印刷プレビューです。ブラウザの印刷機能でPDF保存・印刷できます。

個人情報保護士認定検定マイナンバー法・情報セキュリティ実務

全40問／トルカ（https://toruca.app）

問1. 「マイナンバー（個人番号）制度」の目的として最も適切なものはどれか。
- A. 行政の効率化、国民の利便性の向上、公平・公正な社会の実現を図るため、個人を識別する共通の番号を導入する
- B. マイナンバー制度は民間企業のマーケティング活動を促進するためだけの制度である
- C. マイナンバー制度は特定の職業の人にのみ番号を割り当てる制度である
- D. マイナンバー制度には行政上の目的が一切存在しない
正解: A. 行政の効率化、国民の利便性の向上、公平・公正な社会の実現を図るため、個人を識別する共通の番号を導入する／マイナンバー（個人番号）制度は、行政運営の効率化、国民の利便性の向上（各種手続きの簡素化等）、公平・公正な社会の実現（所得や行政サービスの受給状況の把握等）を図ることを目的として導入された、国内に住民票を有する全ての人に付与される12桁の番号制度である。
問2. 「マイナンバー法（行政手続における特定の個人を識別するための番号の利用等に関する法律）」と個人情報保護法の関係として最も適切なものはどれか。
- A. マイナンバー法は個人情報保護法の特別法として位置づけられ、個人番号の利用制限や特定個人情報の取扱いについて、個人情報保護法よりも厳格な規律を定めている
- B. マイナンバー法と個人情報保護法は全く無関係の独立した法律である
- C. マイナンバー法は個人情報保護法よりも緩やかな規律を定めている
- D. マイナンバー法は個人情報保護法を完全に廃止する法律である
正解: A. マイナンバー法は個人情報保護法の特別法として位置づけられ、個人番号の利用制限や特定個人情報の取扱いについて、個人情報保護法よりも厳格な規律を定めている／マイナンバー法は、個人情報保護法の特別法として位置づけられており、個人番号（マイナンバー）を含む「特定個人情報」の取扱いについて、利用範囲の限定、収集・保管の制限等、個人情報保護法よりもさらに厳格な規律を定めている。
問3. 「特定個人情報」の定義として最も適切なものはどれか。
- A. 個人番号（マイナンバー）をその内容に含む個人情報
- B. 特定個人情報は個人番号を含まない一般的な個人情報を指す用語である
- C. 特定個人情報は法人番号を含む情報のみを指す
- D. 特定個人情報という概念はマイナンバー法には存在しない
正解: A. 個人番号（マイナンバー）をその内容に含む個人情報／特定個人情報は、個人番号（マイナンバー）をその内容に含む個人情報を指し、マイナンバー法においては、この特定個人情報について、通常の個人情報よりも厳格な利用制限・収集制限・安全管理措置等が求められる。
問4. 民間事業者が従業員等のマイナンバーを利用できる場面として最も適切なものはどれか。
- A. 社会保障（健康保険・厚生年金保険・雇用保険等の手続き）、税務（源泉徴収票の作成等）、災害対策の分野で法令に定められた事務に限定される
- B. 民間事業者はマイナンバーを自由な目的（マーケティング等）で利用できる
- C. マイナンバーの利用範囲に法律上の制限は一切存在しない
- D. 民間事業者はマイナンバーを一切取得・利用することができない
正解: A. 社会保障（健康保険・厚生年金保険・雇用保険等の手続き）、税務（源泉徴収票の作成等）、災害対策の分野で法令に定められた事務に限定される／民間事業者がマイナンバーを利用できる場面は、マイナンバー法で限定的に定められており、社会保障分野（健康保険・厚生年金保険・雇用保険の手続き等）、税務分野（源泉徴収票・支払調書の作成等）、災害対策分野の、法令に定められた事務に限定される。それ以外の目的（マーケティング等）での利用は認められない。
問5. 事業者が従業員等からマイナンバーを取得する際に求められる「本人確認」の内容として最も適切なものはどれか。
- A. 番号確認（マイナンバーが正しいことの確認）と、身元確認（番号の正しい持ち主であることの確認）の両方を行う
- B. 本人確認は番号確認のみを行えば足り、身元確認は一切不要である
- C. 本人確認は身元確認のみを行えば足り、番号確認は一切不要である
- D. マイナンバーの取得に本人確認は一切不要である
正解: A. 番号確認（マイナンバーが正しいことの確認）と、身元確認（番号の正しい持ち主であることの確認）の両方を行う／事業者がマイナンバーを取得する際は、マイナンバーカードの提示等により、その番号が正しいことを確認する「番号確認」と、運転免許証等の提示により、番号の正しい持ち主が本人であることを確認する「身元確認」の両方を行うことが求められる（マイナンバーカードであればこれ1枚で両方の確認が可能）。
問6. マイナンバー法における「収集・保管制限」の説明として最も適切なものはどれか。
- A. 法令で限定的に定められた場合を除き、他人のマイナンバーを収集し、または保管してはならない
- B. 特定個人情報は誰でも自由に収集・保管することができる
- C. 収集・保管制限は民間事業者にのみ適用され行政機関には適用されない
- D. 収集・保管制限はマイナンバーカードにのみ適用され通知カードには適用されない
