ぞうログ科目B対策の長文演習の3回目。科目Bは、企業や部署の状況を説明した長文（大問）を読んだうえで、その長文1つにつき2〜3の設問に答える形式で出題される。①②と同様、文中の事実関係を正確に読み取り、その場面で最も適切な判断や行動を選ぶ力を意識しながら取り組んでほしい。
読み方のコツは、①登場人物と役割を整理する、②時系列を追う、③設問文の主語・時点を確認する、の3点。長文を漠然と読むのではなく、「誰が」「いつ」「何をしたか」を1文ずつ切り分けて整理すると、設問で問われる場面を素早く特定できる。
大問：U社における委託先のリスク評価
従業員80名のU社は、顧客情報を含むデータ処理業務を外部のクラウドベンダーV社に委託することを検討している。契約締結に先立ち、情報システム部がV社にセキュリティ評価を実施し、結果を表1にまとめた。
| 項番 | 評価項目 | 評価結果 |
|---|---|---|
| 1 | データの暗号化 | 委託先での保管中・通信中とも暗号化されていることを確認した。問題なし。 |
| 2 | インシデント対応体制 | インシデント発生時の検知・報告の体制について、V社からの情報開示が不十分であり、対応にかかる時間や連絡先が不明確だった。 |
| 3 | 再委託の可否 | U社への事前の通知や承諾なしに、業務の一部を別の事業者に再委託できる契約となっていた。 |
この結果を受け、契約担当者は、契約書に「重大インシデント発生時はU社への24時間以内の報告を義務付ける」条項と「再委託を行う場合はU社の事前承諾を必須とする」条項を追加するとともに、委託先起因の損害を補償するサイバー保険への加入をV社に求めたうえで契約を締結する方針とした。
「委託先評価」「リスク低減」「リスク移転」という、これまでの分野で学んだ複数の知識が、1つの事例の中でどう組み合わさって問われるかに注目するとよい。特に低減と移転は混同しやすいので、「リスクそのものを小さくする対策か」「損害の負担を外部に移す対策か」という違いで区別する。
以下の理解度チェックでは、上記の大問を踏まえて、評価結果からの追加対応の要否判断、リスク低減の具体例、リスク移転の具体例という3つの観点から設問を用意した。文中の事実関係に立ち返りながら、それぞれ最も適切な選択肢を選んでほしい。