問題 No.6313
個人情報保護法および関連ガイドラインにおいて、個人情報取扱事業者が講ずべき安全管理措置のうち、個人データを取り扱う情報システムに関して講ずる「技術的安全管理措置」として、情報システムの使用に伴う漏えい等を防止するための措置の具体例に該当するものはどれか。
【正解の解説】
個人データを取り扱う機器や電子媒体を持ち運ぶ場合における、持ち出し時の紛失・盗難等を防止するための暗号化やパスワード設定等の保護措置を講ずること。
ノートパソコンやUSBメモリなどの電子媒体を持ち出す際、鍵をかけずに外を歩くようなものです。第三者に拾われても中身を見られないように暗号化やパスワードをかけることは、システムやデータそのものを守るまさに「技術的」な防衛策のど真ん中と言えます。
スポンサーリンク
【その他の選択肢の解説】
個人データを取り扱う情報システムへのアクセス権限を管理し、業務上必要な範囲外の者が個人データにアクセスすることを防止するための措置を講ずること。
誰でも社のデータベースにアクセスできる状態を防ぐ「ID・パスワード管理や権限設定」の話です。これらもシステムに関わるため技術的措置の一部ですが、問題文が問うている「情報システムの使用に伴う持ち出し時の漏えい防止（暗号化など）」とは論点が異なるため誤りとなります。
個人データを取り扱う区域の管理を実施し、盗難や不正な持ち出し等を防止するための物理的な施錠や入退室管理等の措置を講ずること。
サーバー室に鍵をかけたり、部外者が勝手に入らないように監視カメラを置いたりする「物理的」な対策のことです。パソコンの中のデータを守る技術的措置ではなく、建物や部屋というハードウェアを守る話なので、区別して覚える必要があります。
個人データを取り扱う従業者に対する定期的な教育や訓練を実施し、情報セキュリティに関する意識の向上とルール徹底を図る措置を講ずること。
いくらシステムや鍵を完璧にしても、使う人間がポロっと秘密を漏らしては意味がありません。そのため従業員に研修を行う「人的措置」です。システムそのものをいじる技術的措置とはアプローチが全く異なるため、試験ではこのように混ぜて出題されやすい定番の罠です。