問題 No.6187
A社は、顧客の個人データを取り扱う情報システムの安全管理措置の一環として、個人データを記録する機器や電子媒体を持ち出す場合の対策を検討している。個人情報保護法および関連ガイドライン上、物理的安全管理措置として適切とされるものはどれか。
【正解の解説】
個人データを取り扱う機器や電子媒体等を持ち出す場合における、持ち出し時の盗難や紛失等を防止するための暗号化やパスワード設定等の物理的・技術的な保護対策を講じること。
これは鍵をかけた宝箱をさらに頑丈なチェーンで縛るようなものです。万が一、外へノートPCやUSBメモリを持ち出してカフェで置き忘れてしまっても、中身が金庫のように暗号化されていれば、他人に中身を見られるリスクをゼロに近づけることができます。物理的安全管理措置における鉄則の対策です。
スポンサーリンク
【その他の選択肢の解説】
個人データを取り扱う機器や電子媒体等を持ち出す場合における、組織内の特定エリアに限定した常時監視や持出禁止区域の設定等の人的・組織的な保護対策を講じること。
社内での監視体制も重要ですが、この選択肢は「持ち出し時」の対策としては的外れです。試験では、一見もっともらしい「人的・組織的」という言葉に惑わされがちですが、ノートPCを社外に持ち出すシーンでは、エリア制限ではなく中身の暗号化やパスワード保護が直接的な対策となります。
個人データを取り扱う機器や電子媒体等を持ち出す場合における、通信回線を介した遠隔からのデータ消去やアクセスログの常時監視等のネットワーク的な保護対策を講じること。
遠隔からのデータ消去（リモートワイプ）は非常に有効な技術的対策ですが、ガイドライン上は「技術的安全管理措置」や「物理的安全管理措置」の分類を正確に問われます。通信回線を介した対策を物理的安全措置と混同させるための、試験作成者がよく仕掛ける典型的な引っかけ問題のパターンです。
個人データを取り扱う機器や電子媒体等を持ち出す場合における、持ち出し時の移動経路の事前申請や第三者の立ち会い等の運用管理上の保護対策を講じること。
移動時の経路管理や第三者の同伴は一見厳重なセキュリティに見えますが、個人情報保護法のガイドラインが求める「物理的安全管理措置」の本質は、媒体自体の盗難・紛失対策における暗号化や施錠などの直接的な保護です。ルール運用だけでデータの保護がおろそかになる罠に注意しましょう。