脅威と対策・組織的人的セキュリティ

✓全476問・解説・間違い直しは登録不要・無料。無料登録で進捗をクラウド保存。模試・期日復習・弱点分析は Premium (月480円)

• ✓正解済み✗まだ正解していませんQ1初級安全管理措置の区分・ガイドライン別添・外的環境の把握

  個人情報保護委員会のガイドライン（通則編）別添が定める安全管理措置の区分として、正しい組合せはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン（通則編）別添「講ずべき安全管理措置の内容」は、法第23条の安全管理措置として、基本方針の策定、個人データの取扱いに係る規律の整備に加え、組織的安全管理措置・人的安全管理措置・物理的安全管理措置・技術的安全管理措置、および外的環境の把握を掲げています。「法的」「経済的…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ2中級中小規模事業者・従業員100人以下・5,000を超える者の除外

  ガイドライン（通則編）別添における「中小規模事業者」の定義について、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン（通則編）別添は「中小規模事業者」を、従業員の数が100人以下の個人情報取扱事業者と定義し、ただし①その事業の用に供する個人情報データベース等を構成する個人情報によって識別される特定の個人の数の合計が過去6月以内のいずれかの日において5,000を超える者、②委託を受け…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ3中級組織的安全管理措置・5つの措置・人的安全管理措置との区別

  組織的安全管理措置として、ガイドライン（通則編）別添が「講じなければならない措置」として掲げていないものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添は組織的安全管理措置として、①組織体制の整備、②個人データの取扱いに係る規律に従った運用、③個人データの取扱状況を確認する手段の整備、④漏えい等事案に対応する体制の整備、⑤取扱状況の把握及び安全管理措置の見直し、の5つを掲げています。秘密保持に関する事項を就業規則…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ4初級人的安全管理措置・従業者の教育・就業規則

  人的安全管理措置として、ガイドライン（通則編）別添が講じなければならない措置として掲げているものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添は人的安全管理措置として「従業者の教育」を掲げ、従業者に個人データの適正な取扱いを周知徹底するとともに適切な教育を行わなければならないとしています。手法の例示としては、留意事項について定期的な研修等を行うこと、秘密保持に関する事項を就業規則等に盛り込むことが挙げら…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ5中級管理区域・取扱区域・入退室管理

  物理的安全管理措置における「管理区域」と「取扱区域」の区別について、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添は、個人情報データベース等を取り扱うサーバやメインコンピュータ等の重要な情報システムを管理する区域を「管理区域」、その他の個人データを取り扱う事務を実施する区域を「取扱区域」と定義し、それぞれ適切な管理を行わなければならないとしています。管理区域の手法例として入退…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ6中級復元不可能な手段・廃棄の記録・委託先の確認

  個人データを削除し、又は個人データが記録された機器・電子媒体等を廃棄する場合について、ガイドライン（通則編）別添上、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添の物理的安全管理措置（4）は「個人データを削除し又は個人データが記録された機器、電子媒体等を廃棄する場合は、復元不可能な手段で行わなければならない」と定めています。また、削除・廃棄の記録を保存することや、作業を委託する場合に委託先が確実に削除・廃棄したことを証明書…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ7中級持ち運び・暗号化・事業所内の移動

  電子媒体等を持ち運ぶ場合の措置について、ガイドライン（通則編）別添上、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添の物理的安全管理措置（3）は、個人データが記録された電子媒体又は書類等を持ち運ぶ場合、容易に個人データが判明しないよう安全な方策を講じなければならないと定めています。「持ち運ぶ」とは管理区域又は取扱区域から外へ移動させること又は区域外から区域へ移動させることをいい…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ8上級外的環境の把握・外国の制度・クラウド

  「外的環境の把握」について、ガイドライン（通則編）別添上、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添は「外的環境の把握」として、個人情報取扱事業者が外国において個人データを取り扱う場合、当該外国の個人情報の保護に関する制度等を把握したうえで、個人データの安全管理のために必要かつ適切な措置を講じなければならないとしています。クラウドサービスのサーバが外国にある場合…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ9初級機密性・完全性・可用性・情報セキュリティの三要素・漏えい・滅失・毀損

  情報セキュリティにおける機密性・完全性・可用性について、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 情報セキュリティの三要素のうち、機密性（Confidentiality）は認可された者だけが情報にアクセスできることを確保する特性、完全性（Integrity）は情報が正確かつ完全であり改ざんされていない特性、可用性（Availability）は認可された者が必要なときに情報や情…

