問題 No.6278
個人情報保護法および関連ガイドラインにおいて、個人情報取扱事業者が講ずべき安全管理措置のうち、個人データを取り扱う情報システムに関して講ずる「技術的安全管理措置」の具体例として、通信の安全性を確保するための措置としてガイドライン上適切とされるものはどれか。
【正解の解説】
個人データを取り扱う情報システムと外部との通信や、内部のネットワークにおける通信について、暗号化やアクセス経路の制限等の不正な傍受を防ぐための措置を講ずること。
これは郵便物を送る際に、鍵をかけた頑丈なカバンに入れて配達員以外が見られないようにする厳重な施策のようなものです。ネットワークという名の公道をデータが移動する際、そのままでは中身が丸見えになってしまうため、パスワードのように暗号化して覗き見をブロックし、安全に目的地へ届ける技術的な盾の役割を果たします。
スポンサーリンク
【その他の選択肢の解説】
個人データを取り扱う情報システムに対する外部からの不正なアクセスや攻撃を防ぐため、最新のセキュリティパッチの適用や脆弱性管理を継続的に実施すること。
OSやアプリを最新の状態にアップデートする作業は、家の鍵の性能を上げるのと同じ物理的・構造的な防衛策です。問題文が問うている「通信の安全性（データの通り道の保護）」とはレイヤーが異なるため、言葉の響きに惑わされて選ばないよう注意が必要です。
個人データを取り扱う情報システムを使用する従業者に対して、定期的な教育や訓練を行い、情報セキュリティに関する意識の向上を図る体制を整備すること。
どれだけ最新のセキュリティシステムを導入しても、人間が簡単にパスワードを教えてしまっては意味がありません。この選択肢は「ヒト」に対する教育やルール作りを指しており、ネットワークの通信を守る「技術的」な措置とはアプローチの切り口が異なります。
個人データを取り扱う機器や電子媒体を物理的に保護するため、施錠可能な管理区域を設定し、入退室の管理や持ち出しの制限等の措置を講ずること。
サーバー室に鍵をかけたり、持ち出しを禁止したりするのは、泥棒が物理的に建物や部屋へ侵入するのを防ぐための対策です。ネットワーク上を流れる目に見えないデータを守る「技術的」な措置とは異なり、こちらは現実世界の「カタチあるもの」を守るルールです。