HOME»基本情報技術者平成22年秋期問題»午後問6
基本情報技術者過去問題 平成22年秋期 午後問6
⇄問題文と設問を画面2分割で開く⇱問題PDF問6 サービスマネジメント
ITサービスマネジメントにおける個人情報の保護に関する次の記述を読んで，設問1，2に答えよ。
X社では，約1万人の個人顧客向けに会員制の通信販売を行っている。注文はインターネットや電話で販売部が受け付け，商品と請求書を宅配便で発送する。顧客からの問合せなども，一括して販売部で受け付けている。顧客情報は，X社の基幹サーバで一括管理している。
X社の顧客管理部では，次の業務①～③を行っている。業務①は，顧客への定期的な取引状況の報告である。業務②及び③は，販売部での対応範囲を超えた問合せであり，顧客管理部に転送されてくる。
X社では，約1万人の個人顧客向けに会員制の通信販売を行っている。注文はインターネットや電話で販売部が受け付け，商品と請求書を宅配便で発送する。顧客からの問合せなども，一括して販売部で受け付けている。顧客情報は，X社の基幹サーバで一括管理している。
X社の顧客管理部では，次の業務①～③を行っている。業務①は，顧客への定期的な取引状況の報告である。業務②及び③は，販売部での対応範囲を超えた問合せであり，顧客管理部に転送されてくる。
- 業務①
- 取引明細など顧客あて郵便物の印刷・発送
- 業務②
- 取引の詳細な内容や会員登録状況の照会など顧客からの問合せへの対応
- 業務③
- 住所変更や退会など顧客からの訂正・削除・利用停止などの依頼への対応
設問1
プロジェクトでは，まず委託元であるX社内での対応を検討することにした。次の記述中の に入れる正しい答えを，解答群の中から選べ。
プロジェクトでは，"個人情報の保護に関する法律についての経済産業分野を対象とするガイドライン"(以下，ガイドラインという)に沿った管理水準で検討を進めることにした。
個人データの取扱いの委託に当たっては，法とガイドラインに基づく安全管理措置(表にその概要を示す)を委託先に遵守させるために必要なaし，業務開始後は委託元がbする必要がある。
業務①～③について，リスクに対する費用対効果の面から総合的に検討した。その結果，業務①については機器の買換えではなく外部委託とすることにした。
一方，業務 ②及び③については社内処理を継続することにした。その理由として，例えば表の安全管理措置のうち技術的安全管理措置について，cなどの対応を考慮する必要があったことによる。
プロジェクトとしてこのように結論を出し，役員に報告した。
プロジェクトでは，"個人情報の保護に関する法律についての経済産業分野を対象とするガイドライン"(以下，ガイドラインという)に沿った管理水準で検討を進めることにした。
個人データの取扱いの委託に当たっては，法とガイドラインに基づく安全管理措置(表にその概要を示す)を委託先に遵守させるために必要なaし，業務開始後は委託元がbする必要がある。
一方，業務 ②及び③については社内処理を継続することにした。その理由として，例えば表の安全管理措置のうち技術的安全管理措置について，cなどの対応を考慮する必要があったことによる。
プロジェクトとしてこのように結論を出し，役員に報告した。
a，b に関する解答群
- 委託先の運用担当者を任命
- 委託先の従業者を監督
- 契約を締結
- 個人データの取扱状況を監督
c に関する解答群
- X社内の個人データを委託先からアクセスする際の安全性を確保するためにシステムを改修する
- X社の管理水準を満たす専用作業室を委託先に新たに確保する
- X社の従業者が委託先の個人情報保護管理者となるために委託先で常駐する
- X社の従業者が委託先のシステム運用方法の指揮・命令体制を整備する
解答選択欄
- a:
- b:
- c:
解答
- a=ウ
- b=エ
- c=ア
解説
"個人情報の保護に関する法律についての経済産業分野を対象とするガイドライン"(以下ガイドライン)とは、個人情報の保護に関する法律を踏まえ経済産業大臣が主務大臣に指定された特定の分野(経済産業分野)における事業者等が行う個人情報の適正な取扱いの確保に関する活動を支援する具体的な指針として定めたものです。
〔aについて〕
業務を委託先にて個人情報の漏えいが発生した場合、個人情報保護法では「委託元の会社がその責任を負う」という使用者責任を規定しているため、個人情報の提供を伴う業務委託をする場合には注意が必要になってきます。
aは、委託先に法とガイドラインに基づく安全管理措置を遵守させるために必要な事項ということですので、ウ: 契約の締結が該当します。
委託先との契約時、委託契約書の他に個人情報保護に関する覚書を交わすことによって一定の抑止効果が期待できます。
この契約書には、表「安全管理措置の概要」に記載される事項を遵守することを盛り込む必要があります。
一般に個人情報の提供を伴う業務委託の場合「委託契約書」「秘密保持契約書」「個人情報覚書」の3つの契約書を交わすことが望ましいとされているようです。