  根拠法令: 個人情報の保護に関する法律第23条

• ✓正解済み✗まだ正解していませんQ10中級漏えい・滅失・毀損

  個人情報保護法における「漏えい」「滅失」「毀損」の区別について、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン（通則編）は、「漏えい」を個人データが外部に流出すること、「滅失」を個人データの内容が失われること、「毀損」を個人データの内容が意図しない形で変更されることや、内容を保ちつつも利用不能な状態となることと説明しています。法第23条の安全管理措置は、この3つの事態の防止を…

  根拠法令: 個人情報の保護に関する法律第23条

• ✓正解済み✗まだ正解していませんQ11上級漏えい等の報告・報告対象事態の4類型・1,000人超

  個人データの漏えい等の報告を要する事態として、規則が定めるものに含まれないものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 個人情報保護法施行規則第7条は、法第26条第1項の報告対象となる事態として、①要配慮個人情報が含まれる個人データの漏えい等、②不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等、③不正の目的をもって行われたおそれがある個人データの漏えい等、④個人データに…

  根拠法令: 個人情報の保護に関する法律第26条第1項

• ✓正解済み✗まだ正解していませんQ12中級速報と確報・30日以内・60日以内

  漏えい等が発生した場合の個人情報保護委員会への報告について、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 個人情報保護法施行規則第8条は、法第26条第1項の報告について、事態を知った後速やかに行う速報と、原則として30日以内（不正の目的をもって行われたおそれがある漏えい等の場合は60日以内）に行う確報の2段階を定めています。速報の時点では判明している事項を報告し、その後の調査で判明し…

  根拠法令: 個人情報の保護に関する法律第26条第1項

• ✓正解済み✗まだ正解していませんQ13上級本人への通知・代替措置・公表

  漏えい等が発生した場合の本人への通知について、個人情報保護法上、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 法第26条第2項は、報告対象事態が生じたときは本人に対し当該事態が生じた旨を通知しなければならないとしつつ、ただし書で「本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるとき」は、この限りでないと定めています。代替措置の例としては、事案…

  根拠法令: 個人情報の保護に関する法律第26条第2項

• ✓正解済み✗まだ正解していませんQ14初級標的型攻撃・マルウェア・従業者の教育

  標的型攻撃メールの特徴として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 標的型攻撃メールは、特定の組織や個人を狙い、取引先や社内の関係者を装ったり、業務に関係する件名・本文を用いたりして、受信者に添付ファイルの開封やリンクのクリックをさせ、マルウェア感染や認証情報の窃取を図る攻撃です。無差別なばらまき型と異なり、事前に調査した情報を用いるため見分けが…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ15中級ソーシャルエンジニアリング・ショルダーハッキング・トラッシング

  ソーシャルエンジニアリングに該当するものとして、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ソーシャルエンジニアリングとは、技術的な手段ではなく人間の心理的な隙や行動の癖につけ込んで情報を不正に入手する手口をいいます。担当者を装った電話でのパスワードの聞き出し、肩越しにパスワードを盗み見るショルダーハッキング、廃棄書類をあさるトラッシング（スキャベンジング）などが典型で…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ16中級リスクアセスメント・リスクの特定・分析・評価・リスク対応

  リスクアセスメントの一般的な手順として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: リスクアセスメントは一般に、リスクの特定（どのようなリスクが存在するかを洗い出す）、リスクの分析（発生可能性と影響度からリスクの大きさを算定する）、リスクの評価（算定した大きさを基準と比較して対応の優先順位を決める）の順で行われます。その後にリスク対応（低減・回避・移転・受容）を…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ17中級リスク対応・回避・低減・移転・受容・保険

  リスク対応の類型のうち「リスク移転」に当たるものはどれか。

  →
  ▶答えと解説を先に見る

  解説: リスク対応は一般に、リスク回避（リスクを生じさせる活動そのものを取りやめる）、リスク低減（発生可能性や影響を小さくする）、リスク移転（保険や外部委託により損失の負担を他者に移す）、リスク受容（許容できる水準として受け入れる）に分類されます。保険への加入は典型的なリスク移転です。た…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ18上級取扱状況の把握・見直し・改善・監査

