印刷プレビューです。ブラウザの印刷機能でPDF保存・印刷できます。
個人情報保護士認定検定 安全管理措置
全40問 ／ トルカ（https://toruca.app）
問1. 個人情報保護法における「安全管理措置」義務の説明として最も適切なものはどれか。
- A. 個人情報取扱事業者は、その取り扱う個人データの漏えい・滅失・毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない
- B. 安全管理措置は要配慮個人情報を保有する事業者にのみ課される義務である
- C. 安全管理措置は法律上の義務ではなく完全に任意である
- D. 安全管理措置は技術的な対策のみを指し組織的な対応は含まれない
正解: A. 個人情報取扱事業者は、その取り扱う個人データの漏えい・滅失・毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない ／ 個人情報保護法は、個人情報取扱事業者に対し、その取り扱う個人データの漏えい・滅失・毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならないという安全管理措置義務を課しており、その内容は組織的・人的・物理的・技術的の4つの観点から求められる。
問2. 個人情報保護委員会のガイドラインが示す安全管理措置の4つの観点として正しい組み合わせはどれか。
- A. 組織的安全管理措置、人的安全管理措置、物理的安全管理措置、技術的安全管理措置
- B. 経済的安全管理措置、社会的安全管理措置、文化的安全管理措置、政治的安全管理措置
- C. 国内安全管理措置、国際安全管理措置のみの2分類
- D. 安全管理措置に分類という概念は存在しない
正解: A. 組織的安全管理措置、人的安全管理措置、物理的安全管理措置、技術的安全管理措置 ／ 個人情報保護委員会のガイドラインは、事業者が講ずべき安全管理措置を、組織的安全管理措置・人的安全管理措置・物理的安全管理措置・技術的安全管理措置の4つの観点から整理して示している。
問3. 「組織的安全管理措置」の具体例として最も適切なものはどれか。
- A. 個人データの取扱いに関する責任者の設置、取扱規程の整備、取扱状況を確認する体制の整備、漏えい等事案に対応する体制の整備
- B. 従業者に対する個人情報保護に関する教育・研修の実施（これは人的安全管理措置）
- C. サーバー室への入退室管理（これは物理的安全管理措置）
- D. アクセス制御やログの記録（これは技術的安全管理措置）
正解: A. 個人データの取扱いに関する責任者の設置、取扱規程の整備、取扱状況を確認する体制の整備、漏えい等事案に対応する体制の整備 ／ 組織的安全管理措置は、個人データの取扱いに関する責任者・担当者の設置及びその責任の明確化、取扱規程に従った運用状況を確認する体制の整備、漏えい等の事案が発生した場合に迅速かつ適切に対応する体制の整備等、組織体制やルールの整備に関する措置を指す。
問4. 「人的安全管理措置」の具体例として最も適切なものはどれか。
- A. 従業者に対する個人データの取扱いに関する留意事項についての教育・研修の実施
- B. 個人データを取り扱う区域の入退室管理（これは物理的安全管理措置）
- C. アクセス制御による権限管理（これは技術的安全管理措置）
- D. 個人データの取扱いに関する責任者の設置（これは組織的安全管理措置）
正解: A. 従業者に対する個人データの取扱いに関する留意事項についての教育・研修の実施 ／ 人的安全管理措置は、従業者に対する個人データの取扱いに関する留意事項についての教育・研修の実施等、従業者が個人データを適切に取り扱うよう、人的な観点から講じる措置を指す。
問5. 「物理的安全管理措置」の具体例として最も適切なものはどれか。
- A. 個人データを取り扱う区域の管理、機器・電子媒体等の盗難防止、個人データの削除・機器等の廃棄
- B. 従業者への教育・研修の実施（これは人的安全管理措置）
- C. アクセス制御の実施（これは技術的安全管理措置）
- D. 取扱規程の整備（これは組織的安全管理措置）
正解: A. 個人データを取り扱う区域の管理、機器・電子媒体等の盗難防止、個人データの削除・機器等の廃棄 ／ 物理的安全管理措置は、個人データを取り扱う区域（サーバー室等）の管理（入退室管理、間仕切りの設置等）、個人データを取り扱う機器・電子媒体・書類等の盗難・紛失防止のための措置、電子媒体や書類等を持ち運ぶ場合の漏えい防止対策、個人データの削除・機器・記録媒体等の廃棄等、物理的な観点から講じる措置を指す。
問6. 「技術的安全管理措置」の具体例として最も適切なものはどれか。
- A. アクセス制御、アクセス者の識別と認証、外部からの不正アクセス等の防止、情報システムの使用に伴う漏えい等の防止
- B. 個人データを取り扱う区域の入退室管理（これは物理的安全管理措置）
- C. 従業者への教育・研修の実施（これは人的安全管理措置）
- D. 取扱規程の整備（これは組織的安全管理措置）