正解: A. 法令で限定的に定められた場合を除き、他人のマイナンバーを収集し、または保管してはならない／マイナンバー法は、社会保障・税・災害対策の分野で法令に定められた事務等の限定的な場合を除き、何人も他人のマイナンバーを収集し、または保管してはならないと定めており、必要がなくなったマイナンバーは速やかに廃棄・削除することが求められる。
問7. 従業員が退職した場合の、当該従業員のマイナンバーを含む書類の取扱いとして最も適切なものはどれか。
- A. 法定保管期間（源泉徴収簿等はおおむね7年間等）を経過し、かつ社会保障・税務関係の手続きで再度利用する必要がなくなった場合は、できるだけ速やかに廃棄または削除する
- B. 退職者のマイナンバーは永久に保管し続けなければならない
- C. 退職と同時に直ちに廃棄しなければ違法となる
- D. 退職者のマイナンバーの取扱いにはマイナンバー法上の制約が一切ない
正解: A. 法定保管期間（源泉徴収簿等はおおむね7年間等）を経過し、かつ社会保障・税務関係の手続きで再度利用する必要がなくなった場合は、できるだけ速やかに廃棄または削除する／退職者のマイナンバーを含む書類は、その書類の法定保管期間（源泉徴収簿等はおおむね7年間等）を経過し、かつ社会保障・税務関係の手続きで再度利用する必要がなくなった場合には、収集・保管制限の観点から、できるだけ速やかに廃棄または削除することが求められる。
問8. 特定個人情報の安全管理措置について、通常の個人データと比べた特徴として最も適切なものはどれか。
- A. 特定個人情報保護委員会（現・個人情報保護委員会）が定める「特定個人情報の適正な取扱いに関するガイドライン」に基づき、通常の個人データよりも一層厳格な安全管理措置が求められる
- B. 特定個人情報の安全管理措置は通常の個人データよりも緩やかでよい
- C. 特定個人情報には安全管理措置という概念自体が適用されない
- D. 特定個人情報の安全管理措置は民間事業者には一切求められない
正解: A. 特定個人情報保護委員会（現・個人情報保護委員会）が定める「特定個人情報の適正な取扱いに関するガイドライン」に基づき、通常の個人データよりも一層厳格な安全管理措置が求められる／特定個人情報（マイナンバーを含む個人情報）については、個人情報保護委員会が定める「特定個人情報の適正な取扱いに関するガイドライン」に基づき、事務取扱担当者の限定、取扱区域の管理、アクセス制御の徹底等、通常の個人データの安全管理措置よりも一層厳格な対応が求められる。
問9. マイナンバー法における「特定個人情報の提供制限」の説明として最も適切なものはどれか。
- A. 法令に定められた場合等を除き、特定個人情報を第三者に提供してはならない（個人情報保護法における本人同意による第三者提供の考え方は原則として適用されない）
- B. 特定個人情報の提供制限は存在せず、本人の同意があれば自由に第三者提供できる
- C. 特定個人情報の提供制限は行政機関にのみ適用され民間事業者には適用されない
- D. 特定個人情報は要配慮個人情報とは異なり、提供に関する規制が一切存在しない
正解: A. 法令に定められた場合等を除き、特定個人情報を第三者に提供してはならない（個人情報保護法における本人同意による第三者提供の考え方は原則として適用されない）／マイナンバー法は、社会保障・税・災害対策に関する事務での提供等、法令に限定的に定められた場合を除き、特定個人情報を第三者に提供してはならないとしており、個人情報保護法における「本人の同意を得れば第三者提供できる」という一般原則が、特定個人情報については原則として適用されない、より厳格な規律となっている。
問10. 行政機関等が実施する「特定個人情報保護評価」の目的として最も適切なものはどれか。
- A. マイナンバーを含む個人情報ファイルを保有しようとする行政機関等が、事前にその取扱いによるプライバシー等への影響を評価し、必要な対策を講じる
- B. 特定個人情報保護評価は民間事業者にのみ義務付けられている制度である
- C. 特定個人情報保護評価はマイナンバー制度が導入される前から存在していた無関係の制度である
- D. 特定個人情報保護評価には事前の評価という概念が含まれない
正解: A. マイナンバーを含む個人情報ファイルを保有しようとする行政機関等が、事前にその取扱いによるプライバシー等への影響を評価し、必要な対策を講じる／特定個人情報保護評価は、マイナンバーを含む個人情報ファイルを保有しようとする行政機関等が、システムの構築・運用に先立って、そのプライバシー等への影響を自ら評価し、影響を軽減するための措置を講じることを目的とした制度であり、一定規模以上のファイルについては評価結果の公表も求められる。
問11. マイナンバー法における罰則の特徴として最も適切なものはどれか。
- A. マイナンバーの不正な提供・盗用等について、個人情報保護法の一般的な罰則よりも重い法定刑が定められている場合がある
- B. マイナンバー法には罰則規定が一切存在しない
- C. マイナンバー法の罰則は個人情報保護法よりも常に軽い
- D. マイナンバー法の罰則は行政機関の職員にのみ適用され民間事業者の従業者には適用されない