  組織的安全管理措置の「取扱状況の把握及び安全管理措置の見直し」について、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添の組織的安全管理措置（5）は「個人データの取扱状況を把握し、安全管理措置の評価、見直し及び改善に取り組まなければならない」と定めています。手法の例示としては、個人データの取扱状況について定期的に自ら点検を行うことや、他部署や外部の主体による監査を実施することが挙げ…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ19中級規律の整備・取扱規程・段階ごとの整備

  個人データの取扱いに係る規律の整備について、ガイドライン（通則編）別添上、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添は「個人データの取扱いに係る規律の整備」を講じなければならない措置とし、手法の例示として、取得・利用・保存・提供・削除・廃棄等の段階ごとに、取扱方法、責任者・担当者及びその任務等について定める個人データの取扱規程を策定することを挙げています。中小規模事業者について…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ20上級基本方針の策定・項目の例・講じなければならない措置との区別

  基本方針の策定について、ガイドライン（通則編）別添上、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添は「個人情報取扱事業者は、個人データの適正な取扱いの確保について組織として取り組むために、基本方針を策定することが重要である」とし、具体的に定める項目の例として「事業者の名称」「関係法令・ガイドライン等の遵守」「安全管理措置に関する事項」「質問及び苦情処理の窓口」…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ21中級取扱状況の確認手段・台帳の整備・区分の区別

  組織的安全管理措置の「個人データの取扱状況を確認する手段の整備」の手法例として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添の組織的安全管理措置（3）は、個人データの取扱状況を確認するための手段を整備しなければならないとし、手法の例示として、個人情報データベース等の種類・名称、個人データの項目、責任者・取扱部署、利用目的、アクセス権を有する者等を記録した台帳等の整備を挙げています。研修…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ22上級漏えい等事案対応体制・兆候・公表

  漏えい等事案に対応する体制の整備について、ガイドライン別添が示す内容として最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添の組織的安全管理措置（4）は「漏えい等事案の発生又は兆候を把握した場合に適切かつ迅速に対応するための体制を整備しなければならない」と定めています。兆候の段階から対象としている点が重要です。また、二次被害の防止や類似事案の発生防止の観点から、事案に応じて事実関係及び…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ23中級従業者の教育・定期的な研修・就業規則

  従業者の教育について、ガイドライン別添が示す手法の例として最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添の人的安全管理措置は、従業者に個人データの適正な取扱いを周知徹底するとともに適切な教育を行わなければならないとし、手法の例示として、個人データの取扱いに関する留意事項について従業者に定期的な研修等を行うこと、個人データについての秘密保持に関する事項を就業規則等に盛…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ24上級従業者の範囲・派遣社員・取締役

  「従業者」の範囲について、ガイドライン上、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン（通則編）は「従業者」を、個人情報取扱事業者の組織内にあって直接又は間接に事業者の指揮監督を受けて事業者の業務に従事している者をいい、雇用関係にある従業員（正社員、契約社員、嘱託社員、パート社員、アルバイト社員等）のみならず、取締役、執行役、理事、監査役、監事、派遣社…

  根拠法令: 個人情報の保護に関する法律第24条

• ✓正解済み✗まだ正解していませんQ25中級リスクの算定・脅威と脆弱性・発生可能性と影響度

  リスクの大きさを算定する際の一般的な考え方として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: リスクは一般に、資産に対する脅威が脆弱性を突いて顕在化する可能性（発生可能性）と、顕在化した場合の影響の大きさ（影響度）の組合せで評価されます。ガイドライン別添も、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、取扱状況等に起因するリスクに応じて必要かつ…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ26中級脅威・脆弱性・リスク

  情報資産に対する「脅威」と「脆弱性」の関係について、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 脅威とは、システムや組織に損害を与える可能性があるインシデントの潜在的な原因をいい、脆弱性とは、脅威によって付け入られる可能性のある資産や管理策の弱点をいいます。脅威が存在しても脆弱性がなければ、また脆弱性があっても脅威がなければ、リスクは顕在化しにくくなります。脅威には内部者に…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ27上級内部不正・職務分掌・最小権限の原則

  内部不正への対策として、最も適切でないものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 内部不正の防止には、職務分掌による相互牽制、最小権限の原則によるアクセス権の限定、ログの取得と定期的な確認が有効です。特定の担当者に権限を集中させることは、不正の機会を増やし発見も困難にするため不適切です。ガイドライン別添の組織的安全管理措置（1）も、責任者の設置と責任の明確化、…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ28中級取扱状況の把握・自己点検・監査

