問題 No.6151
個人情報保護法における個人情報取扱事業者が講ずべき安全管理措置のうち、物理的安全管理措置として法令上またはガイドライン上、適切とされるものはどれか。
【正解の解説】
事業者の事務所内における従業者の入退室管理や、個人データを取り扱う機器等の盗難等を防止するための持ち出し制限などの物理的な対策を講じること。
これは自宅の戸締りや金庫の鍵管理に例えられます。どれだけデジタルなセキュリティを固めても、泥棒が物理的にパソコンを持ち出したり部屋に侵入できたりしては意味がありません。そのため、人間の目や鍵、監視カメラといった現実世界の物理的な障壁を設けて情報を守るアプローチです。
スポンサーリンク
【その他の選択肢の解説】
個人データを取り扱う情報システムに対するアクセス制御や、利用者認証の仕組みを導入して不正なアクセスを防ぐための技術的な対策を講じること。
物理的安全管理措置と技術的安全管理措置は初学者が最も混同しやすいポイントです。前者が「鍵や壁、パソコンの持ち出し禁止」といった現実世界の対策であるのに対し、後者は「パスワード設定や暗号化、アクセス権限の付与」といったインターネットやパソコン内部の仕組みに関する対策を指します。
個人情報を取り扱う業務を外部に委託する場合における、委託先選定の基準策定や定期的な監査の実施といった組織的な管理体制を整備すること。
組織的安全管理措置は、会社のルール作りや責任者の任命、組織体制の構築を指します。外部業者への委託管理や社内ルールの運用体制の整備は、ヒトと組織の動きを管理する領域であり、物理的な部屋の出入りや機器の盗難防止とは異なるアプローチになります。
従業者に対する個人情報の取扱いに関する定期的な研修の実施や、秘密保持に関する事項を就業規則等の内部規程に規定して周知徹底を図ること。
人的安全管理措置は、従業員に対する教育や訓練を通じてセキュリティ意識を高め、人的リスクを軽減するための対策です。ルールを教えて守らせることは「人」に対するアプローチであり、事務所の入退室や機器の盗難防止といった「物理的なモノや場所」に対する対策とは区別されます。