正解: A. マイナンバーの不正な提供・盗用等について、個人情報保護法の一般的な罰則よりも重い法定刑が定められている場合がある／マイナンバー法は、マイナンバーの重要性・機微性の高さを踏まえ、正当な理由なく特定個人情報ファイルを提供した場合や、不正な利益を図る目的でマイナンバーを提供・盗用した場合等について、個人情報保護法の一般的な罰則規定と比べても重い法定刑（懲役刑・罰金刑）を定めている場合がある。
問12. 「マイナンバーカード」が持つ機能として最も適切なものはどれか。
- A. 券面での本人確認書類としての機能に加え、ICチップによる電子証明書を利用したオンラインでの本人確認（e-Taxやマイナポータルへのログイン等）の機能を持つ
- B. マイナンバーカードは紙製の通知カードと全く同じ機能・法的効力しか持たない
- C. マイナンバーカードにはICチップが搭載されておらず電子的な機能は一切ない
- D. マイナンバーカードは運転免許証としての機能を兼ねることは一切ない
正解: A. 券面での本人確認書類としての機能に加え、ICチップによる電子証明書を利用したオンラインでの本人確認（e-Taxやマイナポータルへのログイン等）の機能を持つ／マイナンバーカードは、券面に氏名・住所・生年月日・性別・個人番号・顔写真が記載された、公的な本人確認書類としての機能に加え、ICチップに搭載された電子証明書を利用して、e-Tax（国税電子申告・納税システム）やマイナポータルへのログイン等、オンラインでの本人確認を行う機能を持つ。
問13. 情報セキュリティの3要素（機密性・完全性・可用性）とマイナンバーの安全管理措置の関係として最も適切なものはどれか。
- A. 特定個人情報の漏えい（機密性侵害）だけでなく、改ざん（完全性侵害）や、必要な時にアクセスできない状態（可用性侵害）を防ぐことも安全管理措置の目的に含まれる
- B. マイナンバーの安全管理措置は機密性の確保のみを目的とし、完全性・可用性は一切考慮しない
- C. 情報セキュリティの3要素はマイナンバー制度とは全く無関係な概念である
- D. マイナンバーの安全管理措置は可用性の確保のみを目的とする
正解: A. 特定個人情報の漏えい（機密性侵害）だけでなく、改ざん（完全性侵害）や、必要な時にアクセスできない状態（可用性侵害）を防ぐことも安全管理措置の目的に含まれる／特定個人情報の安全管理措置は、情報セキュリティの3要素である機密性（許可された者だけがアクセスできること）・完全性（改ざんされていないこと）・可用性（必要な時に利用できること）の全てを確保することを目的としており、漏えいの防止だけでなく、データの改ざん防止や、システム障害等による業務継続性の確保も含まれる。
問14. マイナンバーに関連する「フィッシング詐欺」の手口として想定される事例として最も適切なものはどれか。
- A. 行政機関や事業者を装った偽のメール・SMSでマイナンバーカードの更新等を口実に、マイナンバーや個人情報の入力を求める
- B. フィッシング詐欺はマイナンバー制度とは全く関係のない手口である
- C. フィッシング詐欺の被害を受けても個人情報保護の観点からは何ら問題とならない
- D. フィッシング詐欺は必ず電話でのみ行われ、メールやSMSでは一切行われない
正解: A. 行政機関や事業者を装った偽のメール・SMSでマイナンバーカードの更新等を口実に、マイナンバーや個人情報の入力を求める／マイナンバー制度に関連するフィッシング詐欺の手口としては、行政機関や事業者を装った偽のメール・SMSを送りつけ、マイナンバーカードの更新手続きや給付金の申請等を口実に、偽サイトへ誘導してマイナンバーやクレジットカード情報等を入力させる事例が報告されており、事業者・個人双方に注意喚起が行われている。
問15. 企業における個人情報の漏えい事案の原因として、統計的にも多いとされるものはどれか。
- A. 紛失・誤送付・誤交付等の人的ミス、および不正アクセス・マルウェア感染等のサイバー攻撃
- B. 情報漏えいの原因は常に外部からのサイバー攻撃のみであり内部要因は一切存在しない
- C. 情報漏えいの原因は常に内部不正のみであり外部要因は一切存在しない
- D. 情報漏えいは統計上、発生することが皆無である
正解: A. 紛失・誤送付・誤交付等の人的ミス、および不正アクセス・マルウェア感染等のサイバー攻撃／企業における個人情報の漏えい事案の原因としては、書類・記録媒体の紛失、メールの誤送付・宛先間違い、書類の誤交付等の「人的ミス」が統計上も大きな割合を占めるほか、不正アクセスやランサムウェア等のマルウェア感染といった「サイバー攻撃」による漏えいも近年増加傾向にあり、両面からの対策が求められる。
問16. メールの誤送付による個人情報漏えいを防止するための対策として最も適切なものはどれか。
- A. 送信前のダブルチェック体制の構築、BCC設定の徹底、送信遅延機能（一定時間送信を保留する機能）の活用
- B. 誤送付防止のための対策は一切存在せず、発生は不可避である
- C. メールの送信には確認プロセスを設ける必要が一切ない
- D. BCCではなくCCを使用することで誤送付のリスクが低減する
正解: A. 送信前のダブルチェック体制の構築、BCC設定の徹底、送信遅延機能（一定時間送信を保留する機能）の活用／メールの誤送付（宛先間違い、CC/BCCの設定ミス等）による個人情報漏えいを防止するためには、送信前の宛先・添付ファイルのダブルチェック体制の構築、複数の相手に一斉送信する際のBCC設定の徹底（CCでは全員のメールアドレスが露呈してしまう）、送信ボタンを押してから一定時間送信を保留し取り消せるようにする送信遅延機能の活用等が有効である。
