問題 No.6220
個人情報保護法および関連ガイドラインにおいて、個人情報取扱事業者が講ずべき安全管理措置のうち、個人データの漏えい等の事態が発生した場合における「組織的安全管理措置」の報告連絡体制の整備として、ガイドライン上適切とされるものはどれか。
【正解の解説】
法や取扱規程に違反している事実又は兆候を把握した場合の責任者への報告連絡体制をあらかじめ整備し、事実関係の調査や被害拡大防止等の対応手順を定めること。
学校で火事を見つけたときに、すぐ先生に知らせてみんなで避難する『緊急連絡網』のようなものです。個人情報のトラブルが起きたとき、誰にどう報告して被害を最小限に抑えるかという社内のチームワークのルールをあらかじめ作っておくことが組織的安全管理措置の本質です。
スポンサーリンク
【その他の選択肢の解説】
個人データを取り扱う従業者に対する安全管理措置の教育及び訓練を定期的に実施し、違反行為を発見した際の速やかな是正手順を定めること。
問題文にある「報告連絡体制の整備」ではなく、「人的安全管理措置」に含まれる従業員教育についての説明となっています。試験では組織的・人的・物理的・技術的という4つの安全管理措置の分類を混ぜて出題されることが多いので、ルールの仕組み作りなのか、人の教育なのかを区別できるようにしましょう。
情報システムにおけるアクセス制御や不正アクセス防止の技術的対策を講じ、外部からの不正侵入による情報流出を検知する体制を整えること。
パスワード管理やファイアウォールなどのシステム的な防御策は「技術的安全管理措置」と呼ばれます。会社の組織的なルールや人の動きではなく、コンピュータやネットワークの仕組みでデータを守るアプローチなので、組織的対策を問う本問においては誤りとなります。
個人データを取り扱う機器や電子媒体の持ち出し制限を厳格に管理し、盗難や紛失を防ぐための物理的な保管場所の施錠設備を整備すること。
パソコンの盗難を防ぐために鍵付きの部屋に保管したり、ポータブルUSBの持ち出しを制限したりする対策は「物理的安全管理措置」に分類されます。建物や設備のハードウェア的な管理と、組織的な報告ルールや体制づくりを混同させないように注意が必要です。