の情報を電子メールで外部へ送るときは、会社のメールシステムで、取引先の宛先にだけ送る。 |
| 第6条（外部サービス） | 業務の情報を外部のクラウドサービスに保存するときは、情報システム部の審査を受けて登録されたサービスだけを使う。 |
| 第7条（紙の取扱い） | 登録者の個人情報を含む紙は、離席時にキャビネットに入れて施錠する。 |
A 社の規程の見直しのルールは、次のとおりである。
・違反の理由を、理由1：規程を知らなかった、理由2：業務を続けにくい事情がないのに守らなかった、理由3：規程どおりでは業務を続けにくい事情があった、に分ける。理由1 と理由2 は教育や指導で対応し、理由3 の場合に規程の見直しを検討する。
・規程に定めがない新しい利用は、定めを加えてから始める。
・見直しでは、登録者の個人情報を守る水準を下げない。水準を下げるとは、現行の規程が求める許可・審査・暗号化・施錠を省くこと、又は個人情報を取り扱ってよい端末やサービスを、会社の管理（貸与・審査・登録）の外に広げることをいう。許可の単位や申請の方法を変えても、許可や審査が残るなら、水準は下がらない。
・見直しは、違反の件数ではなく、上の理由で判断する。
担当者は、部長に出す規程の見直し案と対応案を (一)〜(七) にまとめた。
次の(一)〜(七)のうち、規程の見直し案と対応案として適切なものだけを全て挙げた組合せを、解答群の中から選べ。
- (一) No.1 の面談のメモについて、会社が貸与するノートを面談のメモに使えると定め、そのノートの保管の方法も定める。
- (二) No.2 の個人メールへの送信について、貸与 PC と部長の許可は変えず、第3条の許可を、在宅勤務の日の予定にもとづく月ごとの事前の申請に改める。
- (三) No.1 の面談のメモについて、画面ロックを設定した私物のスマートフォンに限り、面談中のメモに使えるよう、第4条を改める。
- (四) No.4 の紙の登録票について、新入社員が規程を読んでいなかったので、読みやすさが原因と考え、第7条を図と例を入れた内容に改める。
- (五) 生成 AI への入力は、規程に直接の定めがない。審査を受けて登録された生成 AI のサービスだけ、登録者の職歴の入力を認めると、規程に加える。
- (六) 生成 AI は、登録者の氏名を消した職歴だけを入力するなら、審査を受けなくてもよいと、規程に加える。
- (七) 今年の違反は 20 件で、前年の 21 件より減っているので、今年度は規程の見直しを検討しない。
正解：ア (一)、(二)、(五)
ポイント
違反の理由を整理し、規程の見直しが必要なものと、教育や指導で足りるものを分けて判断する事例です。
考え方と解き方
決め手は、表1の「聞き取りで分かった理由」と、本文の見直しのルールです。この立場なら、まず違反の理由を理由1〜3に分け、次に新しい利用に定めがあるかを見ます。間違えやすいのは、規程を読んでいない者のために規程を直すことや、見直しの名目で守る水準を下げることです。
- 表1の理由を分けると、No.1 と No.2 は業務を続けにくい事情があるので理由3、No.3 は知っていて事情なく守らなかったので理由2、No.4 は規程を読んでいなかったので理由1 です。理由3 の No.1 と No.2 について、水準を下げずに直す(一)(二)は適切です。(二)は許可の単位を変えるだけで、貸与の暗号化 PC と部長の許可が残るので、水準は下がりません。(一)の貸与ノートは会社の管理の中にあります。
- 生成 AI への入力には直接の定めがないので、定めを加えてから始めます。第6条と同じ審査を条件にする(五)は適切です。私物のスマートフォンを認める(三)、審査を省く(六)は水準を下げ、No.4 の規程の改正(四)は理由1 に当たり、件数で見直さない(七)も、いずれも不適切です。
- 適切なのは (一)、(二)、(五) の全てで、ア です。
ほかの選択肢
- イ (二)が欠けています。No.2 は理由3で、規程の見直しが必要です。
- ウ (四)は不適切です。No.4 の理由は規程を読んでいなかったこと（理由1）で、教育や指導で対応します。(一)が欠けています。No.1 は理由3で、規程の見直しが必要です。
- エ (六)は不適切です。氏名を消しても、審査なしで入力を認めるのは、第6条の審査の水準を下げます。(五)が欠けています。規程に直接の定めがない新しい利用なので、定めを加える見直しが必要です。
- オ (三)は不適切です。画面ロックをしても、私物の端末で業務の情報を取り扱わない第4条の水準を下げます。(一)が欠けています。No.1 は理由3で、規程の見直しが必要です。
- カ (四)は不適切です。No.4 の理由は規程を読んでいなかったこと（理由1）で、教育や指導で対応します。(二)が欠けています。No.2 は理由3で、規程の見直しが必要です。
- キ (三)は不適切です。画面ロックをしても、私物の端末で業務の情報を取り扱わない第4条の水準を下げます。(一)が欠けています。No.1 は理由3で、規程の見直しが必要です。
- ク (四)は不適切です。No.4 の理由は規程を読んでいなかったこと（理由1）で、教育や指導で対応します。(一)が欠けています。No.1 は理由3で、規程の見直しが必要です。
- ケ (六)は不適切です。氏名を消しても、審査なしで入力を認めるのは、第6条の審査の水準を下げます。(一)が欠けています。No.1 は理由3で、規程の見直しが必要です。
- コ (三)は不適切です。画面ロックをしても、私物の端末で業務の情報を取り扱わない第4条の水準を下げます。(二)が欠けています。No.2 は理由3で、規程の見直しが必要です。
覚えておくこと
- 違反の理由が、規程どおりでは業務を続けにくい事情のときに規程を見直し、知らなかった・事情なく守らなかったときは教育や指導で対応する
- 規程に定めがない新しい利用は、定めを加えてから始める。見直しでも、個人情報を守る水準は下げない