問17. 「ゼロデイ攻撃」の説明として最も適切なものはどれか。
- A. ソフトウェアの脆弱性が公表され、修正プログラム（パッチ）が提供される前の期間を狙って行われる攻撃
- B. ゼロデイ攻撃は攻撃発生から0日以内に完全に無効化できる攻撃を指す
- C. ゼロデイ攻撃は既に修正プログラムが十分に普及した後にのみ行われる攻撃である
- D. ゼロデイ攻撃という概念は情報セキュリティには存在しない
正解: A. ソフトウェアの脆弱性が公表され、修正プログラム（パッチ）が提供される前の期間を狙って行われる攻撃／ゼロデイ攻撃は、ソフトウェアの脆弱性が発見されてから、開発元が修正プログラム（セキュリティパッチ）を提供するまでの期間（対策が存在しない「0日」の期間）を狙って行われるサイバー攻撃であり、通常のパッチ適用による対策が効かないため、多層的な防御策が求められる。
問18. 個人データの漏えいにおける「内部脅威（インサイダーリスク）」への対応として最も適切なものはどれか。
- A. アクセス権限の最小化（必要最小限の権限のみ付与）、操作ログの監視、退職予定者の権限の速やかな削除等の複合的な対策
- B. 内部脅威への対応は完全に不可能であるため一切対策を講じる必要がない
- C. 内部脅威への対応は外部からの攻撃対策と全く同じ手法のみで完結する
- D. 内部脅威は正社員以外の雇用形態にのみ存在するリスクである
正解: A. アクセス権限の最小化（必要最小限の権限のみ付与）、操作ログの監視、退職予定者の権限の速やかな削除等の複合的な対策／内部脅威（従業者による意図的な情報持ち出しや、不注意による漏えい等）への対応としては、業務上必要な最小限の範囲にアクセス権限を限定する最小権限の原則、操作ログの記録・監視、退職予定者や異動者の権限を速やかに見直し・削除すること等、複合的な対策を講じることが有効である。
問19. 組織が策定する「情報セキュリティポリシー」の一般的な構成として最も適切なものはどれか。
- A. 基本方針（トップの姿勢や理念を示す最上位文書）、対策基準（部門横断的な統一ルール）、実施手順（具体的な業務手順）の3階層で構成されることが多い
- B. 情報セキュリティポリシーは1枚の紙のみで構成され階層構造を持たない
- C. 情報セキュリティポリシーは技術的な内容のみを扱い、経営者の関与は一切不要である
- D. 情報セキュリティポリシーは策定後、二度と見直しを行わない
正解: A. 基本方針（トップの姿勢や理念を示す最上位文書）、対策基準（部門横断的な統一ルール）、実施手順（具体的な業務手順）の3階層で構成されることが多い／情報セキュリティポリシーは、一般に、組織のトップとしての情報セキュリティに関する基本的な考え方・姿勢を示す「基本方針」、部門横断的に遵守すべき統一的なルールを定める「対策基準」、各業務における具体的な作業手順を定める「実施手順（マニュアル）」の3階層で構成されることが多く、経営層の関与のもとで策定・維持されることが重要である。
問20. 経済産業省とIPAが策定する「サイバーセキュリティ経営ガイドライン」の趣旨として最も適切なものはどれか。
- A. 経営者がリーダーシップを発揮してサイバーセキュリティ対策を推進するための重要10項目等を示し、経営課題としての取り組みを促す
- B. このガイドラインは情報システム部門の担当者のみを対象とし経営者は一切関与しなくてよいとする
- C. このガイドラインはサイバーセキュリティ対策を完全に不要とする内容を示している
- D. このガイドラインは大企業のみを対象とし中小企業には一切関係がない
正解: A. 経営者がリーダーシップを発揮してサイバーセキュリティ対策を推進するための重要10項目等を示し、経営課題としての取り組みを促す／サイバーセキュリティ経営ガイドラインは、経済産業省と情報処理推進機構（IPA）が策定したガイドラインであり、経営者がリーダーシップを発揮してサイバーセキュリティ対策を推進するために認識すべき3原則や、経営者が情報セキュリティ責任者に指示すべき重要10項目等を示し、サイバーセキュリティ対策を単なる技術的課題ではなく経営課題として位置づけて取り組むことを促している。
問21. 「サイバーレジリエンス」の考え方として最も適切なものはどれか。
- A. サイバー攻撃を完全に防ぐことは困難であるという前提のもと、攻撃を受けた場合でも被害を最小化し、迅速に業務を復旧・継続できる組織的な回復力を高めること
- B. サイバーレジリエンスとは、サイバー攻撃を100%防ぐ技術のみを指す用語である
- C. サイバーレジリエンスは攻撃を受けた後の対応を一切考慮しない考え方である
- D. サイバーレジリエンスという概念は情報セキュリティ分野には存在しない
正解: A. サイバー攻撃を完全に防ぐことは困難であるという前提のもと、攻撃を受けた場合でも被害を最小化し、迅速に業務を復旧・継続できる組織的な回復力を高めること／サイバーレジリエンスは、サイバー攻撃を完全に防ぐこと（予防）は困難であるという現実的な前提のもと、実際に攻撃を受けた場合でも被害を最小限に抑え、迅速に業務を復旧・継続できるようにする組織的な回復力（レジリエンス）を高めることに重点を置いた考え方であり、予防だけでなく検知・対応・復旧の各段階を含めた総合的な対策が求められる。
