組織的・人的セキュリティの問題（35問）

正解：1（アー正、イー正）

ア．正しい

ガイドライン本文が講じなければならないと義務付けている

通則編ガイドライン 10-3 組織的安全管理措置「個人情報取扱事業者は、組織的安全管理措置として、次に掲げる措置を講じなければならない」公式資料を確認

イ．正しい

組織体制の整備は義務として明示

通則編ガイドライン 10-3 組織的安全管理措置(1)組織体制の整備「安全管理措置を講ずるための組織体制を整備しなければならない」公式資料を確認

ひっかけ組織体制の整備は努力目標ではなく、組織的安全管理措置として『整備しなければならない』と書かれた義務。アもイも条文どおり。

解説通則編ガイドライン10-3は、個人情報取扱事業者が組織的安全管理措置として所定の措置を講じなければならないと定めており、アはこの義務をそのまま述べていて正しい。イが挙げる『安全管理措置を講ずるための組織体制の整備』は、その10-3が掲げる組織的安全管理措置の一項目として明示されているため、これも正しい。両方とも義務・項目の記載どおりで、正解はアー正、イー正。

補足安全管理措置は組織的（10-3）に続き、人的（10-4）・物理的（10-5）・技術的（10-6）と四つの面から求められ、組織体制の整備はその先頭に置かれた組織的措置の入口にあたる。

正解：1（アー正、イー正）

ア．正しい

規律に従った運用は組織的安全管理措置の一つ

通則編ガイドライン 10-3 組織的安全管理措置(2)個人データの取扱いに係る規律に従った運用「あらかじめ整備された個人データの取扱いに係る規律に従って個人データを取り扱わなければならない」公式資料を確認

イ．正しい

記録による検証が運用確認の手段

通則編ガイドライン 10-3 組織的安全管理措置(2)個人データの取扱いに係る規律に従った運用「整備された個人データの取扱いに係る規律に従った運用の状況を確認するため、利用状況等を記録することも重要である」公式資料を確認

ひっかけ『規律を整える』と『その運用状況を記録で確認する』は別の動作で、どちらもガイドラインに書かれている。記録の話を余計と感じて切ると外す。

解説アは、あらかじめ整備された個人データの取扱いに係る規律に従って個人データを取り扱わなければならないとする点で、通則編ガイドライン10-3の『規律に従った運用』の義務どおりで正しい。イも、その運用状況を確認するために利用状況等を記録することも重要であるとガイドラインが述べているとおりで、正しい。規律を定めるだけでなく、定めた規律どおりに運用できているかを記録で裏づける構造になっており、正解はアー正、イー正。

補足ここでいう利用状況等の記録は、規律どおり運用されているかを後から検証するための手段であり、システムログのような技術的な記録（10-6）とは別に、組織的安全管理措置として求められている点に位置づけの違いがある。

正解：1（アー正、イー正）

ア．正しい

取扱状況の確認手段は組織的安全管理措置の一つ

通則編ガイドライン 10-3 組織的安全管理措置(3)個人データの取扱状況を確認する手段の整備「個人データの取扱状況を確認するための手段を整備しなければならない」公式資料を確認

イ．正しい

明確化による取扱状況把握が手法の例示

通則編ガイドライン 10-3 組織的安全管理措置(3)（手法の例示）「アクセス権を有する者」公式資料を確認

ひっかけ取扱状況を確認する手段とは、項目・責任者・利用目的・アクセス権者を先に書き出して見えるようにすること。イの列挙はその具体例なので誤りにならない。

解説アは、個人データの取扱状況を確認するための手段を整備しなければならないとする通則編ガイドライン10-3の義務どおりで正しい。イが列挙する、個人データの項目・責任者・取扱部署・利用目的・アクセス権を有する者等をあらかじめ明確化するという内容は、その確認手段を整える手法の例としてガイドラインに示されており、こちらも正しい。何を誰がどの目的で扱うかを台帳的に明確化しておく発想で、正解はアー正、イー正。

補足アクセス権を有する者の明確化は、誰がそのデータに触れてよいかを限定する前提であり、後段の技術的安全管理措置（10-6）でのアクセス制御や権限管理と接続する起点になる。

正解：2（アー正、イー誤）

ア．正しい

発生・兆候把握時の体制整備は義務

通則編ガイドライン 10-3 組織的安全管理措置(4)漏えい等事案に対応する体制の整備「漏えい等事案の発生又は兆候を把握した場合に適切かつ迅速に対応するための体制を整備しなければならない」公式資料を確認

イ．誤り

早急な公表が重要とされており、任意で問題なしとはいえない

通則編ガイドライン 10-3 組織的安全管理措置(4)漏えい等事案に対応する体制の整備「二次被害の防止、類似事案の発生防止等の観点から、事案に応じて、事実関係及び再発防止策等を早急に公表することが重要である」公式資料を確認

ひっかけガイドラインは漏えい時の早急な公表を『重要』と位置づけている。『公表しなくても問題なし』と断じた時点でイは外れる。

解説アは、漏えい等事案の発生又は兆候を把握した場合に適切かつ迅速に対応するための体制を整備しなければならないとする通則編ガイドライン10-3の義務どおりで正しい。イは『公表は任意で、公表しなくても法令上問題はない』とするが、ガイドラインは二次被害の防止や類似事案の発生防止等の観点から、事案に応じて事実関係及び再発防止策等を早急に公表することが重要であるとしている。任意・問題なしと言い切るイは誤りで、正解はアー正、イー誤。

補足ここでの公表とは別に、令和2年改正で導入された法26条により、本人の権利利益を害するおそれが大きい漏えい等では、個人情報保護委員会への報告と本人への通知が義務化されている（2022年4月1日施行）点も区別される。

正解：1（アー正、イー正）

ア．正しい

継続的改善は組織的安全管理措置の一つ

通則編ガイドライン 10-3 組織的安全管理措置(5)取扱状況の把握及び安全管理措置の見直し「個人データの取扱状況を把握し、安全管理措置の評価、見直し及び改善に取り組まなければならない」公式資料を確認