正解: A. アクセス制御、アクセス者の識別と認証、外部からの不正アクセス等の防止、情報システムの使用に伴う漏えい等の防止 ／ 技術的安全管理措置は、個人データを取り扱う情報システムへのアクセス制御（アクセスできる従業者・システムの範囲を限定する等）、アクセス者の識別と認証（ID・パスワード等）、外部からの不正アクセス等を防止するための措置（ファイアウォール等）、情報システムの使用に伴う漏えい等の防止（通信の暗号化等）等、技術的な観点から講じる措置を指す。
問7. 組織的安全管理措置における「個人データの取扱状況の把握」の重要性として最も適切なものはどれか。
- A. 自社が保有する個人データの項目、取扱いの経路・方法等を把握することで、適切な安全管理措置を検討・実施する基礎とする
- B. 取扱状況の把握は安全管理措置とは全く無関係な作業である
- C. 取扱状況の把握は一度実施すれば二度と見直す必要がない
- D. 取扱状況の把握は個人情報保護法上の義務には一切含まれない
正解: A. 自社が保有する個人データの項目、取扱いの経路・方法等を把握することで、適切な安全管理措置を検討・実施する基礎とする ／ 組織的安全管理措置の実効性を高めるためには、自社が保有する個人データの項目、取得経路、保管場所、アクセス権限を有する者の範囲等の取扱状況を正確に把握（個人データマップの作成等）することが重要であり、これを基礎として適切な安全管理措置を検討・実施することができる。
問8. 「個人データの取扱いに係る規律」の整備において定めるべき事項として最も適切なものはどれか。
- A. 取得・利用・保管・提供・削除・廃棄等の各段階における取扱方法、責任者・担当者及びその任務、事故が発生した場合の報告連絡体制等
- B. 個人データの取扱いに係る規律には、従業員の給与体系のみを記載する
- C. 個人データの取扱いに係る規律は口頭で伝達すれば足り、文書化は一切不要である
- D. 個人データの取扱いに係る規律は一度定めたら内容を変更してはならない
正解: A. 取得・利用・保管・提供・削除・廃棄等の各段階における取扱方法、責任者・担当者及びその任務、事故が発生した場合の報告連絡体制等 ／ 個人データの取扱いに係る規律（取扱規程）には、取得・利用・保管・提供・削除・廃棄等の各段階における取扱方法、それぞれの段階における責任者・担当者及びその任務、事故（漏えい等）が発生した場合の報告連絡体制等を定めることが求められる。
問9. 個人情報保護委員会のガイドラインが示す、事業の性質や規模に応じた安全管理措置の考え方として最も適切なものはどれか。
- A. 中小規模事業者については、その規模や取り扱う個人データの数量・性質等を勘案した比較的簡易な手法も許容されている
- B. 安全管理措置は事業規模に関わらず、全ての事業者が全く同一の高度な措置を講じなければならない
- C. 中小規模事業者は安全管理措置を完全に免除されている
- D. 安全管理措置の手法はガイドライン上、一切の柔軟性が認められていない
正解: A. 中小規模事業者については、その規模や取り扱う個人データの数量・性質等を勘案した比較的簡易な手法も許容されている ／ 個人情報保護委員会のガイドラインは、中小規模事業者（従業員数100人以下の事業者等、一定の要件に該当する事業者）について、取り扱う個人データの数量や性質等を勘案し、実情に応じた比較的簡易な手法での安全管理措置の実施も許容する考え方を示している。
問10. 技術的安全管理措置における「アクセス制御」の目的として最も適切なものはどれか。
- A. 個人データを取り扱う情報システムについて、担当者及び取り扱う個人情報データベース等の範囲を限定するために適切なアクセス制御を行う
- B. アクセス制御は全ての従業者に無制限のアクセス権限を付与することを目的とする
- C. アクセス制御は個人情報保護法上、技術的安全管理措置には含まれない
- D. アクセス制御は物理的な入退室管理と全く同じ概念である
正解: A. 個人データを取り扱う情報システムについて、担当者及び取り扱う個人情報データベース等の範囲を限定するために適切なアクセス制御を行う ／ アクセス制御は、個人データを取り扱う情報システムについて、担当者や部署ごとに、業務上必要な範囲に限定してアクセス権限を付与し、不要なアクセスができないようにすることで、内部不正や誤操作による漏えい等のリスクを低減する技術的安全管理措置の一つである。
問11. 「アクセス者の識別と認証」の具体的な手法として最も適切なものはどれか。
- A. ID・パスワードによる認証、ICカード・生体認証等による本人確認
- B. 全ての従業者が同一の共有アカウントを使用すること
- C. パスワードを設定せず誰でもアクセスできる状態にすること
- D. アクセス者の識別と認証は物理的安全管理措置にのみ関連する概念である