問22. 個人情報の漏えいが疑われる事案を発見した際の初動対応として最も適切なものはどれか。
- A. 被害拡大の防止（ネットワークの遮断等の応急措置）、事実関係の速やかな確認、社内の責任者・関係部署への報告
- B. 漏えいが疑われる場合でも、確定情報が得られるまで一切の対応を保留する
- C. 漏えいが疑われる事案は、担当者個人の判断のみで対応を完結させ、上長への報告は一切不要である
- D. 漏えいが疑われる事案は、外部への公表を最優先し、社内での事実確認は後回しにする
正解: A. 被害拡大の防止（ネットワークの遮断等の応急措置）、事実関係の速やかな確認、社内の責任者・関係部署への報告／個人情報の漏えいが疑われる事案を発見した際の初動対応としては、被害の拡大を防止するための応急措置（ネットワークの遮断、システムの停止等）を講じるとともに、速やかに事実関係の確認を行い、社内の責任者・関係部署（法務、広報、情報システム部門等）へ速やかに報告し、あらかじめ定めた対応体制のもとで組織的に対応することが重要である。
問23. 大規模な個人情報漏えい事案が発生した場合に、企業が「第三者委員会」を設置する意義として最も適切なものはどれか。
- A. 事案の原因究明や再発防止策の検討を、社内の利害関係から独立した外部の専門家（弁護士等）を交えて中立的・客観的に行うことで、調査の信頼性を確保する
- B. 第三者委員会の設置は個人情報保護法上、常に義務付けられている手続きである
- C. 第三者委員会は事案の隠蔽を目的として設置される機関である
- D. 第三者委員会は事案発生前にのみ設置される予防的な機関である
正解: A. 事案の原因究明や再発防止策の検討を、社内の利害関係から独立した外部の専門家（弁護士等）を交えて中立的・客観的に行うことで、調査の信頼性を確保する／大規模な個人情報漏えい事案等が発生した場合、企業は社内の利害関係から独立した外部の弁護士等の専門家を交えた第三者委員会を設置することがあり、これにより原因究明や再発防止策の検討を中立的・客観的に行い、調査結果の信頼性・透明性を確保する意義がある。
問24. 「サイバー保険」の一般的な補償内容として最も適切なものはどれか。
- A. 情報漏えいやサイバー攻撃により生じた損害賠償責任、事故対応費用（調査費用、コールセンター設置費用等）、事業中断による逸失利益等を補償する
- B. サイバー保険は情報漏えいが発生しないことを保証する保険である
- C. サイバー保険は補償内容に事故対応費用を一切含まない
- D. サイバー保険は大企業のみが加入でき中小企業は加入できない
正解: A. 情報漏えいやサイバー攻撃により生じた損害賠償責任、事故対応費用（調査費用、コールセンター設置費用等）、事業中断による逸失利益等を補償する／サイバー保険は、情報漏えいやサイバー攻撃（不正アクセス、ランサムウェア被害等）により企業が被る損害を補償する保険であり、一般的な補償内容として、被害者への損害賠償責任、事故対応費用（フォレンジック調査費用、コールセンター設置費用、見舞金等）、事業中断による逸失利益等が含まれる。
問25. 「サプライチェーン攻撃」の説明として最も適切なものはどれか。
- A. セキュリティ対策が手薄な取引先や委託先を踏み台にして、本来の標的である大企業等への侵入を試みる攻撃手法
- B. サプライチェーン攻撃は自社の内部システムのみを対象とし、取引先・委託先は一切関係しない攻撃を指す
- C. サプライチェーン攻撃は物理的な商品の輸送経路のみを狙った攻撃を指す
- D. サプライチェーン攻撃という概念はサイバーセキュリティには存在しない
正解: A. セキュリティ対策が手薄な取引先や委託先を踏み台にして、本来の標的である大企業等への侵入を試みる攻撃手法／サプライチェーン攻撃は、標的とする大企業等に直接侵入するのではなく、比較的セキュリティ対策が手薄なことが多い取引先・委託先・グループ会社等を踏み台として侵入し、そこを経由して本来の標的への攻撃を試みる手法であり、委託先の監督義務の重要性が高まっている背景の一つとなっている。
問26. Webサイトの脆弱性を悪用した「SQLインジェクション」攻撃から個人情報を保護するための対策として最も適切なものはどれか。
- A. 入力値の検証（バリデーション）やエスケープ処理、プレースホルダを用いたSQL文の組み立て等、開発段階でのセキュアプログラミング
- B. SQLインジェクション対策としてはハードウェアの増設のみで十分である
- C. SQLインジェクション攻撃は個人情報の漏えいとは無関係な攻撃手法である
- D. SQLインジェクション対策には従業員教育のみが有効であり技術的対策は一切不要である
正解: A. 入力値の検証（バリデーション）やエスケープ処理、プレースホルダを用いたSQL文の組み立て等、開発段階でのセキュアプログラミング／ SQLインジェクションは、Webアプリケーションの入力フォーム等に悪意のあるSQL文を注入し、データベースを不正に操作する攻撃手法であり、これによる個人情報の漏えいを防ぐためには、入力値の検証（バリデーション）やエスケープ処理、プレースホルダを用いたSQL文の組み立て等、開発段階でのセキュアプログラミングの実践が有効な技術的対策となる。