∴a＝ウ: 契約の締結〔bについて〕
個人情報保護法第22条「個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない」に基づきガイドラインでは、委託先の監督に関する規定があります。
規定では「個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合、法第20条に基づく安全管理措置を遵守させるよう、委託を受けた者に対し必要かつ適切な監督をしなければならない」とされており、前述の使用者責任の観点からも委託元が委託先の個人情報の取扱状況を監督する事が必要である旨が記されています。
∴b＝エ: 個人データの取扱状況を監督
〔cについて〕
表「安全管理措置の概要」の各安全管理措置のガイドライン上での定義を記載しておきます。
〔aについて〕
業務を委託先にて個人情報の漏えいが発生した場合、個人情報保護法では「委託元の会社がその責任を負う」という使用者責任を規定しているため、個人情報の提供を伴う業務委託をする場合には注意が必要になってきます。
aは、委託先に法とガイドラインに基づく安全管理措置を遵守させるために必要な事項ということですので、ウ: 契約の締結が該当します。
委託先との契約時、委託契約書の他に個人情報保護に関する覚書を交わすことによって一定の抑止効果が期待できます。
この契約書には、表「安全管理措置の概要」に記載される事項を遵守することを盛り込む必要があります。
一般に個人情報の提供を伴う業務委託の場合「委託契約書」「秘密保持契約書」「個人情報覚書」の3つの契約書を交わすことが望ましいとされているようです。
∴a＝ウ: 契約の締結〔bについて〕
個人情報保護法第22条「個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない」に基づきガイドラインでは、委託先の監督に関する規定があります。
規定では「個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合、法第20条に基づく安全管理措置を遵守させるよう、委託を受けた者に対し必要かつ適切な監督をしなければならない」とされており、前述の使用者責任の観点からも委託元が委託先の個人情報の取扱状況を監督する事が必要である旨が記されています。
∴b＝エ: 個人データの取扱状況を監督
〔cについて〕
表「安全管理措置の概要」の各安全管理措置のガイドライン上での定義を記載しておきます。
- 組織的安全管理措置
- 安全管理について従業者(法第21条参照)の責任と権限を明確に定め、安全管理に対する規程や手順書(以下「規程等」という。)を整備運用し、その実施状況を確認することをいう。
- 人的安全管理措置
- 従業者に対する、業務上秘密と指定された個人データの非開示契約の締結や教育・訓練等を行うことをいう。
- 物理的安全管理措置
- 物理的安全管理措置とは、入退館(室)の管理、個人データの盗難の防止等の措置をいう。
- 技術的安全管理措置
- 個人データ及びそれを取り扱う情報システムへのアクセス制御、不正ソフトウェア対策、情報システムの監視等、個人データに対する技術的な安全管理措置をいう。
- 正しい。技術的安全管理措置です。
- 物理的安全管理措置です。
- 人的安全管理措置です。
- 組織的安全管理措置です。
設問2
プロジェクトでは，次に委託先での安全管理措置の現状を調査することにした。次の記述中の に入れる正しい答えを，解答群の中から選べ。
役員の承認を受けて業務①の外部委託が決まり，委託先は印刷・発送業のY社に内定した。また，Y社での印刷・発送に必要なデータだけを，X社の基幹サーバから抽出してY社のファイルサーバへネットワーク経由で暗号化して送信する方式とした。
個人データの安全管理措置は，現在のX社での管理水準をY社においても維持する必要がある。そこで，プロジェクトではX社における規程や手続の要件を文書にまとめてY社の運用管理者に提示した。また，サービス開始前にY社の作業現場に行って現状調査を実施することで合意した。
後日，プロジェクトのメンバーがY社の作業現場を訪問し，Y社の運用管理者と一緒に現状調査を実施した。現状調査の結果，次の問題点①～④が発見された。
〔問題点〕
役員の承認を受けて業務①の外部委託が決まり，委託先は印刷・発送業のY社に内定した。また，Y社での印刷・発送に必要なデータだけを，X社の基幹サーバから抽出してY社のファイルサーバへネットワーク経由で暗号化して送信する方式とした。
個人データの安全管理措置は，現在のX社での管理水準をY社においても維持する必要がある。そこで，プロジェクトではX社における規程や手続の要件を文書にまとめてY社の運用管理者に提示した。また，サービス開始前にY社の作業現場に行って現状調査を実施することで合意した。