正解: A. ID・パスワードによる認証、ICカード・生体認証等による本人確認 ／ アクセス者の識別と認証は、個人データを取り扱う情報システムにアクセスする者が正当な権限を有する本人であることを確認するための措置であり、ID・パスワードによる認証、ICカードや生体認証（指紋・顔認証等）による本人確認等の手法が用いられる。
問12. 技術的安全管理措置における「情報システムの使用に伴う漏えい等の防止」の具体例として最も適切なものはどれか。
- A. 通信の暗号化、ウイルス対策ソフトの導入、システムの動作を記録するログの取得・監視
- B. パスワードを全く設定しないこと
- C. 外部からの不正アクセスを一切考慮しないこと
- D. アクセスログを取得しても一切確認・分析しないこと
正解: A. 通信の暗号化、ウイルス対策ソフトの導入、システムの動作を記録するログの取得・監視 ／ 情報システムの使用に伴う漏えい等の防止のための措置には、通信内容の暗号化、ウイルス対策ソフトの導入・最新化、システムの利用状況や不正アクセスの有無を把握するためのログの取得・監視等が含まれる。
問13. 個人データを含むデータをUSBメモリ等の可搬記録媒体に格納して社外に持ち出す場合の一般的な安全管理措置として最も適切なものはどれか。
- A. データの暗号化やパスワード設定を行い、上長の許可を得る等の持ち出し手続きを定める
- B. 可搬記録媒体への格納・持ち出しには一切の制限を設けない
- C. 暗号化やパスワード設定を行わずそのまま持ち出してよい
- D. 持ち出し手続きの記録は一切不要である
正解: A. データの暗号化やパスワード設定を行い、上長の許可を得る等の持ち出し手続きを定める ／ 個人データを含むデータをUSBメモリ等の可搬記録媒体に格納して社外に持ち出す場合、紛失・盗難による漏えいリスクに備え、データの暗号化やパスワード設定を行うとともに、上長の許可を得る等の持ち出し手続きを定め、持ち出しの記録を残すこと等が推奨される。
問14. 個人データが記録されたパソコンやハードディスクを廃棄する際に求められる措置として最も適切なものはどれか。
- A. 専用のデータ消去ソフトウェアの利用や物理的な破壊等、復元不可能な方法でデータを消去したうえで廃棄する
- B. 単にゴミ箱（ファイルの削除操作）に入れるだけで安全に廃棄したことになる
- C. 廃棄する機器のデータ消去は一切不要である
- D. 廃棄業者への委託には安全管理措置の観点からの選定は一切不要である
正解: A. 専用のデータ消去ソフトウェアの利用や物理的な破壊等、復元不可能な方法でデータを消去したうえで廃棄する ／ 個人データが記録された機器・電子媒体を廃棄する際は、単なるファイルの削除操作（多くの場合データが復元可能）ではなく、専用のデータ消去ソフトウェアの利用や、記録媒体の物理的な破壊等、復元不可能な方法でデータを消去したうえで廃棄する必要がある。廃棄を外部業者に委託する場合は、委託先の選定・監督も重要である。
問15. 個人情報が記載された紙の書類を廃棄する際に求められる措置として最も適切なものはどれか。
- A. シュレッダーによる裁断や、溶解処理等、復元できない方法で廃棄する
- B. そのまま可燃ゴミとして排出すればよく、裁断等の処理は一切不要である
- C. 書類の廃棄には安全管理措置の考え方は一切適用されない
- D. 書類は永久に保存し続けなければならず廃棄すること自体が禁止されている
正解: A. シュレッダーによる裁断や、溶解処理等、復元できない方法で廃棄する ／ 個人情報が記載された紙の書類を廃棄する際は、そのまま排出すると第三者に情報が読み取られるリスクがあるため、シュレッダーによる裁断や、専門業者による溶解処理等、復元できない方法で廃棄することが物理的安全管理措置として求められる。
問16. テレワーク（在宅勤務）環境下での個人データの取扱いにおける安全管理措置として最も適切なものはどれか。
- A. VPN等の安全な通信環境の確保、業務用端末の適切な管理（画面ロック設定等）、家族等の第三者による覗き見・誤操作の防止
- B. テレワーク環境では個人情報保護法上の安全管理措置は一切不要である
- C. テレワークでは個人データを自由に私物のUSBメモリにコピーしてよい
- D. テレワーク環境下でのパスワード管理は一切不要である
正解: A. VPN等の安全な通信環境の確保、業務用端末の適切な管理（画面ロック設定等）、家族等の第三者による覗き見・誤操作の防止 ／ テレワーク（在宅勤務）環境下で個人データを取り扱う場合、オフィス外からの安全な通信環境の確保（VPN接続等）、業務用端末の適切な管理（離席時の画面ロック等）、家族等の第三者による画面の覗き見や誤操作を防止するための配慮等、通常のオフィス勤務とは異なるリスクを踏まえた安全管理措置が求められる。
問17. 個人データを従業者が社外に持ち出す場合の一般的な管理として最も適切なものはどれか。
- A. 持ち出しの必要性を検討したうえで、持ち出す場合の手続き（許可申請、記録の保存等）をあらかじめ定めておく
- B. 従業者は上長の許可なくいつでも自由に個人データを持ち出してよい
- C. 個人データの社外持ち出しには一切の記録を残す必要がない