イ．正しい

定期的な監査が取扱状況把握の手法

通則編ガイドライン 10-3 組織的安全管理措置(5)（手法の例示）「個人データの取扱状況について、定期的に自ら行う点検」公式資料を確認

ひっかけ自己点検と他部署監査は、取扱状況の把握・見直しの手法としてガイドラインが並べた具体例。どちらか一方を不要と感じて切ると誤る。

解説アは、個人データの取扱状況を把握し、安全管理措置の評価・見直し・改善に取り組まなければならないとする通則編ガイドライン10-3の義務どおりで正しい。イが挙げる、取扱状況について定期的に自ら行う点検又は他部署等による監査を実施するという内容は、その把握・見直しの手法の例として示されており、これも正しい。措置を入れて終わりにせず、点検・監査で回し続ける建付けで、正解はアー正、イー正。

補足自ら行う点検と他部署等による監査が並記されているのは、当事者の見落としを別部署の目で補う狙いがあり、外部監査人による監査の実施も同じ見直し手法の例として併せて挙げられている。

正解：3（アー誤、イー正）

ア．誤り

各部署ごとの役割分担・責任明確化が例として示されている

通則編ガイドライン 10-3 組織的安全管理措置(1)組織体制の整備（手法の例示）「個人データを複数の部署で取り扱う場合の各部署の役割分担及び責任の明確化」公式資料を確認

イ．正しい

責任者設置は組織体制整備の例示

通則編ガイドライン 10-3 組織的安全管理措置(1)組織体制の整備（手法の例示）「個人データの取扱いに関する責任者の設置及び責任の明確」公式資料を確認

ひっかけ複数部署で扱うほど、どの部署が何にどこまで責任を負うかを切り分ける必要が出る。『全社一括で足りる』はガイドラインの例と正反対。

解説アは『複数の部署で取り扱う場合、役割分担及び責任の明確化は不要で全社一括で足りる』とするが、通則編ガイドライン10-3の組織体制の整備は、個人データを複数の部署で取り扱う場合の各部署の役割分担及び責任の明確化を手法の例として挙げている。部署ごとの明確化が求められるのに不要と述べるアは誤り。イの、個人データの取扱いに関する責任者の設置及び責任の明確化を組織体制整備の例とする点は記載どおりで正しい。正解はアー誤、イー正。

補足全社の責任者を一人置くだけでは、部署をまたぐ受け渡しで責任の所在が抜ける。ガイドラインが責任者の設置と各部署の役割分担を別々の例として挙げているのは、両方そろって初めて取扱いの責任が途切れないという発想による。

正解：2（アー正、イー誤）

ア．正しい

違反兆候の報告体制は組織体制の重要項目

通則編ガイドライン 10-3 組織的安全管理措置(1)組織体制の整備（手法の例示）「法や個人情報取扱事業者において整備されている個人データの取扱いに係る規律に違反している事実又は兆候を把握した場合の責任者への報告連絡体制」公式資料を確認

イ．誤り

漏えい等事案の報告連絡体制は組織体制整備に含まれている

通則編ガイドライン 10-3 組織的安全管理措置(1)組織体制の整備（手法の例示）「個人データの漏えい等事案の発生又は兆候を把握した場合の責任者への報告連絡体制」公式資料を確認

ひっかけ規律違反の兆候だけでなく、漏えい等事案の兆候についても責任者への報告ルートを整えるよう例示されている。漏えい側を例から外すと誤りになる。

解説アは、規律に違反している事実又は兆候を把握した場合の責任者への報告連絡体制を組織体制整備の例とする点で、通則編ガイドライン10-3の記載どおりで正しい。イは『漏えい等事案の発生又は兆候を把握した場合の責任者への報告連絡体制は組織体制整備の例に含まれていない』とするが、ガイドラインはこの漏えい等事案に関する報告連絡体制も組織体制整備の例として挙げている。含まれないと述べるイは誤りで、正解はアー正、イー誤。

補足兆候の段階で責任者へ上げるこの報告連絡体制は、漏えい等事案に適切かつ迅速に対応するための体制整備（piip-c8-0004のア）の入口にあたり、把握から対応・必要に応じた法26条の報告へとつながる初動を担う。

正解：3（アー誤、イー正）

ア．誤り

アクセスログ等は記録項目の例として明示されている

通則編ガイドライン 10-3 組織的安全管理措置(2)（手法の例示）「担当者の情報システムの利用状況（ログイン実績、アクセスログ等）」公式資料を確認

イ．正しい

持ち運び状況の記録が規律運用確保の手法

通則編ガイドライン 10-3 組織的安全管理措置(2)（手法の例示）「個人データが記載又は記録された書類・媒体等の持ち運び等の状況」公式資料を確認

ひっかけログイン実績・アクセスログは『記録不要』ではなく、ガイドラインが記録項目の例として名指ししている側。

解説通則編ガイドラインは、整備された取扱規律に従った運用を確保する手段として、システムログや業務日誌等による取扱いの検証を挙げ、記録項目の例を列挙している。そこには個人情報データベース等の利用・出力状況、書類・媒体等の持ち運び等の状況、削除・廃棄の状況に加え、情報システムで取り扱う場合の担当者の利用状況（ログイン実績、アクセスログ等）が含まれる。アはこのログイン実績・アクセスログを『記録に残す必要はない』とするが、ガイドラインが記録項目の例として明示している以上、誤り。イは書類・媒体等の持ち運び状況を記録項目の例とする点でガイドラインの列挙どおりであり、正しい。アクセスログは記録不要どころか、規律運用を検証可能にする中心的な項目として挙げられている。

補足同じ(2)の手法例には削除・廃棄の状況も並び、委託した場合はその消去・廃棄を証明する記録まで含めて記録対象とされている。

正解：1（アー正、イー正）

ア．正しい

人的安全管理措置の義務が明示されている

通則編ガイドライン 10-4 人的安全管理措置「個人情報取扱事業者は、人的安全管理措置として、次に掲げる措置を講じなければならない」公式資料を確認

イ．正しい

従業者監督は人的安全管理措置に付随する義務

通則編ガイドライン 10-4 人的安全管理措置「従業者に個人データを取り扱わせるに当たっては、法第24条に基づき従業者に対する監督をしなければならない」公式資料を確認

