新サービス導入後の在宅勤務規程
シラバス案 Ver.0.1（2026年9月30日公表）の科目B 大項目11 情報セキュリティマネジメントの継続的改善：『11-1 問題点整理と分析』『11-2 情報セキュリティ諸規程の見直し』
事例
A 社は、従業員 60 名の保険代理店である。営業部（30 名）は、顧客の保険の契約の手続や、契約の内容の変更の相談を受けている。営業部は、昨年 10 月から、週に 2 日までの在宅勤務を始めた。また、今年 4 月に、顧客の情報の管理を、社内のサーバーからクラウドの顧客管理サービス（以下、新サービス）に移した。新サービスの提供者の手引きは、多要素認証を設定した PC から、VPN を経由せずに直接接続する使い方を前提としている。情報システム部も、新サービスには、多要素認証を設定した貸与 PC から直接接続する設定にしている。
営業部の情報セキュリティ担当者（以下、担当者）は、在宅勤務を始めて 1 年たったことから、部で記録した在宅勤務の規程の違反を整理し、規程の見直し案を部長に報告することになった。在宅勤務規程（抜粋）を表1に、記録を条ごとにまとめた結果を表2に示す。
| 条 | 内容 |
|---|---|
| 第3条 | 在宅勤務では、会社が貸与した PC だけを使う。 |
| 第4条 | 顧客の情報を扱うシステムには、会社の VPN を経由して接続する。 |
| 第5条 | 顧客の情報を PC に保存しない。 |
| 第6条 | 印刷は事務所でだけ行い、自宅では印刷しない。 |
| 条 | 時期と件数 | 内容と聞き取りの結果 |
|---|---|---|
| 第4条 | 今年 5 月〜10 月に 7 件（毎月 1 件以上） | 新サービスに、VPN を経由せずに接続した。VPN を経由すると画面が止まることが多く、情報システム部の設定どおりに直接接続した。 |
| 第5条 | 昨年 11 月〜12 月に 4 件、今年 1 月以後は 0 件 | 顧客の一覧を PC に保存した。12 月に、情報システム部が PC に保存できない設定にした。 |
| 第6条 | 今年 6 月〜9 月に 3 件 | 自宅で印刷した。貸与 PC のうち 3 台に、家庭のプリンターを使える設定が誤って残っており、印刷の操作をしたら自宅のプリンターから出てしまった。 |
担当者は、次の手順で分析することにした。
・同じ記録が今も続いているかを、時期から確かめる。続いていないものは、見直しの対象にしない。
・続いているものは、原因が、条の定めと今の業務やシステムの正しい使い方との食い違いにあるかを確かめる。食い違いがあれば、正しい使い方に合わせて、その条を改める案を作る。原因が機器の設定の誤りにあるものは、条は改めず、設定を直す。
分析の結果から、担当者が部長に報告する規程の見直し案として、最も適切なものを、解答群の中から選べ。
正解：カ 第4条：新サービスには、多要素認証を設定した貸与 PC から、VPN を経由せずに接続してよいとする。
ポイント
新しいクラウドサービスを入れたあとの違反の記録を分析し、規程のどの条が今の使い方に合わなくなったかを判断して、見直し案を選ぶ事例です。
考え方と解き方
決め手は、表2の「時期と件数」（今も続いているか）と「内容と聞き取りの結果」（原因が条と正しい使い方の食い違いか、設定の誤りか）、本文の新サービスの使い方です。違反の件数が多い条を厳しくする、という方向で間違えやすいです。
- 第5条の記録は、12 月の設定のあと今年は 0 件で、続いていないので見直しの対象にしません。第6条の記録は、原因が PC の設定の誤りなので、条は改めず設定を直します。
- 第4条の記録は毎月続いており、原因は、条が全てのシステムに VPN の経由を求めるのに対し、新サービスの正しい使い方（提供者の手引きと情報システム部の設定）が多要素認証による直接接続である、という食い違いです。
- 正しい使い方に合わせて第4条を改め、新サービスには多要素認証を設定した貸与 PC から直接接続してよいとします。第3条の貸与 PC だけを使う定めとも合います。
- したがって、最も適切なのは カ です。
ほかの選択肢
- ア 不適切です。第5条の記録は今年は 0 件で、手順では見直しの対象になりません。
- イ 不適切です。第6条の記録の原因は PC の設定の誤りで、手順では条を改めずに設定を直します。
- ウ 不適切です。新サービスの正しい使い方は直接接続なので、VPN の経由を改めて明記すると、食い違いが残ったままになります。
- エ 不適切です。第6条の記録の原因は PC の設定の誤りで、理由や処分を書き加えても、同じことが起きます。
- オ 不適切です。提供者の手引きと情報システム部の設定は直接接続で、手順は正しい使い方に合わせて条を改めると定めています。
- キ 不適切です。新サービスは顧客の情報を管理するために入れたもので、保存しないとすると業務ができません。第5条の記録も続いていません。
- ク 不適切です。私物の PC の使用に関わる記録はなく、第3条を改める理由が分析から出てきません。
覚えておくこと
- 新しいシステムを入れたら、関係する条を抜き出し、今の正しい使い方と食い違っていないかを確かめる
- 違反の記録は、今も続いているか、原因が規程にあるのか設定にあるのかを分けて分析し、規程の見直しは規程が原因のものに絞る