- D. 社外への持ち出しに関する規程は個人情報保護法上、策定する意味がない
正解: A. 持ち出しの必要性を検討したうえで、持ち出す場合の手続き（許可申請、記録の保存等）をあらかじめ定めておく ／ 個人データの社外への持ち出しは漏えい・紛失のリスクを高めるため、まず持ち出しの必要性自体を十分に検討したうえで、やむを得ず持ち出す場合には、事前の許可申請や持ち出し記録の保存等、あらかじめ定めた手続きに従って管理することが求められる。
問18. 人的安全管理措置の一環として企業が従業者と締結する「秘密保持に関する誓約書」の役割として最も適切なものはどれか。
- A. 業務上知り得た個人情報等の秘密を第三者に漏らさないことを従業者に誓約させることで、内部からの情報漏えいを抑止する
- B. 誓約書は個人情報保護法上、いかなる法的効果も持たない単なる形式的な書類である
- C. 誓約書を取得すれば安全管理措置の他の対策は一切不要となる
- D. 誓約書は退職後の従業者には一切効力を持たない
正解: A. 業務上知り得た個人情報等の秘密を第三者に漏らさないことを従業者に誓約させることで、内部からの情報漏えいを抑止する ／ 秘密保持に関する誓約書は、業務上知り得た個人情報等の秘密を在職中及び退職後も第三者に漏らさないことを従業者に誓約させる書面であり、これにより内部の従業者からの故意・過失による情報漏えいを抑止する効果が期待される、人的安全管理措置の一つである。
問19. 個人データの内部不正（従業者による不正な持ち出し・利用等）を防止するための組織的な取り組みとして最も適切なものはどれか。
- A. アクセス権限の適切な管理、操作ログの記録・監視、複数人での確認体制（相互牽制）の構築
- B. 内部不正の防止は物理的な鍵の管理のみで完結し、それ以外の対策は一切不要である
- C. 内部不正の防止は正社員には不要でアルバイトにのみ必要な対策である
- D. 内部不正は防止不可能であるため対策を講じる意味がない
正解: A. アクセス権限の適切な管理、操作ログの記録・監視、複数人での確認体制（相互牽制）の構築 ／ 個人データの内部不正を防止するためには、業務上必要な範囲にアクセス権限を限定する、操作ログを記録・定期的に監視する、重要なデータの取扱いには複数人でのダブルチェック体制（相互牽制）を構築する等、組織的・技術的な複合的な対策を講じることが有効である。
問20. 組織的安全管理措置における「漏えい等の事案に対応する体制の整備」の内容として最も適切なものはどれか。
- A. 漏えい等の事案が発生した場合の対応部署・責任者の明確化、事実関係の調査・影響範囲の特定、再発防止策の検討等を行う体制をあらかじめ整備する
- B. 漏えい等の事案が発生した場合の対応は、発生後に初めて検討すればよく事前の体制整備は一切不要である
- C. 漏えい等の事案に対応する体制は個人情報保護委員会にのみ求められ、事業者には一切求められない
- D. 漏えい等が発生しても対応体制がなければ何もしなくてよい
正解: A. 漏えい等の事案が発生した場合の対応部署・責任者の明確化、事実関係の調査・影響範囲の特定、再発防止策の検討等を行う体制をあらかじめ整備する ／ 組織的安全管理措置の一つとして、漏えい等の事案が発生した場合に、対応する部署・責任者を明確化し、事実関係の調査・影響範囲の特定、個人情報保護委員会への報告・本人への通知、再発防止策の検討・実施等を迅速かつ適切に行うための体制を、平時からあらかじめ整備しておくことが求められる。
問21. 「個人情報保護監査」の目的として最も適切なものはどれか。
- A. 自社の個人情報の取扱いが、法令・社内規程・安全管理措置等に適合しているかを独立した立場から検証・評価し、改善につなげる
- B. 個人情報保護監査は個人情報保護委員会のみが実施できる制度である
- C. 個人情報保護監査は一度実施すれば二度と実施する必要がない
- D. 個人情報保護監査には安全管理措置の検証は一切含まれない
正解: A. 自社の個人情報の取扱いが、法令・社内規程・安全管理措置等に適合しているかを独立した立場から検証・評価し、改善につなげる ／ 個人情報保護監査は、自社（または委託先等）における個人情報の取扱いが、個人情報保護法等の法令、社内の取扱規程、講じている安全管理措置等に適合しているかを、独立した立場（内部監査部門や外部の専門家等）から定期的に検証・評価し、問題点があれば改善につなげるための取り組みである。
問22. 「プライバシーマーク制度」の説明として最も適切なものはどれか。
- A. JIS Q 15001（個人情報保護マネジメントシステム）に適合し、個人情報の取扱いについて適切な体制・運用を行っている事業者を認定し、マークの使用を認める制度
- B. プライバシーマークは個人情報保護法上、全事業者に取得が義務付けられている認証である
- C. プライバシーマークは個人情報保護委員会が直接認定するものであり、指定機関は一切関与しない
- D. プライバシーマークを取得すると個人情報保護法の適用が完全に除外される
