問題 No.6260
個人情報保護法および関連ガイドラインにおいて、個人情報取扱事業者が講ずべき安全管理措置のうち「人的安全管理措置」としてガイドライン上、適切とされるものはどれか。
【正解の解説】
個人データの取扱いに関する留意事項について、従業者に定期的な研修を実施し、秘密保持に関する事項を就業規則等に記載すること。
会社という組織で情報漏洩を防ぐためには、どれだけ高価な鍵やシステムを導入しても、それを扱う「人」のモラルが低ければ意味がありません。これは学校の部活で部員全員にルールを叩き込み、誓約書を書かせるようなもので、従業員の頭の中や雇用契約というルール面からセキュリティ意識を高めるアプローチが人的安全管理措置の本質です。
スポンサーリンク
【その他の選択肢の解説】
個人データの盗難や紛失を防止するため、事務所の入退室管理や持ち込む機器等の制限に関する物理的な手順を定めること。
初学者が「人の出入りを管理するから人的セキュリティではないか」と勘違いしやすい最大の罠です。ガイドラインでは、オフィスの物理的な区画やパソコンなどのハードウェアを守る対策はすべて「物理的安全管理措置」に分類されます。あくまで「人への教育やルール化」が人的措置です。
個人データを取り扱う情報システムに対するアクセス制御や、不正アクセスを防止するためのファイヤーウォールの設置を行うこと。
パスワード管理やウィルス対策ソフトの導入など、コンピュータの世界で自動的にデータを守る仕組みはすべて「技術的安全管理措置」に該当します。人間への教育や就業規則といったアナログなアプローチとは異なり、システム的な防御壁を作る点に決定的な違いがあります。
個人データの正確性を確保するため、利用目的の達成に必要な範囲内でデータを最新の状態に保つための措置を講ずること。
個人情報保護法では、安全にデータを守る「安全管理措置」のほかに、そもそもデータの中身を正しく保つ「正確性の確保」という別の義務が定められています。目的は似ていますが、法的な分類としてはハッカーや漏洩を防ぐセキュリティ対策とは異なる枠組みになるため注意が必要です。