問題 No.6191
個人情報保護法および関連ガイドラインにおいて、個人情報取扱事業者が講ずべき安全管理措置のうち、外形的な脅威から情報システムや個人データを保護するために講ずる「技術的安全管理措置」の具体例として、妥当なものはどれか。
【正解の解説】
個人データを取り扱う情報システムへのアクセス記録の取得及び分析を行い、不正アクセスや不正ソフトウェアの稼働を検知して対応する仕組みを導入すること。
これは自宅の鍵や門限ではなく、家の中に侵入者がいないかを監視するホームセキュリティのセンサーカメラや警報システムのようなものです。人間が目で見張るのではなく、システム自体の機能やITの仕組みを使って外敵からのサイバー攻撃や不正な侵入を防ぎ、データを守るアプローチがこれに当たります。
スポンサーリンク
【その他の選択肢の解説】
個人データを取り扱う機器や電子媒体を盗難や紛失から保護するため、施錠可能なキャビネットでの保管やワイヤーロックの装着を行うこと。
パソコンやUSBメモリに鍵をかけたりワイヤーで繋いだりするのは、金庫に現金をしまうような「目に見えるモノ」を守る物理的対策です。ITの仕組みやネットワークを通じてデータを守る「技術的対策」とはアプローチの領域が異なるため、試験ではこの分類を入れ替えるひっかけによく使われます。
個人データを取り扱う区域の管理を徹底するため、入退室管理システムによる従業員の入退室履歴の記録と監視カメラの設置を行うこと。
オフィスのドアに電子ロックをつけたり監視カメラを回したりするのは、建物や部屋という「物理的な空間」に不審者が入るのを防ぐための対策です。これらはハードウェアや物理的環境を守る物であり、情報システム内部のデータを保護する技術的対策とは明確に区別して覚える必要があります。
個人データの取扱いに関する留意事項やセキュリティポリシーについて、全従業員を対象とした定期的な研修および教育を実施すること。
ルールを教えたり研修を開いたりするのは、会社の人間や組織体制の運用を整えるヒューマン面のアプローチです。仕組みの導入を指す技術的安全管理措置とは異なり、ルールや体制づくりを担当する「組織的」な対策に分類されるため、それぞれの管理措置の定義を混同しないように注意しましょう。