正解: A. JIS Q 15001（個人情報保護マネジメントシステム）に適合し、個人情報の取扱いについて適切な体制・運用を行っている事業者を認定し、マークの使用を認める制度 ／ プライバシーマーク制度は、日本産業規格「JIS Q 15001（個人情報保護マネジメントシステム-要求事項）」に適合し、個人情報の取扱いについて適切な体制を整備し運用している事業者を、一般財団法人日本情報経済社会推進協会（JIPDEC）等が審査・認定し、プライバシーマークの使用を認める制度であり、取得は事業者の任意である。
問23. 「ISMS（情報セキュリティマネジメントシステム）」認証と「プライバシーマーク」の違いとして最も適切なものはどれか。
- A. ISMSは組織の情報資産全般（機密性・完全性・可用性）を対象とした国際規格（ISO/IEC 27001）に基づく認証であるのに対し、プライバシーマークは個人情報の保護に特化した国内規格に基づく認証である
- B. ISMSとプライバシーマークは全く同じ対象・内容を扱う認証であり違いはない
- C. ISMSは個人情報のみを対象とし、それ以外の情報資産は一切対象としない
- D. プライバシーマークは国際規格であり、ISMSは国内独自の規格である（説明が逆）
正解: A. ISMSは組織の情報資産全般（機密性・完全性・可用性）を対象とした国際規格（ISO/IEC 27001）に基づく認証であるのに対し、プライバシーマークは個人情報の保護に特化した国内規格に基づく認証である ／ ISMS（情報セキュリティマネジメントシステム）認証は、国際規格ISO/IEC 27001に基づき、組織が保有する情報資産全般（機密性・完全性・可用性）を対象とした情報セキュリティ管理体制を評価・認証する制度であるのに対し、プライバシーマークは個人情報の保護に特化した国内規格（JIS Q 15001）に基づく認証制度である点で対象範囲が異なる。
問24. 個人情報保護マネジメントシステムにおける「PDCAサイクル」の適用として最も適切なものはどれか。
- A. 個人情報保護方針の策定（Plan）、安全管理措置の実施（Do）、監査等による運用状況の確認（Check）、問題点の是正・改善（Act）を継続的に繰り返す
- B. PDCAサイクルは個人情報保護マネジメントには一切適用できない考え方である
- C. PDCAサイクルは一度実施すれば二度と繰り返す必要のない一過性の取り組みである
- D. PDCAサイクルはCheck（確認）の段階のみで完結する
正解: A. 個人情報保護方針の策定（Plan）、安全管理措置の実施（Do）、監査等による運用状況の確認（Check）、問題点の是正・改善（Act）を継続的に繰り返す ／ 個人情報保護マネジメントシステム（プライバシーマークやISMSの枠組み等）は、個人情報保護方針の策定・目標設定（Plan）、安全管理措置等の実施（Do）、内部監査等による運用状況の確認（Check）、発見された問題点の是正・改善（Act）というPDCAサイクルを継続的に繰り返すことで、個人情報保護の水準を維持・向上させる考え方に基づいている。
問25. 個人情報保護対策における「リスクアセスメント」の目的として最も適切なものはどれか。
- A. 自社が保有する個人データに対する脅威・脆弱性を洗い出し、発生可能性や影響度を評価することで、優先的に対応すべきリスクを特定する
- B. リスクアセスメントはリスクを一切評価せず、全てのリスクに同じ対応を機械的に行う手法である
- C. リスクアセスメントは一度実施したら結果を二度と見直す必要がない
- D. リスクアセスメントは情報システムを持たない事業者には一切不要である
正解: A. 自社が保有する個人データに対する脅威・脆弱性を洗い出し、発生可能性や影響度を評価することで、優先的に対応すべきリスクを特定する ／ リスクアセスメントは、自社が保有する個人データに対してどのような脅威（外部からの攻撃、内部不正、災害等）や脆弱性が存在するかを洗い出し、それぞれの発生可能性や、発生した場合の影響度を評価することで、優先的に対応すべきリスクを特定し、限られた資源を効果的に配分するための重要なプロセスである。
問26. 委託先における安全管理措置の実施状況を確認する具体的な方法として最も適切なものはどれか。
- A. 委託契約書での安全管理措置に関する条項の明記、定期的な報告書の提出要求、必要に応じた実地の監査・視察
- B. 委託先の安全管理措置は口頭で一度確認すれば、それ以降は一切確認しなくてよい
- C. 委託先の選定にあたり、個人情報保護に関する体制の確認は一切不要である
- D. 委託契約書には安全管理措置に関する条項を記載してはならない
正解: A. 委託契約書での安全管理措置に関する条項の明記、定期的な報告書の提出要求、必要に応じた実地の監査・視察 ／ 委託先における安全管理措置の実施状況を確認するための具体的な方法としては、委託契約書に安全管理措置に関する条項（秘密保持義務、再委託の制限、事故発生時の報告義務等）を明記すること、定期的に取扱状況に関する報告書の提出を求めること、必要に応じて実地の監査や視察を行うこと等が挙げられる。
