問題 No.6311
個人情報保護法および関連ガイドラインにおいて、個人情報取扱事業者が講ずべき安全管理措置のうち「技術的安全管理措置」として、個人データを取り扱う情報システムへの不正アクセス等の防止に関する事項の具体例に該当するものはどれか。
【正解の解説】
情報システムを不正アクセスや不正ソフトウェアから保護するため、セキュリティ対策ソフトウェア等の導入や自動更新等の仕組みを整備すること。
これは自宅の玄関に頑丈なデジタルロックをかけたり、侵入者を検知する防犯カメラを設置したりするようなものです。法律では、パソコンやサーバーの中にある個人データが、外からのハッキングやウイルス攻撃にさらされないよう、セキュリティソフトの導入や最新のアップデート（自動更新）という「技術的な防壁」を築くことを義務付けています。システムをサイバー犯罪から守るまさに現場の盾となります。
スポンサーリンク
【その他の選択肢の解説】
個人データを取り扱う情報システムの運用に関する規定を策定し、従業者に定期的な研修を実施してセキュリティ意識の向上を図ること。
初学者が最も混同しやすいのが、人間に対するルール作りと、システムに対する機械的な設定の違いです。従業員への研修やルールの策定は、社内の人間関係や業務手順を律する「組織的安全管理措置」に分類されます。いくらシステムが頑丈でも、人間の教育は別の分類になるという出題者の罠を見抜く必要があります。
事業所内における入退室管理を徹底し、個人データを取り扱う機器の盗難や不正な持ち出しを防止するための物理的な制限を設けること。
建物や部屋への侵入を防ぐ入退室管理や、サーバー室の鍵かけなどは、物理的な実体を守る対策です。コードやソフトウェアでサイバー攻撃を防ぐ「技術的」な対策とは異なり、こちらは「目に見えるハードウェアや場所」を守る物理的なアプローチを指しています。法律の4つの安全管理措置の分類を正確に理解できているかが問われる定番のひっかけです。
情報システムを取り巻く外部環境の変化を常に把握し、外国において個人データを取り扱う場合には当該国の制度を把握すること。
個人データが日本国外のクラウドサーバーなどに保存される場合、その国の個人情報保護制度を把握しなければなりません。これはシステムへの不正アクセスを防ぐ技術的な仕組みそのものではなく、事業者が身を置くグローバルな「外的環境」を把握するための特別な措置です。システム内部のセキュリティ対策とは次元が異なるため、選択肢として選んではいけません。