問題 No.6177
個人情報保護法に基づく個人情報取扱事業者の安全管理措置に関して、技術的安全管理措置として法令上またはガイドライン上、適切とされるものはどれか。
【正解の解説】
個人データを取り扱う情報システムへのアクセス制御を実施し、認証機能を用いて利用者及び権限を識別した上で不正なアクセスを防止する対策を講じること。
これは自宅の玄関にオートロックや指紋認証システムを導入し、合鍵を持つ家族しか入れないようにする厳重なセキュリティ対策と同じです。個人情報という大切な宝物を収めたデジタルの金庫に対し、誰が触れるかをコンピュータの技術を使って厳しく見張り、不正な侵入をガッチリ防ぐのが技術的安全管理措置の本質なのです。
スポンサーリンク
【その他の選択肢の解説】
個人データを取り扱う機器及び電子媒体等の盗難等を防止するための物理的な保護措置を講じるとともに、事業所内の入退室管理を行うこと。
試験では「技術的」と「物理的」の区別を問う問題が非常によく出題されます。パソコン自体の盗難を防ぐ鍵の設置や部屋の入退室は、目に見える現実世界をガッチリ守る「物理的」な対策です。コンピュータのパスワード設定やアクセス制限などの「目に見えないデジタル世界」の対策とはカテゴリーが異なるため注意が必要です。
個人データの取扱いに関する留意事項について定期的な従業員教育を実施し、個人情報保護に向けた意識の向上と運用の徹底を図ること。
ルールブックを作ってどれだけ素晴らしいシステムを導入しても、それを扱う「人」の意識が低ければ情報漏洩は防げません。従業員への研修や教育を通してヒューマンエラーを防ぐこの取り組みは、システム技術や物理的設備ではなく、人間の内面を育てる「人的安全管理措置」に分類される重要なアプローチです。
個人データを取り扱う事業所の組織体制の整備や規定の策定を行い、運用状況を確認するための定期的な点検及び監査を実施すること。
会社組織全体のルール作りや責任者の配置、そしてルール通りに運用されているかをチェックする体制づくりは、いわば会社の「組織図や校則」を作る作業です。これは技術的なシステム設定や物理的な鍵の管理ではなく、組織全体のガバナンスを効かせる「組織的安全管理措置」となるため、しっかりと言葉を区別して覚えましょう。