セキュリティ方針・法的要求事項・インシデント対応・監査
ある企業で、退職を控えた従業員が退職直前の数日間に、業務上必要な範囲を超えて大量の顧客データをUSBメモリにコピーしていたことが、退職後の監査で判明した。このとき、企業がまず実施すべき対応として最も適切なものはどれか。
- A本人に事実関係を確認する前に、SNS等で不正の事実を公表する
- ✓アクセスログやコピー履歴などの証跡を保全し、事実関係の確認と影響範囲の特定を行う
- C証跡が古くなる前に速やかにログを削除し、システムを初期化する
- D元従業員の自宅に無断で立ち入り、私物のパソコンを確認する
解説
内部不正が疑われる場合、まず行うべきは証跡の保全と事実確認であり、これに基づいて後続の対応（社内処分、法的措置の検討、監督官庁への報告要否判断など）を行う。ログの削除や独断での公表、違法な手段による確認はいずれも不適切である。
根拠シラバス「内部不正の防止」「情報セキュリティインシデント発生時の証拠の収集及び分析」