問題 No.6263
個人情報保護法および関連ガイドラインにおいて、個人情報取扱事業者が講ずべき安全管理措置のうち、個人データを取り扱う情報システムに関して講ずる「技術的安全管理措置」として、アクセス者の識別と認証に関する具体例として妥当なものはどれか。
【正解の解説】
ユーザーID、パスワード、ワンタイムパスワード、生体認証などの識別・認証機能を用いて、情報システムにアクセスする者が正当な権限を有する本人であるかを確認し制御すること。
これは自宅の玄関の鍵やスマートフォンの指紋認証のようなものです。マンションのエントランスに住人証があるように、システムに入る人が「本当にその人か」をIDや生体認証でしっかり確認し、不審者の侵入を防ぐ極めて重要な技術的セキュリティの第一歩となります。
スポンサーリンク
【その他の選択肢の解説】
ファイアウォールや不正アクセス検知システムを設置し、外部からの不正な通信やマルウェアの侵入を常時監視して防御・遮断すること。
ファイアウォールや不正アクセス検知システムによる防御は、個人情報保護法における「物理的安全管理措置」や「ネットワークの境界防御」に分類されます。本問が問う「アクセス者の識別と認証」とはシステムに入る人の確認を指すため、外敵の侵入を防ぐ防壁の話とは論点が異なります。
個人データを取り扱う電子媒体や書類を持ち運ぶ際、容易に内容が判明しないよう暗号化やパスワード設定などの保護措置を講ずること。
ノートPCやUSBメモリを持ち運ぶ際、万が一紛失しても中身が見られないようにする対策は「物理的安全管理措置」や「媒体の管理」に該当します。システムにログインする際の本人認証の仕組みとは対策の目的や適用する場面が異なるため、混同しないよう注意が必要です。
情報システムを使用する従業員に対して定期的なセキュリティ教育を行い、情報漏洩インシデントに関する意識向上を図ること。
従業員に対する教育や研修、秘密保持契約の締結などは「人的安全管理措置」に分類されます。システム自体の機能やパスワード認証といった機械的な制限をかける技術的対策ではなく、人間の意識やルール徹底にアプローチする点が出題者の罠となるため区別しましょう。