問題 No.6338
A社は、顧客の個人データを取り扱うにあたり、個人情報保護法および関連ガイドラインに基づき「組織的安全管理措置」を講じようとしている。ガイドライン上、組織的安全管理措置の具体例として最も適切なものはどれか。
【正解の解説】
個人データの取扱いに関する責任者を設置するとともに、従業者による取扱範囲を明確化し、法や規程に違反している事実又は兆候を把握した場合の報告連絡体制を整備すること。
学校や会社でいえば「誰が学級委員長で、どんなルールを守り、問題が起きたら誰に報告するか」という組織のチーム作りやルール作りに例えられます。個人情報を守るためのヒトの動きや体制をきちんと整えることが、この措置の最大の目的であり本質となります。
スポンサーリンク
【その他の選択肢の解説】
個人データを取り扱う区域において、従業者の入退室管理や持ち込む機器の制限を行うとともに、権限を有しない者によるデータの閲覧を防止する措置を講じること。
「組織」ではなく、建物や部屋という「物理的なモノ」に着目した対策です。学校の職員室に鍵をかけるイメージであり、人や組織の体制を整える組織的安全管理措置とは分類が異なるため、試験ではこのように名前を入れ替えるひっかけに注意が必要です。
個人データの削減や不要となった廃棄の段階において、復元不可能な手段によるデータの消去や、媒体の物理的な破壊などの適正な廃棄措置を実施すること。
書類をシュレッダーにかけたり、パソコンを物理的にハンマーで破壊したりするような「モノの処分」に関する対策です。これは組織体制の構築ではなく、データのライフサイクルにおける「消去・廃棄」の段階に特化した措置を指しています。
個人データを取り扱う情報システムに対して、不正アクセスや不正ソフトウェアから保護するためのアクセス制御や、ファイヤーウォールの設置などの技術的措置を講じること。
人間関係のルール作りや組織体制ではなく、パソコンやネットワークという「ITの仕組み」を使って不正アクセスを防ぐ対策です。ウイルス対策ソフトの導入などがこれに該当し、組織体制を整える選択肢Aとはアプローチの手段が全く異なります。