採用前の身元確認はどこまでできますか？無犯罪証明や信用情報を求められますか？
高い権限や機密情報に触れる職務の採用前確認を行う前に、台湾の法令上の限界を確認します。
- 就業サービス法第5条第2項第2号：雇主は、採用または雇用にあたり、就業に必要でないプライバシー情報の提供を求めてはならない
- 就業サービス法施行細則第1条の1：プライバシー情報には、生理情報（遺伝子検査、薬物検査など）、心理情報（心理テスト、うそ発見器など）、個人生活情報（信用記録、犯罪記録、妊娠計画、身元調査など）が含まれる。雇主が提供を求める場合、特定の目的に必要な範囲を超えてはならず、目的との間に正当かつ合理的な関連が必要
- 罰則：同法第67条により、6万台湾ドル以上30万台湾ドル以下の過料
実務では、職務がアクセスできる情報のレベルで区分し、本当に必要な職務だけにより詳しい情報を求め、「この職務になぜこの情報が必要か」を記録に残します。個別の可否は法律顧問が判断します。
秘密保持契約と競業避止条項は、どう書けば有効に機能しますか？
秘密保持契約：「一切の業務情報」とするのではなく、秘密保持の範囲を具体的に示します。秘密保持契約への署名だけでは、営業秘密法上の合理的な秘密保持措置として単独では足りず、分類、機密表示、アクセス記録、知る者の限定も必要です。ISO 27001 の情報分類、アクセス制御、ログ、人的セキュリティは、そのまま裏付け資料になります。
退職後の競業避止：労働基準法第9条の1により、次の四つをすべて満たす必要があります。
- 雇主に保護すべき正当な営業上の利益がある
- 労働者の職位または職務が、雇主の営業秘密に接し、または使用できる
- 期間、地域、職業活動の範囲、就業先が合理的な範囲を超えない
- 競業しないことによる労働者の損失に、合理的な補償がある（在職中に受けた給付は含まない）
いずれかに反する約定は無効です。期間は最長2年で、2年を超える場合は2年に短縮されます。ひな形は入社時、在職中、退職時、社外向けの四種類に分けることを勧めます。詳しくは営業秘密保護をご覧ください。
情報セキュリティ研修はどう実施すべきですか？審査では何を見られますか？
BSIの改訂解説によると、ISO/IEC 27001:2022 附属書Aの第6条の人的管理策は8項目で、研修や雇用条件などを扱います。台湾の国家資通安全研究院も、人的管理策の8項目はいずれも既存の管理策だと説明しています。人事責任者（CHRO）が準備すべき証拠：
- 年間研修計画：全従業員、情報システム担当、管理職、新入社員など役割別に階層化
- 受講記録：入社時研修と年次研修の出席記録またはオンライン受講記録
- 効果：研修後のテストや演習の結果
- フォロー：未受講者への督促と補講の記録
個人データも扱う場合、個人資料保護法施行細則第12条に挙げられた安全管理措置には、「データの安全管理及び人員管理」と「啓発及び教育訓練」も含まれます。情報セキュリティと個人情報の研修は合同で実施し、記録を共有できます。
情報セキュリティ規程に違反した従業員の懲戒手続は、どう定めれば実行できますか？
労働基準法第70条により、労働者を30人以上雇用する雇主は、「遵守すべき規律」「勤怠、休暇、賞罰及び昇進」などについて就業規則を定め、主管機関の承認を得て公示しなければなりません。情報セキュリティの懲戒を実行可能にするには：
- 就業規則またはその委任を受けた情報セキュリティ管理規程に、違反の類型と懲戒の段階を明記する
- 公示し、入社時研修と年次研修に組み込み、従業員が周知を受けた記録を残す
- 懲戒の前に事実を調査して証拠を保全し、決定の記録を残す
判断の枠組み：
- 法令の強行規定または禁止規定に違反する就業規則は無効（第71条）
- 「労働契約または就業規則に違反し、情状が重大」として予告なく契約を終了する場合（第12条第1項第4号）、その事情を知った日から30日以内に行う必要がある（同条第2項）
「情状が重大」か、懲戒が適法かは、法律顧問が個別に判断します。
従業員の退職や異動のとき、権限削除と資産返却はどこまでやれば完了ですか？
人事部門からの退職・異動の通知が、情報システム、資産、秘密保持の手続の起点です。
| 時点 | 対応 | 残す証拠 |
|---|---|---|
| 退職日の確定 | 情報システム部門に権限停止の予定を通知 | 通知記録 |
| 最終出勤日 | アカウントと入退室権限の停止、資産と機密データの返却、秘密保持・競業避止義務の再確認 | 停止時刻、返却チェックリスト、本人の受領確認 |
| 異動 | 新しい職務に応じて権限を再承認し、旧職務の権限を削除 | 権限変更記録 |
| 退職後 | 残存アカウントの抜き取り確認 | 確認記録 |
返却、権限停止、証拠保全の手続は、一度は実際に演習しておきます。例えば退職者がデータを持ち出す事案を想定し、ログから証拠保全までを通して実施し、見つかった不備を修正します。
情報セキュリティの専任人員は何人必要ですか？情報セキュリティ責任者（CISO）を置くべきですか？
公開発行会社の内部統制制度の構築に関する処理基準（公開發行公司建立內部控制制度處理準則）第9条の1は、情報セキュリティ制度の計画、監視、実施のために適切な人員と設備を配置するよう求めています。金融監督管理委員会の2021年12月28日付命令（金管證審字第11003656544號）：
| 対象 | 要件 |
|---|---|
| 上場・店頭登録会社のうち、払込資本金100億台湾ドル以上、台湾50指数構成銘柄、または電子商取引の売上が一定比率以上の会社 | 2022年末までに情報セキュリティ責任者を指名し、専任主管と少なくとも2名の専任人員からなる専任部門を設置 |
| その他の上場・店頭登録会社（直近3年連続の税引前損失、または直近年度の1株当たり純資産が額面を下回る会社を除く） | 2023年末までに専任主管と少なくとも1名の専任人員を配置。その後に該当した会社は該当日から6か月以内に対応 |
一般の公開発行会社や上場・店頭登録会社について、情報セキュリティ責任者の職位を定めた公式の文言はありません。非公開発行会社にはこれらの規範は適用されませんが、任意に参考にできます。
積穗科研は人事責任者（CHRO）のISO 27001対応をどう支援しますか？
積穗科研は副総経理・取締役クラスのコンサルタントが外注せず最後まで直接担当し、チームはISO主任審査員の資格を持っています。
- 範囲：顧客、入札、主管機関の情報セキュリティ要件を確認し、認証範囲を定める
- リスクアセスメントと適用宣言書：リスクアセスメントに基づいて管理策を決め、適用宣言書（SoA）にまとめる。適用しない管理策は理由を記載
- 制度の統合：リスク管理、内部監査、マネジメントレビューを再利用
- 内部監査の外部委託：認証取得済みの組織は、内部監査を積穗科研に委託できる
- 期間（サービスページ記載）：範囲と既存制度の成熟度により、一般的に4～8か月
公開の承諾を得たISO 27001支援の顧客は、訊光資訊科技、旺矽科技、卓元科健、超核心フィットネスセンター（Hypercore）です。関連情報：ISO 27001 情報セキュリティマネジメントシステム、ISO 27001 コンサルタントの選び方、ISO 27001 内部監査の外部委託。