問題 No.6346
個人情報保護法および関連ガイドラインにおいて、個人情報取扱事業者が講ずべき安全管理措置のうち、個人データの漏えい等事態が発生した場合における「組織的安全管理措置」の対応手順として、ガイドライン上適切とされるものはどれか。
【正解の解説】
法や取扱規程に違反している事実又は兆候を把握した場合の責任者への報告連絡体制をあらかじめ整備し、事実関係の調査や被害拡大防止等の対応手順を定めること。
会社で火災が起きたときに誰が誰に連絡し、どう避難するかという「避難訓練のマニュアル」をあらかじめ作っておくようなものです。個人情報の漏えいトラブルが起きた際にも、組織としてパニックにならず、迅速に責任者へ報告が上がり、被害を最小限に食い止めるための体制を整えておくことが組織的安全管理措置の核心となります。
スポンサーリンク
【その他の選択肢の解説】
漏えい等事態の発生を完全に防止するため、セキュリティ製品の導入状況やアクセス権限の付与状況を常時監視し、不審な動作を発見した場合は直ちにシステムを遮断すること。
問題文が求めているのは「組織的安全管理措置」ですが、本肢の内容はITシステムやネットワークの制御に関する「技術的安全管理措置」に該当します。このように、ルールの作り方や組織の体制を問われているのか、それともパスワード管理や暗号化といった技術的な対策を問われているのかをすり替える出題者の罠に注意しましょう。
個人データを取り扱うすべての従業者の作業スペースや保管エリアにおいて、部外者の侵入を防止するための物理的な施錠管理や入退室記録の確認を徹底すること。
部屋の鍵かけや監視カメラの設置など、目に見えるモノやエリアに対する対策は「物理的安全管理措置」に分類されます。会社の組織的なルール作りや報告ルートを指す「組織的安全管理措置」とは切り分けて覚える必要があり、机の上の書類の片付けや入退室管理といった物理的な対策と混同させないようにしましょう。
法令や社内規程に基づく定期的な監査の結果や改善要求事項について、経営層を含む取締役会へ速やかに報告し、運用の見直しや方針の策定を行うこと。
PDCAサイクルを回してセキュリティ全体の評価や見直しを行う取り組み自体は重要ですが、漏えい等事態が発生した場合における緊急の「報告連絡体制や対応手順の整備」とはフェーズが異なります。事前の体制づくりという本問の論点から外れた、事後的な見直しや監査に関する記述に惑わされないように注意が必要です。