問27. 「クリアデスク・クリアスクリーン」の取り組みとして最も適切なものはどれか。
- A. 離席時に机上の書類を片付け、パソコンの画面をロックする等、第三者による覗き見や不正利用を防止する取り組み
- B. クリアデスク・クリアスクリーンとは、机やパソコンを一切使用しないことを意味する用語である
- C. クリアデスク・クリアスクリーンは技術的安全管理措置にのみ関係し物理的な観点は一切含まれない
- D. クリアデスク・クリアスクリーンは常時パソコンの電源を入れっぱなしにすることを推奨する取り組みである
正解: A. 離席時に机上の書類を片付け、パソコンの画面をロックする等、第三者による覗き見や不正利用を防止する取り組み ／ クリアデスク・クリアスクリーンは、離席時や退勤時に机上の書類・記録媒体等を片付け（クリアデスク）、パソコンの画面をロックまたはログオフする（クリアスクリーン）ことで、第三者による覗き見や不正な閲覧・利用を防止するための物理的・人的な安全管理措置の取り組みである。
問28. 情報システムへの不正アクセス対策として「多要素認証」を導入する意義として最も適切なものはどれか。
- A. パスワードのみに頼る認証よりも、複数の要素（知識情報・所持情報・生体情報）を組み合わせることで、不正アクセスのリスクを大幅に低減できる
- B. 多要素認証を導入するとパスワードの設定自体が一切不要になる
- C. 多要素認証は個人情報保護法上、導入が完全に禁止されている技術である
- D. 多要素認証は物理的安全管理措置にのみ分類される技術である
正解: A. パスワードのみに頼る認証よりも、複数の要素（知識情報・所持情報・生体情報）を組み合わせることで、不正アクセスのリスクを大幅に低減できる ／ 多要素認証は、パスワード（知識情報）のみに頼る単要素の認証と比べて、ワンタイムパスワードやスマートフォンアプリ（所持情報）、指紋・顔認証（生体情報）等、複数の異なる要素を組み合わせて認証を行うことで、パスワードの漏えいのみでは不正アクセスを許さないようにし、セキュリティレベルを大幅に高める技術的安全管理措置である。
問29. 個人データを保有するシステムにおける「ランサムウェア対策」として最も適切なものはどれか。
- A. 定期的なバックアップの取得（オフライン保管を含む）、OS・ソフトウェアの最新化、不審なメール・添付ファイルへの注意喚起
- B. ランサムウェア対策としてバックアップを取得する必要は一切ない
- C. ランサムウェアの被害を受けても個人情報保護法上の対応は一切不要である
- D. ランサムウェア対策はハードウェアの購入のみで完結する
正解: A. 定期的なバックアップの取得（オフライン保管を含む）、OS・ソフトウェアの最新化、不審なメール・添付ファイルへの注意喚起 ／ ランサムウェア（データを暗号化して身代金を要求するマルウェア）への対策としては、定期的なバックアップの取得（ネットワークから切り離したオフライン環境での保管を含む）、OS・ソフトウェアを最新の状態に保つこと、不審なメールの添付ファイルやリンクを開かないよう従業者への注意喚起・教育を行うこと等が重要である。なお、個人データの漏えいを伴う被害が生じた場合は漏えい等報告義務の対象となりうる。
問30. 安全管理措置を検討する際の「費用対効果」の考え方として最も適切なものはどれか。
- A. 保有する個人データの性質・量、想定されるリスクの大きさ等を踏まえ、事業規模に見合った合理的な範囲で必要かつ適切な措置を講じる
- B. 安全管理措置は費用を度外視して常に最高水準の対策のみを講じなければならない
- C. 費用対効果を考慮すると安全管理措置は一切講じなくてよいことになる
- D. 費用対効果の考え方は個人情報保護法のガイドラインには一切示されていない
正解: A. 保有する個人データの性質・量、想定されるリスクの大きさ等を踏まえ、事業規模に見合った合理的な範囲で必要かつ適切な措置を講じる ／ 安全管理措置は、保有する個人データの性質・量、事業の規模・性質、想定されるリスクの大きさ等を総合的に勘案し、事業規模に見合った合理的な範囲で「必要かつ適切」な措置を講じることが求められており、中小規模事業者向けの簡易な手法の許容等、費用対効果を考慮した柔軟な対応が可能となっている。
問31. 個人データの取扱いにおける「サプライチェーンリスク」の考え方として最も適切なものはどれか。
- A. 自社だけでなく、委託先・再委託先等、個人データが流通する一連の取引関係全体でセキュリティ水準を確保する必要があるという考え方
- B. サプライチェーンリスクは自社内部のみのリスクを指し、委託先には一切関係しない
- C. サプライチェーンリスクという概念は個人情報保護対策とは無関係である
- D. サプライチェーンリスクへの対応は委託先にのみ課され委託元には一切責任がない