ひっかけ従業者監督は人的安全管理措置の一部ではなく、法第24条を根拠に並記される別建ての義務。どちらも『しなければならない』。

解説アとイはどちらも、人的安全管理措置を定める通則編ガイドライン10-4の冒頭文をそのまま分解したものである。同項は『個人情報取扱事業者は、人的安全管理措置として、次に掲げる措置を講じなければならない』と義務として書き起こし、続けて『また、従業者に個人データを取り扱わせるに当たっては、法第24条に基づき従業者に対する監督をしなければならない』と定める。アは前段の措置を講ずる義務、イは後段の法第24条に基づく従業者監督義務にあたり、いずれもガイドラインの文言どおりで正しい。人的安全管理措置の義務と、その隣で別条文（法第24条）を根拠に課される従業者監督義務とが、同じ一文の中に並んで置かれている。

補足法第24条の従業者監督は、委託先を監督する法第25条（委託先の監督）とは別条で、対象が自社の従業者か委託先かで条文が分かれる。

正解：4（アー誤、イー誤）

ア．誤り

教育まで課されていないとする点が誤り

通則編ガイドライン 10-4 人的安全管理措置 従業者の教育「周知徹底するとともに適切な教育を行わなければならない」公式資料を確認

イ．誤り

定期的な研修の実施が手法の例として明示されている

通則編ガイドライン 10-4 人的安全管理措置 従業者の教育（手法の例示）「個人データの取扱いに関する留意事項について、従業者に定期的な研修等を行う」公式資料を確認

ひっかけ『周知徹底』と『教育』はセットの義務。どちらか一方では足りない。

解説通則編ガイドライン10-4『従業者の教育』は、従業者に個人データの適正な取扱いを周知徹底するとともに適切な教育を行わなければならない、と義務を定める。『周知徹底』と『教育』はいずれも条文上の義務であり、周知徹底だけで教育義務を免れるわけではない。手法の例としては『個人データの取扱いに関する留意事項について、従業者に定期的な研修等を行う』ことが挙げられており、一度実施すれば足りるものではない。

補足同じ10-4の手法例には、秘密保持に関する事項を就業規則等に盛り込むことも並び、研修（行為）と就業規則（規程）の両面から教育を支える形になっている。

正解：3（アー誤、イー正）

ア．誤り

就業規則「等」と明示されており、一つの手段に限定されていない

通則編ガイドライン 10-4 人的安全管理措置 従業者の教育（手法の例示）「個人データについての秘密保持に関する事項を就業規則等に盛り込む」公式資料を確認

イ．正しい

就業規則等への秘密保持規定は人的安全管理措置の手法例

通則編ガイドライン 10-4 人的安全管理措置 従業者の教育（手法の例示）「個人データについての秘密保持に関する事項を就業規則等に盛り込む」公式資料を確認

ひっかけ『就業規則等』の『等』を見落とすと、個別誓約書のみ・就業規則のみ、と一本に絞る肢に引っかかる。

解説通則編ガイドライン10-4の従業者の教育では、手法の例として『個人データについての秘密保持に関する事項を就業規則等に盛り込む』ことが挙げられている。文言は『就業規則等』であり、『等』が付いている以上、就業規則のほかにも手段が想定されている。アは秘密保持を『就業規則ではなく個別の誓約書によってのみ』対応しなければならないと、手段を一つに絞り込むが、ガイドラインはそのような限定をしていないため誤り。イは秘密保持事項を就業規則等に盛り込むことが従業者の教育の手法の例である、とする点でガイドラインの記述どおりであり正しい。鍵は『就業規則等』の『等』で、これが手段を一本に縛らせない。

補足就業規則等への秘密保持規定は教育手法の一例にとどまり、ガイドラインは具体的手段を一つに義務づけてはいない。

正解：4（アー誤、イー誤）

ア．誤り

挙げられていないとする点が誤り

通則編ガイドライン 10-3 組織的安全管理措置(4)（手法の例示）「事実関係の調査及び原因の究明」公式資料を確認

イ．誤り

ガイドラインは本人への通知も手法の例として明示している

通則編ガイドライン 10-3 組織的安全管理措置(4)（手法の例示）「影響を受ける可能性のある本人への通知」公式資料を確認

ひっかけ事実関係の調査・本人への通知・委員会報告・再発防止・公表は、いずれも同じ手法例リストに並ぶ。

解説漏えい等事案に対応する体制の整備（通則編ガイドライン10-3(4)）の手法例には、事実関係の調査及び原因の究明、影響を受ける可能性のある本人への通知、個人情報保護委員会等への報告、再発防止策の検討及び決定、事実関係及び再発防止策等の公表が並ぶ。これらはいずれも同じ列挙の中に明記されており、一部だけを取り上げて『これは含まれない』とする誤りが起こりやすい。

補足ここでの本人への通知は安全管理措置上の手法例で、漏えい等が報告対象事態にあたる場合に法第26条2項が課す本人通知の義務とは、根拠も位置づけも別である。

正解：3（アー誤、イー正）

ア．誤り

含まれていないとする点が誤り

通則編ガイドライン 10-3 組織的安全管理措置(1)手法の例示「個人データを取り扱う従業者及びその役割の明確化」公式資料を確認

イ．正しい

正しい記述

通則編ガイドライン 10-3 組織的安全管理措置(1)手法の例示「上記の従業者が取り扱う個人データの範囲の明確化」公式資料を確認

ひっかけ人だけ決めても範囲が曖昧なら管理にならない。役割と取扱範囲はセットで押さえる。

解説組織的安全管理措置では、誰が個人データを取り扱うのか、その役割は何か、さらにその従業者がどの範囲の個人データを扱うのかを明確にすることが重要である。アは役割の明確化を正しく述べている。イは取扱範囲の明確化を除外するが、原典はこれも例示しているため誤り。

