情報セキュリティの教育・訓練

情報管理担当者は、同じ情報取扱い手順について行った教育の記録を確認し、今期の教育を完了させるための追加対応を計画する。 社内の完了基準は、対象者全員が現行版の教材を受講し、確認テストで80点以上を取ることである。未受講者には受講と理解確認を行う。受講済みでも80点未満の人には、理解できていない項目の補足学習と再確認を行う。 受講済みの人は全員、現行版の教材を受講している。記録は次のとおりで、欠けている記録や対象者の異動はない。 A群：対象8人のうち6人が受講し、その6人は全員80点以上。残り2人は未受講。 B群：対象6人全員が受講し、全員80点以上。 C群：対象5人全員が受講し、2人は80点以上。残り3人は同じ項目を誤解し、80点未満。 今回追加対応が必要な群だけを、すべて挙げた組合せはどれか。通常の次回教育は別に計画されており、今回の完了によって免除されるものではない。

物流会社は、情報の取扱いに関する教育を見直す。共通教育では、社内の報告先と情報の持出しルールを全員に教える。一方、職務別の演習は、実際に担当する作業に合わせる方針である。 窓口担当は、顧客への回答前に宛先と送信内容を確認する。部門長は、部下からの例外申請を審査し、承認理由を記録する。委託先の常駐要員は、指定フォルダで受注データを処理し、不審な事象を社内の指定窓口へ報告する。三者とも今回の教育対象である。 共通教育を実施した後の職務別演習として、この会社の方針に最も合うものはどれか。

営業部門では、顧客データを社外へ渡す手順を改定する。旧手順では担当者による宛先確認で送付できたが、新手順では承認者による確認と送付記録の保存も必要になる。新手順の開始日は来週月曜日である。 担当者12人は全員、先月の旧手順の教育を完了している。新手順については、改定版のファイルを共有フォルダへ置いただけで、変更点の説明も理解確認も行っていない。部門の移行計画では、開始前に変更点を説明し、担当者が新手順で処理できることを確認することになっている。 移行計画を満たす開始前の対応はどれか。

情報管理担当者は、補足教材を加えた後の教育結果を整理する。2回とも同じ40人が対象で、同じ理解確認の方法と達成基準を用いた。基準達成者は各回の受講者の内数であり、未受講者の結果は含まない。 第1回：対象40人、受講者32人、基準達成者24人 第2回：対象40人、受講者40人、基準達成者28人 集計では「受講者のうち基準を達成した割合」と「対象者全員のうち基準を達成した割合」を区別する。補足教材以外の影響は調べておらず、個人ごとの点数の変化もこの表にはない。 この表から言えることとして、正しいものはどれか。

部門で、不審なメールを見つけたときの連絡手順を確認する机上訓練を行った。通常の報告先は情報管理担当者で、不在の場合は代行窓口へ連絡する手順になっている。訓練では実際の不審メールや攻撃用プログラムは使用していない。 実施記録には、参加者全員が不審な点を発見したこと、情報管理担当者へ連絡しようとしたことが残っていた。しかし、担当者が不在という条件を示すと、代行窓口の連絡先を見つけられず、全員が報告を止めた。教材には代行窓口の名前だけがあり、連絡先の確認場所は載っていなかった。 この記録を踏まえた次の改善として、最も適切なものはどれか。

部門の情報管理担当者は、社外への資料送付に関する補足教育の結果を確認する。前回の演習では、受講者10人のうち4人が、送付先の相手は合っているものの、相手に渡す必要のない項目まで資料に含めていた。 今回の補足教育では、相手が業務で必要とする項目を確認して送付用資料を作る練習を行った。部門では、補足教育を受けた4人がそれぞれ一人で、未使用の別事例でも不要な項目を除いた資料を作れることを、今回の改善確認の条件としている。演習では架空の資料を使い、実際の顧客情報は扱わない。 改善確認の条件を直接確かめられる方法はどれか。