問題 No.6202
個人情報保護法および関連ガイドラインにおいて、個人情報取扱事業者が講ずべき安全管理措置のうち「物理的安全管理措置」の具体例に関する次の記述のうち、不適切なものはどれか。
【正解の解説】
個人データを取り扱う情報システムへの不正アクセスを防ぐため、ユーザーIDやパスワード等を用いたアクセス制御やアクセス記録の取得・分析を行うこと。
パソコンの中にあるデータやネットワーク上の仕組みを守る対策は技術的安全管理措置に分類されます。建物や部屋といった現実世界の鍵をかける物理的な対策とは区別して覚える必要があり、試験ではこのように分類を入れ替えるひっかけ問題が非常によく出題されます。
スポンサーリンク
【その他の選択肢の解説】
個人データを取り扱う区域の管理として、入退室管理システムの導入や持ち込む機器等の制限を行うこと。
オフィスやサーバー室などの現実の空間への侵入を防ぐ対策は、まさに物理的安全管理措置そのものです。防犯カメラの設置や社員証によるオートロックの導入などがこれにあたり、怪しい人が勝手に入って大切な情報を盗み見たり持ち出したりするのを物理的に阻止する役割を持っています。
個人データを取り扱う機器および電子媒体等の盗難や紛失等を防止するため、施錠可能なキャビネットへ保管すること。
USBメモリやノートパソコン、書類などが物理的に盗まれたり無くしたりするのを防ぐため、鍵付きの引き出しやキャビネットにしまうのは基本的な物理的対策です。現実世界の「モノ」としての保管場所をしっかり管理し、誰でも触れる状態にしないことがこの措置のポイントです。
個人データを廃棄する場合に、容易に復元できない消去方式によるデータ消去や、物理的な破壊処分を行うこと。
不要になった書類をシュレッダーにかけたり、ハードディスクを物理的に破壊したりして二度と読めなくする作業は物理的安全管理措置に該当します。データが保存された媒体そのものを破壊することで、ゴミ捨て場などからの情報漏洩を確実に防ぐために非常に重要なプロセスです。