平成30年度 プロジェクトマネージャ試験 午前II 問21
システム開発を請負契約でベンダに委託する場合，ベンダに起因する，機密漏えいなどの情報セキュリティ事故を防止するために，委託する側がとるべき手段として，適切なものはどれか。
- ア 委託業務に関する情報セキュリティレベルを取り決め，情報セキュリティ対策実施状況の定期的な報告を義務付け，適時に監査を実施する。
- イ 情報セキュリティに関するルールの違反者個人に対する高額なペナルティを取り決める。
- ウ ベンダの業務手順，体制図を提示させ，委託する側でプロジェクト全体の情報セキュリティ対策手順，詳細な体制図を作成して指揮命令する。
- エ ベンダの選定条件を厳しく設定し，選定後はベンダに情報セキュリティ対策の管理を一任する。
解答・解説を見る
正解：ア
AI解説
請負契約では受託者(ベンダ)が自らの責任で業務を遂行するため、委託側は作業に直接指揮命令はできないが、契約でセキュリティ要件を取り決めて履行状況を確認することはできる。したがって、情報セキュリティレベルを契約で取り決め、対策実施状況の定期報告を義務付け、必要に応じて監査を実施するというガバナンスの仕組みを設けるアが適切である。 ア: 正しい。契約でセキュリティ水準を合意し、報告と監査で履行を検証する方法は、請負契約の性質(指揮命令不可)と両立する実効的な事故防止策である。 イ: 違反者個人への高額なペナルティは、ベンダ従業員と委託側に直接の契約関係がなく実効性・妥当性を欠き、組織的な対策にもならない。 ウ: 委託側がベンダの体制や手順を作成して指揮命令することは、請負契約の性質に反し、偽装請負(実態が労働者派遣)となるおそれがあるため不適切。 エ: 選定を厳しくしても、選定後に管理を一任したのでは履行状況を検証できず、事故防止策として不十分である。 💡 請負は「指揮命令できない、成果物完成責任を負わせる」契約。委託先管理は「契約で要求→報告で監視→監査で検証」の3点セットで答えるのが定石で、指揮命令する選択肢は偽装請負の観点で切れる。
出典：平成30年度 秋期 プロジェクトマネージャ試験 午前II 問21 ／ 独立行政法人情報処理推進機構（IPA）
※Web掲載用に表記を一部変更しています。著作権はIPAに帰属します。
※Web掲載用に表記を一部変更しています。著作権はIPAに帰属します。