正解: A. 自社だけでなく、委託先・再委託先等、個人データが流通する一連の取引関係全体でセキュリティ水準を確保する必要があるという考え方 ／ サプライチェーンリスクは、自社単独のセキュリティ対策だけでは不十分であり、個人データを取り扱う委託先・再委託先・システムベンダー等、一連の取引関係（サプライチェーン）全体でセキュリティ水準を確保する必要があるという考え方であり、近年多発する委託先経由の情報漏えい事案を踏まえ、その重要性が高まっている。
問32. 「インシデントレスポンス（事故対応）計画」に含めるべき内容として最も適切なものはどれか。
- A. インシデント発生の検知方法、初動対応の手順、報告・連絡体制、影響範囲の調査方法、復旧手順、再発防止策の検討プロセス
- B. インシデントレスポンス計画には発生後の対応のみを記載し、検知方法は一切含めない
- C. インシデントレスポンス計画は個人情報保護法とは無関係な情報システム部門のみの内部文書である
- D. インシデントレスポンス計画は一度策定したら内容を見直す必要が一切ない
正解: A. インシデント発生の検知方法、初動対応の手順、報告・連絡体制、影響範囲の調査方法、復旧手順、再発防止策の検討プロセス ／ インシデントレスポンス（事故対応）計画には、漏えい等のインシデント発生をどのように検知するか、発生時の初動対応の手順、社内外への報告・連絡体制、影響範囲の調査方法、システムやサービスの復旧手順、再発防止策を検討・実施するプロセス等を、あらかじめ具体的に定めておくことが求められる。
問33. 「データガバナンス」の考え方が個人情報保護対策において重要である理由として最も適切なものはどれか。
- A. 組織全体でデータの取扱いに関する方針・体制・ルールを一元的に整備・運用することで、個人情報保護を含むデータ管理全般の実効性を高めることができるため
- B. データガバナンスは個人情報保護対策とは全く無関係な経営管理の概念である
- C. データガバナンスを導入すると個人情報保護法の適用が完全に除外される
- D. データガバナンスは情報システム部門のみが単独で検討すればよい概念である
正解: A. 組織全体でデータの取扱いに関する方針・体制・ルールを一元的に整備・運用することで、個人情報保護を含むデータ管理全般の実効性を高めることができるため ／ データガバナンスは、組織全体でデータ（個人データを含む）の取扱いに関する方針・体制・ルールを一元的に整備・運用する考え方であり、部門ごとにばらばらな対応となることを防ぎ、個人情報保護を含むデータ管理全般の実効性・一貫性を高めるために重要な考え方として近年注目されている。
問34. 定期的な「個人データの棚卸し」の目的として最も適切なものはどれか。
- A. 保有する個人データの項目・量・保管場所・利用状況等を定期的に確認し、不要となったデータの削除や、新たなリスクの把握につなげる
- B. 個人データの棚卸しは一度実施すれば永久に再確認する必要がない
- C. 個人データの棚卸しは在庫商品の棚卸しと全く同じ会計処理を意味する
- D. 個人データの棚卸しは個人情報保護法の義務とは一切関係のない作業である
正解: A. 保有する個人データの項目・量・保管場所・利用状況等を定期的に確認し、不要となったデータの削除や、新たなリスクの把握につなげる ／ 定期的な個人データの棚卸しは、保有する個人データの項目・数量・保管場所・利用状況等を定期的に確認し、利用する必要がなくなったデータの削除・消去や、新たに生じたリスクの把握、部門横断的なデータ管理の実効性向上等につなげるための重要な取り組みである。
問35. 従業者に対する個人情報保護に関する教育・研修の実施頻度についての一般的な考え方として最も適切なものはどれか。
- A. 入社時の初期教育に加え、法改正や社内規程の変更等を踏まえた定期的な（年1回以上等の）継続教育を行うことが望ましい
- B. 教育・研修は入社時に1回のみ実施すれば、その後は二度と実施する必要がない
- C. 教育・研修は正社員にのみ実施し、パート・アルバイトには一切実施しなくてよい
- D. 教育・研修の頻度は個人情報保護法上、一律に禁止されている
正解: A. 入社時の初期教育に加え、法改正や社内規程の変更等を踏まえた定期的な（年1回以上等の）継続教育を行うことが望ましい ／ 個人情報保護に関する教育・研修は、入社時の初期教育（オンボーディング）に加え、法改正や社内規程の変更、新たに判明した脅威等を踏まえ、年1回以上等、定期的に継続教育を実施することが望ましいとされている。教育対象は正社員に限らず、業務上個人データを取り扱う全ての従業者（パート・アルバイト・派遣労働者を含む）とすべきである。
問36. 「標的型攻撃メール訓練」の目的として最も適切なものはどれか。
- A. 実際の攻撃を模した訓練メールを従業者に送付することで、不審なメールを見抜く力を養い、開封・クリックしてしまうリスクを低減する
- B. 標的型攻撃メール訓練は、実際に情報を盗み出すことを目的として実施される
- C. 標的型攻撃メール訓練は一度実施すれば効果が永続するため繰り返す必要がない