後日，プロジェクトのメンバーがY社の作業現場を訪問し，Y社の運用管理者と一緒に現状調査を実施した。現状調査の結果，次の問題点①～④が発見された。
〔問題点〕
- 印字不良などで廃棄する，個人情報を含む印刷物は，鍵の付いた個人情報専用の廃棄箱に入れて保管し，定期的に廃棄処分をしている。しかし，この廃棄箱の鍵の保管管理が十分でなく，管理者の帰宅後はだれでも鍵を使用できる状態にある。
- ファイルサーバに対する設定変更などの特権操作は，電算室内の運用管理者席にあるシステム保守用端末だけで実行できる。しかし，この端末で行われた特権操作の内容は記録していない。
- ファイルサーバへのログインは利用者IDとパスワードで認証しているが，認証後は，サーバ内のどのファイルも参照が可能である。
- ファイルサーバへのログインは，すべて記録されるが，個々のファイルヘのアクセスは，機能上の理由で記録していない。
- 問題点①～④のうち，問題点dを除くほかの三つの問題点は，技術的安全管理措置の問題である。
- 問題点①について，この問題を放置しておくとeというリスクがある。
- 問題点②及び④について，これらの問題を放置しておくとfというリスクがある。
d に関する解答群
- ①
- ②
- ③
- ④
e，f に関する解答群
- 個人情報を含む媒体を持ち出せる
- 誤操作や不正操作の発見が困難になる
- システム障害の原因となる
- 利用者認証機能をう回できる
解答選択欄
- d:
- e:
- f:
解答
- d=ア
- e=ア
- f=イ
解説
〔dについて〕
「問題点①～④のうち、問題点 dを除くほかの三つの問題点は、技術的安全管理措置の問題である」とあるので、一つだけは技術的でない問題点、つまり組織的、人的または物理的な問題点であるとわかります。
表「安全管理措置の概要」と問題点を照らし合わせて考えると①～④のうち、①だけは入退室管理、盗難防止及び機器装置等の物理的な保護の問題点であることがわかります。
∴d＝ア: ①
〔eについて〕
問題点①からY社では、個人情報を含む廃棄物の箱の鍵が、管理者の帰宅後はだれでも自由に使用できる状況にある事がわかります。このことから個人情報の含まれた廃棄物が、管理者不在時に他の誰かによって持ちだされ、個人情報漏えいにつながるリスクがあります。
∴e＝ア: 個人情報を含む媒体を持ち出せる
〔fについて〕
②と④の問題点から委託先であるＹ社ではアクセスログの記録が不十分であることがわかります。
アクセスログの記録は、検知・追跡に分類されるセキュリティ対策で、問題発生時にその原因を特定する決め手となったり、ログ解析によって問題個所を未然に修正したりすることができます。
Y社では、このアクセスログの記録が不十分なため、誤操作や不正操作の発見がを検知することができなかったり、トラブル発生時に原因特定に時間がかかり被害を拡大させてしまうリスクがあります。
∴f＝イ: 誤操作や不正操作の発見が困難になる
ちなみに問題点③は「第三者がファイルサーバにアクセス権限をもつIDとパスワードを使って不正にログインする」、または「担当者がログイン中のPCから席を離したとき、第三者が操作をする」などの手法で「利用者認証機能をう回できる」可能性があるというリスクを抱えています。
「問題点①～④のうち、問題点 dを除くほかの三つの問題点は、技術的安全管理措置の問題である」とあるので、一つだけは技術的でない問題点、つまり組織的、人的または物理的な問題点であるとわかります。
表「安全管理措置の概要」と問題点を照らし合わせて考えると①～④のうち、①だけは入退室管理、盗難防止及び機器装置等の物理的な保護の問題点であることがわかります。
∴d＝ア: ①
〔eについて〕
問題点①からY社では、個人情報を含む廃棄物の箱の鍵が、管理者の帰宅後はだれでも自由に使用できる状況にある事がわかります。このことから個人情報の含まれた廃棄物が、管理者不在時に他の誰かによって持ちだされ、個人情報漏えいにつながるリスクがあります。
∴e＝ア: 個人情報を含む媒体を持ち出せる
〔fについて〕
②と④の問題点から委託先であるＹ社ではアクセスログの記録が不十分であることがわかります。
アクセスログの記録は、検知・追跡に分類されるセキュリティ対策で、問題発生時にその原因を特定する決め手となったり、ログ解析によって問題個所を未然に修正したりすることができます。
Y社では、このアクセスログの記録が不十分なため、誤操作や不正操作の発見がを検知することができなかったり、トラブル発生時に原因特定に時間がかかり被害を拡大させてしまうリスクがあります。
∴f＝イ: 誤操作や不正操作の発見が困難になる
ちなみに問題点③は「第三者がファイルサーバにアクセス権限をもつIDとパスワードを使って不正にログインする」、または「担当者がログイン中のPCから席を離したとき、第三者が操作をする」などの手法で「利用者認証機能をう回できる」可能性があるというリスクを抱えています。