補足アクセス権限設計や部署間の責任分担にもつながるため、組織体制整備の具体例として頻出になる。

正解：4（アー誤、イー誤）

ア．誤り

示されていないとする点が誤り

通則編ガイドライン 10-3 組織的安全管理措置(1)手法の例示「個人データを複数の部署で取り扱う場合の各部署の役割分担及び責任の明確化」公式資料を確認

イ．誤り

一部措置で足りるとする点が誤り

通則編ガイドライン 10-3 組織的安全管理措置(1)手法の例示「個人データを複数の部署で取り扱う場合の各部署の役割分担及び責任の明確化」公式資料を確認

ひっかけ『示されていない』も『責任者一人で足りる』も、どちらも部署間の役割分担明確化という同じ例示を否定する誤り。

解説複数部署で個人データを扱う場合、責任が部署間で曖昧になりやすい。通則編ガイドラインは、各部署の役割分担及び責任の明確化を組織体制整備の項目例として明記しており、この例示自体を否定することも、責任者を一人置くだけで済ませることも、いずれも誤りとなる。

補足漏えい時の初動、報告、本人通知、再発防止の責任所在にも直結する実務的な論点である。

正解：2（アー正、イー誤）

ア．正しい

正しい記述

通則編ガイドライン 10-3 組織的安全管理措置(2)手法の例示「個人情報データベース等の利用・出力状況」公式資料を確認

イ．誤り

分類を狭くしすぎている

通則編ガイドライン 10-3 組織的安全管理措置(2)手法の例示「個人情報データベース等の削除・廃棄の状況」公式資料を確認

ひっかけ同じ削除・廃棄でも、実作業の方法は物理的措置、運用を検証する記録は組織的措置として出てくる。

解説規律に従った運用を後から検証できるようにするため、利用・出力状況、持ち運び等の状況、削除・廃棄の状況、ログイン実績やアクセスログ等を記録することが例示されている。アは正しく、イは削除・廃棄を物理的措置だけに閉じ込めて組織的な記録対象から外している点で誤りである。

補足安全管理措置は分類ごとに重なり合うため、用語だけで機械的に一分類へ押し込まないことが重要である。

正解：3（アー誤、イー正）

ア．誤り

含まれていないとする点が誤り

通則編ガイドライン 10-3 組織的安全管理措置(3)手法の例示「個人情報データベース等の種類、名称」公式資料を確認

イ．正しい

正しい記述

通則編ガイドライン 10-3 組織的安全管理措置(3)手法の例示「利用目的」公式資料を確認

通則編ガイドライン 10-3 組織的安全管理措置(3)手法の例示「アクセス権を有する者」公式資料を確認

ひっかけ取扱状況確認は台帳化の発想。利用目的とアクセス権者を外すと、何のために誰が触れるのかが見えなくなる。

解説取扱状況を確認するには、どのデータベースで、どの項目を、誰が責任を持ち、どの部署が扱い、何の目的で、誰がアクセスできるかを明確化しておく必要がある。アはその例示に沿う。イは利用目的やアクセス権者を除外するが、これらも明確化項目の例に含まれるため誤りである。

補足この論点は、後続のアクセス制御や第三者提供管理とも接続する基礎項目である。

正解：4（アー誤、イー誤）

ア．誤り

含まれていないとする点が誤り

通則編ガイドライン 10-3 組織的安全管理措置(4)中小規模事業者における手法の例示「報告連絡体制等をあらかじめ確認する」公式資料を確認

イ．誤り

発生後で足りるとする点が誤り

通則編ガイドライン 10-3 組織的安全管理措置(4)中小規模事業者における手法の例示「漏えい等事案の発生時に備え」公式資料を確認

通則編ガイドライン 10-3 組織的安全管理措置(4)中小規模事業者における手法の例示「報告連絡体制等をあらかじめ確認する」公式資料を確認

ひっかけ『例示にない』も『事後対応で足りる』も、どちらも事前の報告連絡体制確認という同じ手法を否定する誤り。

解説漏えい等事案は発生後に場当たり的に連絡先を決めるのではなく、発生時に備えて従業者から責任ある立場の者への報告連絡体制をあらかじめ確認しておくことが、中小規模事業者における手法の例示として示されている。この例示の存在自体を否定する誤りと、事前確認を不要とする誤りは、いずれも同じ論点への裏表の誤答である。

補足報告連絡体制は、委員会報告、本人通知、公表、再発防止策の検討を遅らせないための入口になる。

正解：2（アー正、イー誤）

ア．正しい

正しい記述

通則編ガイドライン 10-3 組織的安全管理措置(4)手法の例示「影響を受ける可能性のある本人への通知」公式資料を確認

通則編ガイドライン 10-3 組織的安全管理措置(4)手法の例示「個人情報保護委員会等への報告」公式資料を確認

イ．誤り

含まれないとする点が誤り

通則編ガイドライン 10-3 組織的安全管理措置(4)手法の例示「事実関係及び再発防止策等の公表」公式資料を確認

ひっかけ漏えい対応は内部調査だけでは終わらない。本人・委員会・社会への説明まで含めて押さえる。

解説漏えい等事案への対応例には、事実関係の調査、本人への通知、委員会等への報告、再発防止策の検討及び決定、事実関係及び再発防止策等の公表が含まれる。アはその一部を正しく述べている。イは公表を除外するが、原典は公表も明示しているため誤りである。

補足個人情報保護法26条の報告・本人通知義務と、ガイドライン上の組織的体制整備の例示を関連づけて理解するとよい。

正解：4（アー誤、イー誤）

ア．誤り

含まれていないとする点が誤り

通則編ガイドライン 10-3 組織的安全管理措置(5)中小規模事業者における手法の例示「責任ある立場の者が、個人データの取扱状況について、定期的に点検を行う」公式資料を確認

イ．誤り

示されていないとする点が誤り

通則編ガイドライン 10-3 組織的安全管理措置(5)手法の例示「外部の主体による監査活動と合わせて、監査を実施する」公式資料を確認

ひっかけ定期点検も外部監査との連携も、どちらもガイドラインの手法例に明記されている。『示されていない』は誤り。

解説安全管理措置は一度導入して終わりではなく、取扱状況を把握し、評価・見直し・改善する必要がある。その手法として、責任ある立場の者による定期的な点検（中小規模事業者向け手法例示）、他部署等による監査、外部主体による監査活動と合わせた監査が例示されている。これらの例示の存在自体を否定する誤りが起こりやすい。