問27. 個人情報を取り扱うIoT機器（ネットワークカメラ等）のセキュリティ対策として最も適切なものはどれか。
- A. 初期設定のID・パスワードを必ず変更する、ファームウェアを最新の状態に保つ、不要な外部公開設定を見直す
- B. IoT機器は工場出荷時の設定のまま使用することが最も安全である
- C. IoT機器には個人情報保護の観点からのセキュリティ対策は一切不要である
- D. IoT機器のファームウェア更新は個人情報漏えいのリスクを高めるため行うべきではない
正解: A. 初期設定のID・パスワードを必ず変更する、ファームウェアを最新の状態に保つ、不要な外部公開設定を見直す／個人情報（映像等）を取り扱うIoT機器（ネットワークカメラ等）は、初期設定のまま使用すると容易に不正アクセスされるリスクがあるため、初期設定のID・パスワードを必ず変更すること、ファームウェア（機器の制御プログラム）を最新の状態に保つこと、不要な外部公開設定（インターネットからの直接アクセス許可等）を見直すこと等のセキュリティ対策が重要である。
問28. 企業内で「個人情報保護士」の資格を持つ従業者が期待される実務上の役割として最も適切なものはどれか。
- A. 個人情報保護法・マイナンバー法等の法令知識と、安全管理措置の実務知識の両面から、自社の個人情報管理体制の整備・運用・改善に貢献する
- B. 個人情報保護士の資格保有者は、法律上、個人情報保護委員会の職員として採用されることが自動的に保証される
- C. 個人情報保護士の資格は取得後、実務上いかなる場面でも活用する機会がない
- D. 個人情報保護士の資格保有者は、企業の安全管理措置の整備に一切関与すべきではない
正解: A. 個人情報保護法・マイナンバー法等の法令知識と、安全管理措置の実務知識の両面から、自社の個人情報管理体制の整備・運用・改善に貢献する／個人情報保護士の資格を持つ従業者は、個人情報保護法・マイナンバー法等の法令知識と、組織的・人的・物理的・技術的安全管理措置に関する実務知識の両面を体系的に習得していることが期待され、自社における個人情報管理体制の整備、社内規程の策定・見直し、従業者教育の企画・実施、監査への対応等、幅広い場面での貢献が期待される。
問29. 従業員が生成AIサービスを利用する際、意図せず社外秘の個人情報を含む文章を入力してしまうリスクへの対策として最も適切なものはどれか。
- A. 利用ガイドラインの策定・周知、入力可能な情報の範囲の明確化、法人向けの安全なプランの利用検討等
- B. 生成AIの利用は個人情報漏えいのリスクが一切ないため、いかなる対策も不要である
- C. 生成AIサービスの利用を全面的かつ恒久的に禁止することのみが唯一の対策である
- D. 生成AIへの入力内容についての社内ルールを策定する必要は一切ない
正解: A. 利用ガイドラインの策定・周知、入力可能な情報の範囲の明確化、法人向けの安全なプランの利用検討等／従業員が生成AIサービスを利用する際に意図せず社外秘の個人情報を入力してしまうリスクに対しては、利用ガイドラインの策定・周知、入力してよい情報の範囲の明確化（個人情報を含む入力の原則禁止等）、法人向けの学習利用がされない安全なプランの利用検討等、複合的な対策を講じることが有効である。
問30. 「情報セキュリティ監査」の意義として最も適切なものはどれか。
- A. 自社の情報セキュリティ対策が、社内規程や関連するガイドライン等に適合し、有効に機能しているかを客観的に評価し、改善につなげる
- B. 情報セキュリティ監査は一度実施すれば恒久的に有効であり二度と実施する必要がない
- C. 情報セキュリティ監査は情報システム部門の担当者自身が完全に主観的な立場で実施すべきものである
- D. 情報セキュリティ監査には安全管理措置の評価は一切含まれない
正解: A. 自社の情報セキュリティ対策が、社内規程や関連するガイドライン等に適合し、有効に機能しているかを客観的に評価し、改善につなげる／情報セキュリティ監査は、自社の情報セキュリティ対策（安全管理措置を含む）が、社内規程や関連するガイドライン・規格等に適合し、実際に有効に機能しているかを、可能な限り独立した立場から客観的に評価し、問題点があれば改善につなげることを目的とした取り組みである。
問31. 副業・兼業を行う従業員が複数の勤務先で個人データを取り扱う場合の留意点として最も適切なものはどれか。
- A. 各勤務先で取得した個人データを、他方の勤務先の業務に無断で流用しないよう、従業員個人及び各企業双方での意識付け・ルール整備が必要となる
- B. 副業・兼業を行う従業員には個人情報保護法上の秘密保持義務が一切適用されない
- C. 複数の勤務先で取り扱う個人データは自動的に共同利用の扱いとなり特段の対応が不要である
- D. 副業・兼業と個人情報保護の関係については何ら考慮する必要がない
正解: A. 各勤務先で取得した個人データを、他方の勤務先の業務に無断で流用しないよう、従業員個人及び各企業双方での意識付け・ルール整備が必要となる／副業・兼業を行う従業員が複数の勤務先で個人データを取り扱う場合、一方の勤務先で取得した個人データを他方の勤務先の業務に無断で流用することは、利用目的の範囲外利用や、意図しない第三者提供・漏えいにつながるリスクがあるため、従業員自身の意識付けに加え、各企業においても秘密保持に関する規程の整備・周知等の対応が重要となる。
