問題 No.6246
個人情報保護法および関連ガイドラインにおいて、個人情報取扱事業者が講ずべき安全管理措置のうち、個人データの廃棄等に関する措置として、物理的安全管理措置の観点からガイドライン上適切とされるものはどれか。
【正解の解説】
個人データが記録された機器や電子媒体等を廃棄する際に、容易に復元できない消去方式によるデータ消去や、物理的な破壊処分等の措置を講ずること。
これは、秘密が書かれたメモをシュレッダーにかけて粉々にするようなものです。パソコンのデータを『ごみ箱に入れて空にする』だけでは、裏でデータを復元されてしまう危険があります。そのため、専用のソフトでデータを完全に上書き消去したり、ハードディスク自体を物理的にドリルで穴を開けたりして、二度と読み取れないように確実に処分することが求められます。
スポンサーリンク
【その他の選択肢の解説】
個人データを取り扱う区域において、入退室管理や持ち込む機器等の制限を行うとともに、権限を有しない者による閲覧を防止する措置を講ずること。
選択肢Bの内容は、シュレッダーにかける前の『書類やパソコンが置いてある部屋への不審者の侵入を防ぐ対策』を指しています。問題文が求めているのは最後の『廃棄』のプロセスであるため、部屋の鍵を閉める話とデータを破壊する話は、安全管理措置の中でもまったく別のフェーズであることをしっかりと区別して覚える必要があります。
個人データを取り扱う情報システムに対するアクセス制御や、アクセス者の識別と認証を行い、情報漏えいを防止する措置を講ずること。
選択肢Cの内容は、部屋の鍵ではなく『パソコンの中のデータ部屋にかけるデジタルな鍵』の話しです。IDやパスワードを使って不正アクセスを防ぐ仕組みであり、目に見えないネットワーク上の対策を指しています。ハードディスクを物理的に粉砕する廃棄処分とはアプローチが異なるため、技術的対策と物理的対策の混同を狙った引っかけ問題です。
個人データを取り扱う従業者に対し、安全管理措置に関する定期的な研修を実施し、秘密保持に関する誓約を徹底させる措置を講ずること。
選択肢Dの内容は、機械や書類といった『モノ』に対する対策ではなく、それを扱う『人』のモラルや知識を高めるためのルール作りです。どれだけ厳重なルールを教えても、使い終わったUSBメモリをそのままゴミ箱に捨ててしまっては意味がありません。『人』に対する教育と、『物やデータ』の物理的な廃棄処分は分類が異なるため注意が必要です。