補足PDCAや内部統制に近い論点で、組織的安全管理措置の中でも継続運用の質を問う部分である。

正解：2（アー正、イー誤）

ア．正しい

正しい記述

通則編ガイドライン 10-4 人的安全管理措置 手法の例示「個人データの取扱いに関する留意事項について、従業者に定期的な研修等を行う」公式資料を確認

イ．誤り

分類の誤り

通則編ガイドライン 10-4 人的安全管理措置 手法の例示「個人データについての秘密保持に関する事項を就業規則等に盛り込む」公式資料を確認

ひっかけ秘密保持は鍵やキャビネットの話ではなく、人に守らせるルールの話。分類を間違えない。

解説人的安全管理措置では、従業者に対する定期的な研修等と、個人データについての秘密保持事項を就業規則等に盛り込むことが手法例として示されている。アは正しい。イは秘密保持規定を物理的安全管理措置に分類しているが、これは人の教育・規律に関する措置であるため人的安全管理措置に当たる。

補足研修と就業規則等は、従業者に個人データを正しく扱わせるための教育・規律の両輪である。

正解：3（アー誤、イー正）

ア．誤り

持つ情報・規模・体制で必要な対策が違う → 画一的とする点が誤り

総務省 職場での対策「情報セキュリティポリシーの順守」「情報セキュリティ対策は画一的なものではなく、企業や組織の持つ情報や組織の規模、体制によって、大きく異なります」公式資料を確認

イ．正しい

主目的は情報資産を守ること、そのうえで意識と信頼も上がる

総務省 職場での対策「情報セキュリティポリシーの順守」「社員や職員の情報セキュリティに対する意識の向上や、取引先や顧客からの信頼性の向上といった二次的なメリットを得ることもできます」公式資料を確認

ひっかけひな形をそのまま使うポリシーは、自社の情報資産に合わない。『画一的ではない』が出発点。

解説情報セキュリティポリシーは、組織で行う情報セキュリティ対策の方針や行動指針で、組織全体のルールから、どの情報資産をどの脅威からどう守るかという基本的な考え方、体制、運用規定、基本方針、対策基準までを書くのが一般的である。持っている情報、規模、体制で必要な対策は大きく違うため、業務形態やシステムの構成、情報資産を踏まえ、その組織に見合った内容で作る。目的は情報資産を守ることだが、導入・運用を通じて社員の意識が高まり、取引先や顧客からの信頼も高まるという副次的な効果もある。

補足情報セキュリティ担当者だけが気をつければよいのではなく、情報資産を共有するすべての社員が適切な意識を持たなければ、組織を守ることは難しい。

正解：3（アー誤、イー正）

ア．誤り

破られない対策は無い → 破られた後の動きも決めておく

総務省 職場での対策「情報セキュリティ関連文書の整備」「情報セキュリティ対策が「いかに破られないか」という予防の視点のみならず、「破られたときはどうするか」という対応の視点も情報セキュリティポリシーに盛り込む」公式資料を確認

イ．正しい

すべてを同じ強さで守ると重すぎる・弱すぎる → 重要度に応じる

総務省 職場での対策「情報セキュリティ関連文書の整備」「企業や組織として情報資産の重要度を分類、評価して、守るべき情報資産のレベルに応じた情報セキュリティ対策を情報セキュリティポリシーに反映する」公式資料を確認

ひっかけポリシーは『守り方』だけでなく『破られた後の動き方』も書く文書。

解説情報セキュリティポリシーを整備する情報管理担当者の留意点として、組織として意思統一し明文化すること、情報資産の重要度を分類・評価してレベルに応じた対策を反映すること、予防の視点だけでなく「破られたときはどうするか」という対応の視点も盛り込むこと、「計画」「導入・運用」「評価」「見直し」のサイクルを止めずに回すこと、評価と見直しに組織監査やネットワーク・サーバの監査を取り入れること、導入時に社員の教育・啓発の方法を考えることが挙げられている。

補足導入して終わりではなく、社員に普及させて支援する、守られているか・業務の妨げになっていないかを日常的に確かめる、評価して経営幹部に報告する、といった継続的な運用が必要とされている。

正解：3（アー誤、イー正）

ア．誤り

形だけの周知 → 行動は変わらない → 意識させる仕組みが要る

総務省 職場での対策「セキュリティ啓発活動・教育の実施」「単に、分厚い資料を渡したり、形だけの方針や指針を伝えたりするだけでは、社員や職員に情報セキュリティポリシーに則って行動してもらうことはできません」公式資料を確認

イ．正しい

全員が守って初めてポリシーが意味を持つ

総務省 職場での対策「セキュリティ啓発活動・教育の実施」「情報セキュリティに関する同意書にサインしてもらう、違反時の規定を設けるなどの方法で、情報セキュリティポリシーを意識させる仕組みが必要です」公式資料を確認

総務省 職場での対策「セキュリティ啓発活動・教育の実施」「セキュリティ教育を定期的に行うことも有効です」公式資料を確認

ひっかけ『配った』は『伝わった』ではない。サイン・違反の規定・定期教育で、守る行動につなげる。

解説策定したポリシーは、全社員が守って初めて意味を持つ。そのため全社員への教育が要るが、分厚い資料を渡す、形だけの方針を伝える、というだけでは、ポリシーに沿って行動してもらえない。同意書にサインしてもらう、違反したときの規定を設ける、といった、ポリシーを意識させる仕組みを作り、定期的なセキュリティ教育で一人ひとりの意識を高めていく。

補足ポリシーの内容に疑問があるときや、行おうとしている作業にセキュリティ面の不安があるときは、情報管理担当者に相談する。

正解：2（アー正、イー誤）

ア．正しい

漏えいが続いている可能性 → まず止める・逃がす

総務省 職場での対策「インシデントレスポンス体制整備」事故の初動処理「ホームページを閉鎖する、データをインターネットに接続されていないパソコンに退避させるなどの処置が必要である」公式資料を確認

