ライセンスとテストデータの点検
シラバス案 Ver.0.1（2026年9月30日公表）の科目B 大項目10 コンプライアンスの運用：『10-1 順守指導』『10-2 順守状況の評価と改善』
事例
A 社は、従業員 220 名のソフトウェア開発会社である。開発部（70 名）は、企業向けの業務アプリケーションを開発している。開発部の情報セキュリティ担当者（以下、担当者）は、半年に 1 回、開発部の規程の順守状況を自己点検し、結果と是正の案を開発部長に報告している。また、開発部の年間教育計画に従って、4 月と 10 月の部会で、規程と関係する法令の要点を全員に伝えている。
開発部の規程（抜粋）を表1に示す。
| 条 | 内容 |
|---|---|
| 第1条 | ソフトウェアは、部で購入したライセンスの数の範囲で導入し、導入した PC を台帳に記録する。 |
| 第2条 | 外部で公開されているプログラムを製品に組み込むときは、組み込む前にライセンスの条件を確認し、台帳に記録する。 |
| 第3条 | 他人が作成した画像や文章を資料に使うときは、使う前に利用の条件を確かめ、条件に従って使う。 |
| 第4条 | テストに顧客の個人情報を使わない。やむを得ず使うときは、開発部長の承認を得て、氏名などの本人を特定できる項目を別の値に置き換えてから使う。 |
| 第5条 | 違反が見つかったときは、違反の状態をなくす措置と、同じ違反を防ぐ措置（周知など）を合わせて是正の案とし、開発部長の承認を得て実施する。 |
10 月の自己点検では、担当者は、ソフトウェアの台帳と各 PC に導入されているソフトウェアの一覧を照らし合わせ、開発中の製品の構成の資料と台帳を比べた。また、部員が最近作った社外向けの資料と、テスト環境のデータを抜き取りで確かめ、気になる点は作成者に聞き取りをした。4 月の自己点検では、違反は見つかっていない。10 月の自己点検の結果を表2に示す。
| 項番 | 点検の結果 |
|---|---|
| 1 | 画像編集ソフトは、購入したライセンスが 10 で、導入している PC が 12 台ある。うち 2 台は、9 月に異動してきた 2 名が自分で導入していた。 |
| 2 | 開発中の製品（来年 3 月に出荷予定）に組み込んだ外部のプログラム 3 本のうち 1 本が、台帳になく、ライセンスの条件も確認していない。 |
| 3 | 先月顧客に渡した提案資料に、Web で見つけたイラストを使っていた。利用の条件は確かめていない。 |
| 4 | テスト環境に、顧客の氏名と電話番号をそのまま含むテストデータがある。開発部長の承認はない。作成者は「本番の不具合の再現を急いでいた」と話している。 |
担当者は、第5条に従って、項番ごとに是正の案を作り、開発部長の承認を得たあと、同じ違反を防ぐための周知を 10 月の部会で行うことにした。
表2の項番に対する是正の案として、表1の規程に合っているものはどれか。解答群のうち、最も適切なものを選べ。
正解：ア 項番4：テストデータを消去し、要るときは承認を得て置き換えたデータを作る。急ぐときも承認が要ると部会で伝える。
ポイント
自己点検で見つかった規程の違反に対して、規程に合う是正の案を判断する事例です。
考え方と解き方
決め手は、第5条（違反の状態をなくす措置と、同じ違反を防ぐ措置を合わせる）と、各項番に当たる第1条〜第4条の「いつ」「何を」の定めです。違反の状態を残したまま、あとで直す案や、別の措置にすり替えた案で間違えやすいです。
- 項番4は第4条の違反です。承認のないテストデータを消去すれば違反の状態がなくなり、急ぐときも承認が要ることを部会で伝えれば同じ違反を防げます。アは第5条の二つの措置を合わせています。
- ほかの案は、違反の状態を残している（イ、ウ、エ、カ）か、規程が求める措置と違う措置にしている（オ）ものです。
- したがって、最も適切なのは ア です。
ほかの選択肢
- イ 不適切です。第1条はライセンスの数の範囲で導入すると定めており、更新まで 12 台を使い続けると違反の状態が残ります。
- ウ 不適切です。誓約書は同じ違反を防ぐ措置ですが、2 台をそのまま使わせると、ライセンスの数を超えた状態が残ります。
- エ 不適切です。部会での周知は同じ違反を防ぐ措置ですが、第2条は組み込む前に確認すると定めており、出荷の前の月まで違反の状態が残ります。
- オ 不適切です。第3条が求めるのは利用の条件の確認で、出典を書き足すだけでは条件に従って使っているかが分かりません。
- カ 不適切です。第4条は、承認を得たうえで本人を特定できる項目を置き換えてから使うと定めており、そのまま使うことは認められません。
覚えておくこと
- 是正は、違反の状態をなくす措置と、同じ違反を防ぐ措置（周知など）を合わせて計画する
- 自己点検の結果は、規程の「いつまでに」「何を」に照らして評価し、違反の状態をあとまで残さない