問題 No.6341
A社は、顧客の個人データを取り扱う情報システムにおいて、個人データの漏えい等の事態に備えた技術的安全管理措置の導入を検討している。個人情報保護法および関連ガイドライン上、技術的安全管理措置として適切とされるものはどれか。
【正解の解説】
個人データを取り扱う情報システムに対する不正アクセスや不正ソフトウェアから保護するため、セキュリティ対策ソフトウェア等を導入し、自動更新等の仕組みを整備すること。
これは自宅の玄関に頑丈な鍵をかけるだけでなく、侵入者を検知する防犯カメラや自動警備システムを常時最新の状態で稼働させておくようなものです。情報システムへの外部からのサイバー攻撃やウイルス侵入を防ぐため、システム的な防御壁を構築し、常に最新の防御力を維持することが技術的安全管理措置の本質となります。
スポンサーリンク
【その他の選択肢の解説】
個人データを取り扱う情報システムへのアクセス権限を最小限に制限するため、ユーザーIDやパスワードの定期的な変更ルールを策定し、運用を徹底すること。
ユーザーIDやパスワードの管理は確かに重要ですが、これは主に「誰がアクセスできるか」というアクセス権のコントロールに関する事項です。問題文が求めている「技術的安全管理措置」の中でも、特に不正ソフト対策などのシステム防御機能とは区別して整理されるため、出題者の罠に注意しましょう。
個人データの安全な保管場所を物理的に特定し、施錠管理を行うとともに、媒体の持ち運び時における盗難や紛失を防ぐための物理的な保護施策を講じること。
パソコン本体や書類が保管されている部屋に鍵をかけたり、持ち出しを制限したりする対策は、現実世界の泥棒から物を守るような「物理的安全管理措置」です。コンピュータの内部システムを守る技術的対策とはアプローチが異なるため、用語の分類を正確に覚える必要があります。
個人データの取り扱いに関する業務を外部の事業者に委託する際、適切な委託先を選定するための基準を定め、契約において安全管理上の義務を明確に規定すること。
契約書でルールを定めたり業者を選定したりする行為は、人と組織の間を取り決める管理体制の構築であり、組織的安全管理措置や委託先管理に分類されます。システムそのものに施す技術的な対策とはレイヤーが異なるため、選択肢の記述がどの管理区分に属するのかを見極めることが重要です。