イ．誤り

起きた事故から学んだことをルールに戻す → 同じ事故を防ぐ

総務省 職場での対策「インシデントレスポンス体制整備」再発防止策の実施「事故に対する処理や対策で必要な項目を、情報セキュリティポリシーに反映する」公式資料を確認

ひっかけ事故対応の最後は『直して終わり』ではなく『ポリシーへ反映』。

解説事故やトラブルが起きたら、情報セキュリティポリシーに書かれた方法に沿って、適切かつ迅速に処理することが被害を最小限に抑える最大の対策になる。手順は、①事故の検知（ログのチェック、障害検知ツール、社内外からの通報窓口）、②初動処理（関係部署への連絡、優先順位に沿った手続き、漏えいの可能性があればホームページの閉鎖やデータの退避、利用者に被害が及ぶなら速やかに連絡）、③事故の分析（被害と規模を整理し原因を分析して対応策を決める）、④復旧作業（正常に動くことを確認し、関係者と利用者に連絡）、⑤再発防止策の実施（原因を究明して対策し、必要な項目をポリシーに反映）である。

補足初動の段階で、セキュリティ対策機関などへの情報提供も強く望まれている。早期の情報提供で同様の攻撃の被害を防げた例もある。

正解：2（アー正、イー誤）

ア．正しい

幹部に正確な情報が届かない → 初動を誤る → 被害が広がる

総務省 職場での対策「インシデントレスポンス体制整備」「これらの一連の処理の中でもっとも重要なことは、状況を正確に判断するための情報伝達の手順やルールを確立しておくことです」公式資料を確認

イ．誤り

業務停止は事業全体に関わる → 担当部署だけでは決められない

総務省 職場での対策「インシデントレスポンス体制整備」「復旧のために通常業務をいつまで、どの範囲まで止めるのかといった判断があります」公式資料を確認

総務省 職場での対策「インシデントレスポンス体制整備」「情報セキュリティ担当部署や担当者のみで判断できるものではないため、経営側に判断を下してもらう必要があることを意識しておかなくてはなりません」公式資料を確認

ひっかけ技術の判断は担当部署、事業の判断は経営層。『業務をどこまで止めるか』は事業の判断。

解説過去の情報漏えい事件では、組織幹部への情報伝達が遅れたり、正確に伝わらなかったりして、最も重要な初動で誤り、被害を広げた例が多い。そのため、状況を正確に判断するための情報伝達の手順とルールを確立し、ポリシーに組み込んでおくことが最も重要とされる。また、実際の事故は手順どおりに進まないことも多く、復旧のために通常業務をいつまで、どの範囲まで止めるかのように、担当部署だけでは決められない判断がある。これは経営側に判断を下してもらう必要がある。

補足総務省サイトは、ランサムウェアの身代金は通常は支払うものではないとされる一方、人命がかかっている等の緊急時にはあえて支払う判断もあり得る例として、経営層の判断を挙げている。

正解：4（アー誤、イー誤）

ア．誤り

ポリシーは代表者が施行するもの → 幹部が関わらないと組織の方針にならない

総務省 経営層向けの対策「情報セキュリティポリシーの策定」「可能な限り、代表者や幹部が策定の作業自体にも関わるような体制を作ることが重要です」公式資料を確認

イ．誤り

外の人だけで作る → 自社の実情に合わない

総務省 経営層向けの対策「情報セキュリティポリシーの策定」策定のための体制作り「外部のコンサルタントに策定のすべてを依頼することは好ましくありません」公式資料を確認

総務省 経営層向けの対策「情報セキュリティポリシーの策定」策定のための体制作り「組織内の者が情報セキュリティポリシーを策定しなければ、その企業や組織に適した内容にすることが困難だからです」公式資料を確認

ひっかけポリシーは『幹部が関わり』『組織内の者が作る』。外部の専門家は助言役。

解説ポリシーを策定するときに最も大切なのは、担当者・体制・手順をあらかじめ検討しておくことである。ポリシーは代表者が施行するものなので、代表者や幹部もできる限り策定の作業に関わる体制にする。責任者を明確にし、策定に携わる人材を組織化して、適切な人材を確保する。品質を高めるために外部のコンサルタントや法律の専門家に参加を頼むことは検討してよいが、すべてを任せるのは好ましくない。組織内の者が作らなければ、その組織に合った内容にできないからで、外部にはアドバイザの形で協力してもらう。

補足策定では、法律違反やコンプライアンス違反にならないよう、組織としてどうすればよいかを検討することも重要な要素とされている。

正解：1（アー正、イー正）

ア．正しい

漏えい・停止の被害は取引先や顧客にも及ぶ → 経営が扱う課題

総務省 経営層向けの対策「情報セキュリティ対策の必要性」「企業や組織にとって、情報セキュリティに対するリスクマネジメントは重要な経営課題の一つと考えなければなりません」公式資料を確認

総務省 経営層向けの対策「情報セキュリティ対策の必要性」「これを保護することは企業や組織の社会的責務でもあります」公式資料を確認

イ．正しい

製品・システムの評価はISO/IEC15408、マネジメントシステムの認証はISO/IEC27001

総務省 経営層向けの対策「情報セキュリティ対策の必要性」「情報セキュリティマネジメントシステムの認証基準（ISO/IEC27001）が、国際標準として規格化されています」公式資料を確認

ひっかけ番号の取り違えに注意。27001は『マネジメントシステムの認証』、15408は『製品・システムの評価』。

解説情報システムやインターネットは組織の運営に欠かせない一方、システムの停止による損失や顧客情報の漏えいによるブランドイメージの失墜など、大きな危険も抱える。被害は取引先や顧客にも広がることが多い。そのため、情報セキュリティのリスクマネジメントは重要な経営課題の一つであり、個人情報などの重要情報の保護は組織の社会的責務でもある。世界的にも重要な経営課題と認識され、情報セキュリティ製品・システムの評価基準（ISO/IEC15408）や、情報セキュリティマネジメントシステム（ISMS）の認証基準（ISO/IEC27001）が国際標準として規格化され、国内でも採用する企業が増えている。

補足総務省サイトは、この節の見出しで「サイバーセキュリティは経営課題の一つとして考える必要がある」としている。

正解：2（アー正、イー誤）

ア．正しい

Bccのアドレスは他の受信者に見えない

総務省 職場での対策「電子メールの誤送信対策」「他の受信者がいることや、他の受信者のメ－ルアドレスをわからないようにしたい場合は、Bcc： を使用します」公式資料を確認