- D. 標的型攻撃メール訓練は情報システム部門の従業者にのみ実施すればよい
正解: A. 実際の攻撃を模した訓練メールを従業者に送付することで、不審なメールを見抜く力を養い、開封・クリックしてしまうリスクを低減する ／ 標的型攻撃メール訓練は、実際の標的型攻撃メールを模した訓練用のメールを従業者に送付し、開封率やリンククリック率等を測定するとともに、不審なメールを見抜く注意力や適切な報告行動を身につけさせることを目的として実施される、人的安全管理措置の一環としての教育訓練である。
問37. 特定のプロジェクトのために取得した個人データが、プロジェクト終了後に不要となった場合の望ましい対応として最も適切なものはどれか。
- A. 利用する必要がなくなった個人データを遅滞なく消去するよう努める（努力義務）
- B. 不要となった個人データは半永久的に保存し続けなければならない
- C. 不要となった個人データの消去は個人情報保護法上、完全に禁止されている
- D. 不要となった個人データの取扱いについて事業者は何ら検討する必要がない
正解: A. 利用する必要がなくなった個人データを遅滞なく消去するよう努める（努力義務） ／ 個人情報保護法は、個人情報取扱事業者に対し、利用する必要がなくなったときは当該個人データを遅滞なく消去するよう努めなければならないという努力義務を課しており、プロジェクト終了等により当初の利用目的を達成し個人データが不要となった場合には、適切に消去することが望ましい。
問38. 業務で生成AIサービスに個人情報を含むデータを入力する場合の留意点として最も適切なものはどれか。
- A. 入力した情報がAIの学習データとして利用される可能性や、外部への提供に該当する可能性があるため、サービスの利用規約の確認や、個人情報を含む入力を避ける等の社内ルールの整備が重要である
- B. 生成AIへの入力には個人情報保護法上いかなる考慮も一切不要である
- C. 生成AIサービスへの入力は常に個人情報保護法違反となり一切利用できない
- D. 生成AIの利用規約は個人情報保護の観点から確認する必要が一切ない
正解: A. 入力した情報がAIの学習データとして利用される可能性や、外部への提供に該当する可能性があるため、サービスの利用規約の確認や、個人情報を含む入力を避ける等の社内ルールの整備が重要である ／ 業務で外部の生成AIサービスに個人情報を含むデータを入力する場合、入力した情報がAIの学習データとして利用される可能性や、外部事業者への個人データの提供（第三者提供や委託）に該当する可能性があるため、利用するサービスの利用規約・プライバシーポリシーの確認や、原則として個人情報を含む入力を避ける、匿名化してから入力する等の社内ルールの整備が重要な安全管理措置の一つとなっている。
問39. 個人データを保存するクラウドサービスを選定する際に確認すべき事項として最も適切なものはどれか。
- A. サービス提供事業者のセキュリティ認証の取得状況、データの保管場所（国内・海外）、契約内容における責任分界点等
- B. 料金が最も安いサービスであれば、セキュリティ体制を一切確認せず選定してよい
- C. クラウドサービスの選定にあたり個人情報保護の観点は一切考慮不要である
- D. クラウドサービスは全て同一のセキュリティ水準であるため比較検討の必要がない
正解: A. サービス提供事業者のセキュリティ認証の取得状況、データの保管場所（国内・海外）、契約内容における責任分界点等 ／ 個人データを保存するクラウドサービスを選定する際は、サービス提供事業者がISMS等のセキュリティ認証を取得しているか、データの保管場所（国内か海外か、外国にある第三者への提供の問題が生じないか）、障害発生時やセキュリティインシデント発生時の責任分界点が契約上明確になっているか等を十分に確認・評価することが重要である。
問40. 個人情報保護士認定検定の「安全管理措置」分野で求められる能力として最も適切なものはどれか。
- A. 組織的・人的・物理的・技術的の4つの観点から求められる安全管理措置の具体的な内容を理解し、自社の実情に応じた実効性のある対策を企画・実施・評価できる能力
- B. 特定のセキュリティ製品の操作方法のみを暗記していればよいという能力
- C. 安全管理措置は情報システム部門にのみ関係し、一般の従業員には一切関係がないという考え方
- D. 安全管理措置は一度導入すれば二度と見直す必要がないという考え方
正解: A. 組織的・人的・物理的・技術的の4つの観点から求められる安全管理措置の具体的な内容を理解し、自社の実情に応じた実効性のある対策を企画・実施・評価できる能力 ／ 個人情報保護士認定検定の安全管理措置分野で求められるのは、組織的・人的・物理的・技術的の4つの観点から求められる安全管理措置の具体的な内容（責任体制の整備、教育・研修、入退室管理、アクセス制御等）を理解し、自社の事業規模や取り扱う個人データの性質に応じた実効性のある対策を企画・実施・評価できる実践的な能力である。