問32. 海外にある子会社とグループ全体で顧客データベースを共有する場合の実務上の対応として最も適切なものはどれか。
- A. 外国にある第三者への提供に該当するため、本人の同意取得や、個人情報保護委員会規則が定める基準に適合する体制の整備等、適切な越境移転の手段を検討・実施する
- B. グループ会社間であれば国境を越えたデータ共有であっても一切の手続きが不要である
- C. 海外子会社との共有は常に匿名加工情報としてのみ行わなければならず個人データとしての共有は一切認められない
- D. 越境移転の実務対応は情報システム部門のみで完結し法務部門は一切関与しなくてよい
正解: A. 外国にある第三者への提供に該当するため、本人の同意取得や、個人情報保護委員会規則が定める基準に適合する体制の整備等、適切な越境移転の手段を検討・実施する／海外の子会社を含むグループ全体で顧客データベースを共有する場合、日本国内の個人データを外国にある第三者（海外子会社）へ提供することになるため、原則として本人の同意取得や、個人情報保護委員会規則が定める基準に適合する体制（標準的契約条項の締結等）の整備等、適切な越境移転の手段を検討・実施する必要があり、法務部門とシステム部門の連携が重要となる。
問33. 個人情報保護法における「個人情報保護管理者」等の社内責任者を設置する意義として最も適切なものはどれか。
- A. 組織全体の個人情報の取扱いに関する責任の所在を明確化し、方針の徹底や、問題発生時の迅速な意思決定を可能にする
- B. 個人情報保護管理者の設置は個人情報保護法上、いかなる企業にも一切意味を持たない
- C. 個人情報保護管理者は情報システム部門の一担当者が兼任することが法律上禁止されている
- D. 個人情報保護管理者を設置すると、安全管理措置の実施自体が完全に不要になる
正解: A. 組織全体の個人情報の取扱いに関する責任の所在を明確化し、方針の徹底や、問題発生時の迅速な意思決定を可能にする／個人情報保護管理者等の社内責任者を設置することは、組織的安全管理措置の一環として、個人情報の取扱いに関する組織全体の責任の所在を明確化し、経営層と現場との橋渡し役として個人情報保護方針の徹底を図るとともに、インシデント発生時等における迅速な意思決定を可能にする重要な意義を持つ。
問34. 「デジタル社会形成基本法」とマイナンバー制度の関係として最も適切なものはどれか。
- A. デジタル社会形成基本法は、デジタル社会の形成に関する施策を総合的かつ効果的に推進するための基本理念等を定めており、マイナンバー制度もこのデジタル社会形成の重要な基盤の一つと位置づけられる
- B. デジタル社会形成基本法はマイナンバー制度を完全に廃止するために制定された法律である
- C. デジタル社会形成基本法とマイナンバー制度は全く無関係の法律である
- D. デジタル社会形成基本法は民間企業にのみ適用され行政機関には一切適用されない
正解: A. デジタル社会形成基本法は、デジタル社会の形成に関する施策を総合的かつ効果的に推進するための基本理念等を定めており、マイナンバー制度もこのデジタル社会形成の重要な基盤の一つと位置づけられる／デジタル社会形成基本法は、デジタル社会の形成に関する施策を総合的かつ効果的に推進するための基本理念・基本方針等を定めた法律であり、デジタル庁の設置等と合わせて、マイナンバー制度もデジタル社会形成のための重要な基盤（データ連携基盤等）の一つとして位置づけられている。
問35. 健康保険証とマイナンバーカードの一体化（マイナ保険証）に関する一般的な留意点として最も適切なものはどれか。
- A. 医療機関等における顔認証付きカードリーダーの導入や、システム面でのセキュリティ対策等、新たな運用体制の整備が必要となる
- B. マイナ保険証への一体化には個人情報保護の観点からの考慮が一切不要である
- C. マイナ保険証を導入すると医療機関側の安全管理措置は完全に不要になる
- D. マイナ保険証は個人番号（マイナンバー）そのものを画面に常時表示する仕組みである
正解: A. 医療機関等における顔認証付きカードリーダーの導入や、システム面でのセキュリティ対策等、新たな運用体制の整備が必要となる／健康保険証とマイナンバーカードの一体化（マイナ保険証）にあたっては、医療機関・薬局等における顔認証付きカードリーダーの導入、オンライン資格確認システムの整備、特定個人情報を含む医療情報の適切な安全管理措置の実施等、新たな運用体制の整備が必要となる。
問36. AI技術を悪用した「ディープフェイク」が個人情報保護の観点で問題となる理由として最も適切なものはどれか。
- A. 本人の顔画像・音声等を無断で加工・合成し、本人になりすました虚偽の映像・音声を生成することで、名誉毀損やなりすまし被害等、新たなプライバシー侵害のリスクが生じるため
- B. ディープフェイクは個人情報保護法とは全く無関係の技術である
- C. ディープフェイクは常に本人の同意を得て作成されるため一切問題とならない
- D. ディープフェイクは静止画像にのみ関係し動画には一切関係しない技術である