イ．誤り

Ccは受信者全員に表示される → メールアドレスという個人情報の漏えい

総務省 職場での対策「電子メールの誤送信対策」「受信者に他のすべての受信者のメ－ルアドレスがわかってしまう、という事例が多く発生しています」公式資料を確認

ひっかけCcは『見える写し』、Bccは『見えない写し』。取り違えると、受信者全員のアドレスが全員に見える。

解説電子メールの宛先欄は3種類ある。To：には主な相手、Cc：（カーボン・コピー）には内容を知らせたい他の人を入れ、Cc：のアドレスは受信者に表示される。Bcc：（ブラインド・カーボン・コピー）も他の人に知らせるために使うが、入力したアドレスは受信者に表示されない。他の受信者がいることや、そのアドレスを知られたくないときはBcc：を使う。よくある誤りがCc：とBcc：の取り違えで、Bcc：で送るべきメールをCc：で送り、受信者全員のアドレスが互いにわかってしまう事例が多い。送る前に、宛先と欄（To：・Cc：・Bcc：）が意図どおりかを確かめる。

補足宛先の誤りやTo：・Cc：・Bcc：の使い方の誤りによる情報漏えいは頻繁に起きている。

正解：3（アー誤、イー正）

ア．誤り

大量のアドレスを手で欄に入れる → 取り違えやすい → 専用サービス

総務省 職場での対策「電子メールの誤送信対策」「通常利用しているメールソフトは使用せず、通信事業者が提供する専用の同報メールサービスを利用することなども検討し」公式資料を確認

イ．正しい

先頭を打つだけで候補が入る → 似たアドレスを取り違える

総務省 職場での対策「電子メールの誤送信対策」「オートコンプリートと呼ばれる自動補完機能によるアドレスの誤入力があります」公式資料を確認

総務省 職場での対策「電子メールの誤送信対策」「この機能で表示されたメールアドレスをよく確認せず、間違った宛先を指定して送信してしまうというケースがあるので、注意が必要です」公式資料を確認

ひっかけ便利な機能ほど確認を飛ばしやすい。オートコンプリートも、大量の宛先の手入力も、誤送信の入口。

解説電子メールでは、宛先の間違いや送信方法の間違いによる情報漏えいが頻繁に起きている。原因の一つがオートコンプリート（過去の入力履歴から候補を表示する自動補完機能）で、先頭を入力するだけでアドレス全体が入るため、よく確かめずに違う相手へ送ってしまう。影響が大きくなるのは、多くの宛先へ同時に送るときで、大量のアドレスを入れる途中でTo：・Cc：・Bcc：の欄を取り違え、そのまま送って漏えいする事例が多い。このようなときは、通常のメールソフトを使わず、通信事業者の専用の同報メールサービスの利用も検討する。

補足送る前に、宛先のアドレスと欄（To：・Cc：・Bcc：）が意図どおりかを確かめる習慣が基本になる。

正解：1（アー正、イー正）

ア．正しい

乗っ取られる → 組織の名前で不正な発信 → ブランドの失墜

総務省 職場での対策「SNSの正しい利用」「第三者にアカウントを乗っ取られないよう、アカウント情報（IDやパスワードなど）の適切な管理を行う」公式資料を確認

イ．正しい

業務の発信は組織の発信 → 止まったときの手当てと権利の確認

総務省 職場での対策「SNSの正しい利用」「メンテナンスなどで、サービスが利用できないときの運用を決めておく」公式資料を確認

総務省 職場での対策「SNSの正しい利用」「発信内容が著作権や肖像権の侵害に該当しないようにする」公式資料を確認

ひっかけ公式アカウントの投稿は、組織を代表する発言と受け取られる。個人の発信より一段重い。

解説社員が会社名を明かして個人でSNSを使うときは、不用意な発言が非難を招き、所属する組織のブランドイメージを損なうおそれがある。業務でSNSを使って発信するときは、ポリシーに従い、ブランドイメージを損なう発言をしない、アカウント情報を適切に管理して乗っ取りを防ぐ、サービスの規約を守る、サービスが使えないときの運用を決めておく、著作権や肖像権を侵害しない、に注意する。公式アカウントの担当者はさらに注意が要り、管理が不十分で不正行為の被害に遭えば、ブランドイメージを大きく損なう。

補足アカウント情報の管理には、推測されにくく使い回さないパスワードの設定が前提になる。

正解：1（アー正、イー正）

ア．正しい

個人の注意ではなく組織の取組みにする → まず方針を定める

通則編ガイドライン 10-1 基本方針の策定「個人データの適正な取扱いの確保について組織として取り組むために、基本方針を策定することが重要である」公式資料を確認

イ．正しい

誰が・何を守り・どう管理し・どこで受け付けるかを示す

通則編ガイドライン 10-1 基本方針の策定「「事業者の名称」、「関係法令・ガイドライン等の遵守」、「安全管理措置に関する事項」、「質問及び苦情処理の窓口」等が考えられる」公式資料を確認

ひっかけ基本方針の項目例は4つ。『名称』『法令等の遵守』『安全管理措置』『質問・苦情の窓口』。

解説通則編ガイドラインの「10（別添）講ずべき安全管理措置の内容」は、10-1 基本方針の策定から始まる。個人情報取扱事業者は、個人データの適正な取扱いの確保に組織として取り組むために、基本方針を策定することが重要とされる。定める項目の例は、事業者の名称、関係法令・ガイドライン等の遵守、安全管理措置に関する事項、質問及び苦情処理の窓口などである。基本方針の策定は「重要である」とされ、次の10-2（規律の整備）は「整備しなければならない」と書き分けられている。

補足10-1の後に、10-2 個人データの取扱いに係る規律の整備、10-3〜10-6 の組織的・人的・物理的・技術的安全管理措置、10-7 外的環境の把握が続く。

