問題 No.6335
個人情報保護法および関連ガイドラインにおいて、個人情報取扱事業者が講ずべき安全管理措置のうち、個人データを取り扱う情報システムに関して講ずる「技術的安全管理措置」として、アクセス記録の取得及び分析に関する具体例に該当するものはどれか。
【正解の解説】
個人データを取り扱う情報システムへのアクセス状況に関する記録を作成し、定期的に分析を行うことにより、不正アクセスや異常な動作を検知して対応体制を整備すること。
これは会社のエントランスに防犯カメラやタイムカードを設置し、誰がいつ出入りしたかを記録して後から不審な動きがないかチェックするようなものです。情報システムの世界でも、誰がどのデータを見たかをログに残し定期的に分析することで、泥棒の侵入や内部不正をいち早く見つけ出す重要なセキュリティ対策となります。
スポンサーリンク
【その他の選択肢の解説】
個人データを取り扱う情報システムを使用する従業者の識別及び認証を行い、識別された利用者に応じたアクセス権限を適切に設定して管理体制を整備すること。
問題文が求める「アクセス記録の取得・分析」ではなく、会社の部屋に入る際に社員証で本人確認をして、一般社員は社長室に入れないように鍵をかける「アクセス権限の管理」に関する説明です。このように措置の分類をすり替える出題パターンに注意しましょう。
個人データを取り扱う情報システムへの不正アクセスを防ぐためにファイアウォール等を設置し、外部からの不正な通信やマルウェアの侵入を防止すること。
これは建物に例えると、頑丈な外壁や門番を置いて外部からの侵入者を物理的にシャットアウトする防衛網のイメージです。記録をとって分析する措置とは目的や手段が異なるため、技術的安全管理措置の中のどの項目に該当するかを正確に区別する必要があります。
個人データを取り扱う電子媒体等を持ち運ぶ際に、盗難や紛失等を防止するための暗号化やパスワード設定などの物理的な保護対策を講じること。
これは重要な書類やUSBメモリを持ち歩く際に、鍵付きのジュラルミンケースに入れたり金庫にしまったりするようなイメージの対策です。情報システム内のアクセスログ分析とは異なり、媒体自体の物理的な持ち出しリスクに対する対策であるため、選択肢として不適切です。