正解: A. 本人の顔画像・音声等を無断で加工・合成し、本人になりすました虚偽の映像・音声を生成することで、名誉毀損やなりすまし被害等、新たなプライバシー侵害のリスクが生じるため／ディープフェイクは、AI技術を用いて本人の顔画像・音声等を無断で加工・合成し、あたかも本人が発言・行動しているかのような虚偽の映像・音声を生成する技術であり、これにより名誉毀損、なりすまし詐欺、フェイクニュースの拡散等、新たなプライバシー侵害・個人情報の不正利用のリスクが生じることから、社会的な問題として注目されている。
問37. 企業における「情報セキュリティ人材の育成」の重要性として最も適切なものはどれか。
- A. サイバー攻撃の手法が高度化・巧妙化する中、専門知識を持つ人材を継続的に育成することで、組織全体の対応力を維持・向上させる必要があるため
- B. 情報セキュリティ人材の育成は、一度実施すれば恒久的に効果が持続するため継続の必要がない
- C. 情報セキュリティ人材は外部委託のみで完全に代替可能であり自社での育成は一切不要である
- D. 情報セキュリティ人材の育成は情報システム部門にのみ必要であり、それ以外の部門には一切不要である
正解: A. サイバー攻撃の手法が高度化・巧妙化する中、専門知識を持つ人材を継続的に育成することで、組織全体の対応力を維持・向上させる必要があるため／サイバー攻撃の手法が日々高度化・巧妙化する中、専門的な知識を持つ情報セキュリティ人材を社内で継続的に育成することは、外部委託のみに頼らない自律的な対応力を維持・向上させるために重要であり、情報システム部門だけでなく、個人情報を取り扱う全部門の従業者に対する基礎的なセキュリティリテラシー教育も併せて重要である。
問38. 情報セキュリティ担当者が「独立行政法人情報処理推進機構（IPA）」の情報を活用する意義として最も適切なものはどれか。
- A. 「情報セキュリティ10大脅威」等、最新の脅威動向や対策情報を公的機関から入手し、自社の対策に反映させることができる
- B. IPAは情報セキュリティとは全く無関係な機関である
- C. IPAの情報は有料会員のみが閲覧でき一般には一切公開されていない
- D. IPAの情報は一度公表されたら二度と更新されない
正解: A. 「情報セキュリティ10大脅威」等、最新の脅威動向や対策情報を公的機関から入手し、自社の対策に反映させることができる／独立行政法人情報処理推進機構（IPA）は、毎年「情報セキュリティ10大脅威」を公表する等、最新のサイバーセキュリティの脅威動向や対策情報を発信しており、情報セキュリティ担当者はこれらの公的機関からの情報を活用することで、自社の対策の実効性を継続的に見直し・強化することができる。
問39. 漏えいした個人情報が「ダークウェブ」で売買されるリスクについての説明として最も適切なものはどれか。
- A. 通常の検索エンジンではアクセスできない匿名性の高いネットワーク上で、漏えいした個人情報やクレジットカード情報等が不正に売買されることがあり、二次的な被害（なりすまし等）の拡大につながる
- B. ダークウェブでの情報売買は個人情報保護の観点から全く問題とならない
- C. ダークウェブは合法的な情報のみが取引される公開されたウェブサイトである
- D. 漏えいした個人情報がダークウェブで売買されることは統計上一切発生しない
正解: A. 通常の検索エンジンではアクセスできない匿名性の高いネットワーク上で、漏えいした個人情報やクレジットカード情報等が不正に売買されることがあり、二次的な被害（なりすまし等）の拡大につながる／ダークウェブは、通常の検索エンジンではアクセスできず、匿名性の高い専用ソフトウェアを用いてアクセスする、規制の及びにくいネットワーク領域であり、漏えいした個人情報・クレジットカード情報・アカウント情報等が不正に売買される温床となっており、これにより二次的ななりすまし被害等が拡大するリスクがある。
問40. 個人情報保護士認定検定の「マイナンバー法・情報セキュリティ実務」分野で求められる能力として最も適切なものはどれか。
- A. マイナンバー法の基本的な仕組みと事業者に求められる厳格な取扱い、及び最新のサイバー攻撃の手口や情報セキュリティ対策の実務知識を体系的に理解し、企業の実務に活かせる能力
- B. 特定のセキュリティ製品の操作方法のみを暗記していればよいという能力
- C. マイナンバー法の知識は情報セキュリティの実務とは全く無関係であるという考え方
- D. 情報セキュリティの脅威は年々変化しないため、一度学習すれば更新不要であるという考え方
正解: A. マイナンバー法の基本的な仕組みと事業者に求められる厳格な取扱い、及び最新のサイバー攻撃の手口や情報セキュリティ対策の実務知識を体系的に理解し、企業の実務に活かせる能力／個人情報保護士認定検定の「マイナンバー法・情報セキュリティ実務」分野で求められるのは、マイナンバー法における特定個人情報の厳格な取扱いルール（利用制限・提供制限・安全管理措置等）と、フィッシング詐欺・ランサムウェア・サプライチェーン攻撃等の最新のサイバー攻撃の手口や、それに対する組織的・技術的な対策を体系的に理解し、企業の個人情報管理実務に活かせる能力である。脅威の動向は絶えず変化するため、継続的な情報の更新が重要である。

個人情報保護士認定検定 マイナンバー法・情報セキュリティ実務

個人情報保護士認定検定マイナンバー法・情報セキュリティ実務