問題 No.6242
個人情報保護法および関連ガイドラインにおいて、個人情報取扱事業者が講ずべき安全管理措置のうち、個人データを取り扱う情報システムに関して講ずる「技術的安全管理措置」の具体例として、最も妥当なものはどれか。
【正解の解説】
個人データを取り扱う情報システムにアクセスできる者を限定するため、ユーザーIDやパスワード等の識別・認証機能を用いたアクセス制御を実施すること。
これは自宅の玄関に電子オートロックを導入して、合鍵を持つ家族しか入れないようにするようなものです。情報システムの世界でも、誰でも勝手に入れないようIDとパスワードで厳重に門番を置き、部外者の侵入を防ぐ技術的な仕組みが「技術的安全管理措置」の代表例となります。
スポンサーリンク
【その他の選択肢の解説】
個人データの盗難や紛失等を防止するため、情報システムを設置している区域への入退室管理および持ち込み機器の制限を実施すること。
これはサーバー室に防犯カメラを設置したり、専用のICカードキーで入る人を制限したりする対策です。パソコンやサーバーという「物質・建物」を守るアプローチなので、プログラムや設定をいじる技術的措置ではなく「物理的安全管理措置」に分類される点が大きな違いです。
個人データの漏えい等を防止するため、従業員に対する定期的な教育研修の実施や、機密保持に関する誓約書の徴収を行うこと。
これは会社組織の中でルールを作り、社員一人ひとりの意識を高めて不正を防ぐアプローチです。人という「組織のメンバー」にルールを教育・浸透させる対策なので、システムを直接操作する技術的なものではなく「組織的安全管理措置」に該当します。
個人データの安全な管理を徹底するため、情報システムを取り巻く事業者の経営環境や外部の脅威に関する情報を常に把握すること。
これは日本国内で事業を行う企業が、海外のクラウドサービスを利用する際にその国の法制度やサイバー攻撃のトレンドをリサーチするような活動です。自社のシステムや人を守る日々の対策そのものではなく、自社を取り巻く社会情勢や外部の法環境を理解するための前提知識にあたります。