正解：3（アー誤、イー正）

ア．誤り

10-1は『重要である』、10-2は『しなければならない』。同じとする点が誤り

通則編ガイドライン 10-2 個人データの取扱いに係る規律の整備「個人データの具体的な取扱いに係る規律を整備しなければならない」公式資料を確認

イ．正しい

段階ごとに、やり方と責任者を決める

通則編ガイドライン 10-2 個人データの取扱いに係る規律の整備（手法の例示）「取得、利用、保存、提供、削除・廃棄等の段階ごとに、取扱方法、責任者・担当者及びその任務等について定める個人データの取扱規程を策定することが考えられる」公式資料を確認

ひっかけ語尾を見る。基本方針は『重要である』、規律の整備は『しなければならない』。

解説通則編ガイドライン10-2は、個人データの漏えい等の防止その他の安全管理のため、個人データの具体的な取扱いに係る規律を整備しなければならないとする。手法の例示は、取得・利用・保存・提供・削除・廃棄等の段階ごとに、取扱方法、責任者・担当者とその任務などを定める取扱規程を作ることである。取扱規程には、組織的・人的・物理的安全管理措置の内容と、パソコンなどの情報システムで個人データを扱う場合（インターネット等で外部とやり取りする場合を含む）の技術的安全管理措置の内容を織り込むことが重要とされている。

補足中小規模事業者の手法の例示は、個人データの取得、利用、保存等を行う場合の基本的な取扱方法を整備すること。

正解：2（アー正、イー誤）

ア．正しい

国によって制度が違う → 知らないままでは適切な管理ができない

通則編ガイドライン 10-7 外的環境の把握「外国において個人データを取り扱う場合、当該外国の個人情報の保護に関する制度等を把握した上で、個人データの安全管理のために必要かつ適切な措置を講じなければならない」公式資料を確認

イ．誤り

10（別添）の項目として置かれている → 含まれないとする点が誤り

通則編ガイドライン 10-7 外的環境の把握「外的環境の把握」公式資料を確認

通則編ガイドライン 10（別添）講ずべき安全管理措置の内容「講ずべき安全管理措置の内容」公式資料を確認

ひっかけ外国の制度の把握は『提供』の話だけではない。自社が外国で扱う場合の『安全管理』の話でもある。

解説通則編ガイドラインの安全管理措置（10（別添））は、基本方針の策定（10-1）、規律の整備（10-2）、組織的・人的・物理的・技術的安全管理措置（10-3〜10-6）に続き、10-7 外的環境の把握で終わる。個人情報取扱事業者が外国で個人データを取り扱う場合は、その国の個人情報の保護に関する制度などを把握したうえで、安全管理のために必要かつ適切な措置を講じなければならない。

補足10-7も、10-3〜10-6と同じく「講じなければならない」とされる措置である（10-1の基本方針は「重要である」）。

正解：3（アー誤、イー正）

ア．誤り

宛先を間違える人は、2通目も同じ宛先に送る

総務省 職場での被害事例15「暗号化して送ったはずが・・・」「別送するパスワードメールも添付ファイル付きメールと同じ間違った宛先に送ってしまうケースが多く見受けられるため、本質的に有効とはいえません」公式資料を確認

イ．正しい

同じ経路で鍵を送らない、送る前に別の目で確かめる

総務省 職場での被害事例15「暗号化して送ったはずが・・・」予防法「メール添付ではなく、クラウドストレージサービスを利用してやりとりすることも検討しましょう」公式資料を確認

総務省 職場での被害事例15「暗号化して送ったはずが・・・」予防法「電話等のメール以外でのパスワード伝達手段を用いることを検討しましょう」公式資料を確認

総務省 職場での被害事例15「暗号化して送ったはずが・・・」予防法「添付ファイル付きメールを社外へ送付する際には、第三者のチェックを受けた上で送付するようにしましょう」公式資料を確認

ひっかけ『暗号化して送ったから安全』は、鍵を同じ相手に送っていれば成り立たない。

解説総務省サイトの事例では、重要書類をパスワード付きzipファイルにしてメールで送り、後から別のメールで解凍パスワードを送ったが、どちらのメールも間違った宛先に送っていたため、書類がSNSで拡散された。誤送信対策としてよく見られる方法だが、パスワードのメールも同じ誤った宛先に送ってしまうことが多く、本質的に有効とはいえない。代わりに、クラウドストレージサービスでやり取りする（誤ってリンクを送っても権限が無ければ見られない機能もある）、パスワードは電話などメール以外で伝える、社外へ添付ファイルを送るときは第三者のチェックを受ける、といった方法を検討する。

補足SNS等へ不正に公開されたら、サービス運営者に削除を依頼する。間違った宛先に送ったら、受信者にファイルの削除を依頼する。

正解：3（アー誤、イー正）

ア．誤り

持ち帰り・紛失など人の行動からも漏れる

総務省 職場での被害事例5「情報セキュリティ対策は万全だったはずなのに・・・」「つまり、情報セキュリティ対策には、万全なものはないのです」公式資料を確認

イ．正しい

新しい脅威が出る → 一度決めた対策は古くなる

総務省 職場での被害事例5「情報セキュリティ対策は万全だったはずなのに・・・」「情報セキュリティ上のリスクは、時間とともに変化するものです」公式資料を確認

総務省 職場での被害事例5「情報セキュリティ対策は万全だったはずなのに・・・」「継続的に対策を見直すことが大切です」公式資料を確認

ひっかけ対策ソフトとファイアウォールがあっても、持ち帰りと紛失は止まらない。

解説総務省サイトの事例では、情報管理担当者が対策ソフトの導入とパターンファイルの更新、ファイアウォールなどの機器の導入まで行い万全と考えていたが、顧客情報がSNSで漏えいしていた。社員が持ち帰ったデータが、ウイルスに感染した自宅のパソコンから漏れた可能性や、データの入ったUSBメモリを紛失した可能性が考えられる。機密情報を持つ組織には、システムやソフトウェアの対策だけでなく、厳密な社内ルール（情報セキュリティポリシー）の策定と徹底、データベースやファイルサーバの権限設定など、多角的な対策が求められ、社員への教育の徹底も大切な対策になる。リスクは時間とともに変わるので、継続的に見直す。

補足機密情報の不正な持ち出しや公開が分かったら、速やかに警察へ被害届を出し、被害の範囲を調べ、関係各所への公表を検討する。