  個人データの取扱状況の把握の手法として、ガイドライン別添が例示するものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添の組織的安全管理措置（5）は、個人データの取扱状況を把握し、安全管理措置の評価、見直し及び改善に取り組まなければならないとし、手法の例示として、個人データの取扱状況について定期的に自ら点検を行うこと、他部署や外部の主体による監査を実施することを挙げています。自己点…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ29上級委託先の監督・取扱状況の把握・定期的な監査

  委託先における個人データの取扱状況の把握について、ガイドライン上、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン（通則編）は、法第25条の委託先の監督として、委託先における個人データ取扱状況の把握を求めており、定期的な監査等により委託契約で定めた内容の実施の程度を調査し、委託内容等の見直しを検討することを含めて適切に評価することが望ましいとしています。契約締結だけでは監督義務を…

  根拠法令: 個人情報の保護に関する法律第25条

• ✓正解済み✗まだ正解していませんQ30中級マルウェア・ワーム・トロイの木馬

  マルウェアの分類について、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ワームは自己複製して他のコンピュータへ感染を広げるマルウェアで、他のファイルに寄生せず単独で動作するのが特徴です。トロイの木馬は有用なソフトウェアを装って侵入し、バックドアの設置や情報の窃取などの不正な動作を行うもので、自己増殖しないのが一般的です。いずれもガイドライン別添の技術…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ31上級ゼロデイ攻撃・脆弱性・多層防御

  ゼロデイ攻撃の説明として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ゼロデイ攻撃は、ソフトウェアの脆弱性が公表され修正プログラムが提供されるまでの間、あるいは開発者が脆弱性を認識する前に、その脆弱性を突いて行われる攻撃をいいます。修正プログラムの適用だけでは防げないため、多層防御、挙動検知、権限の最小化、ネットワーク分離といった対策の組合せが求め…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ32中級フィッシング・送信元の偽装・多要素認証

  フィッシングへの対策として、最も適切でないものはどれか。

  →
  ▶答えと解説を先に見る

  解説: フィッシングは正規のサービスを装ったメールやサイトで認証情報等を詐取する攻撃です。送信元の表示名やアドレスは容易に偽装できるため、それだけで正規と判断するのは危険です。リンクを踏まず公式サイトを自ら開いて確認すること、多要素認証により認証情報が漏れても被害を防ぐこと、報告先を定め…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ33上級サプライチェーンリスク・委託先の監督・再委託

  サプライチェーンリスクへの対応として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: サプライチェーンリスクは、委託先や再委託先など供給網の弱い部分を経由して自社の情報が侵害されるリスクです。個人情報保護法の枠組みでは、法第25条の委託先の監督がこれに対応し、ガイドライン（通則編）は適切な委託先の選定、委託契約の締結、取扱状況の把握を求めています。再委託が行われる…

  根拠法令: 個人情報の保護に関する法律第25条

• ✓正解済み✗まだ正解していませんQ34中級BCP・バックアップ・滅失・毀損の防止

  事業継続計画（BCP）と個人データの安全管理の関係について、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 法第23条の安全管理措置は、個人データの漏えいだけでなく滅失・毀損の防止も対象としています。災害やシステム障害に備えたバックアップの取得と復旧手順の整備は、可用性と完全性の確保に直結し、安全管理措置の一環です。ガイドライン別添の物理的・技術的安全管理措置も、機器の盗難・紛失の防止…

  根拠法令: 個人情報の保護に関する法律第23条

• ✓正解済み✗まだ正解していませんQ35上級組織体制の整備・責任者の設置・報告連絡体制

  個人データを取り扱う従業者の役割と責任の明確化について、ガイドライン別添が示す項目に含まれないものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添の組織的安全管理措置（1）は、組織体制として整備する項目の例として、責任者の設置及び責任の明確化、個人データを取り扱う従業者及びその役割の明確化、当該従業者が取り扱う個人データの範囲の明確化、規律違反の事実又は兆候を把握した場合の責任者への報告連絡体制、漏えい等事…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ36中級中小規模事業者・組織体制の整備・責任ある立場の者

  中小規模事業者における組織体制の整備の手法例として、ガイドライン別添が示すものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添は、中小規模事業者における組織体制の整備の手法例として「個人データを取り扱う従業者が複数いる場合、責任ある立場の者とその他の者を区分する」ことを挙げています。中小規模事業者であっても安全管理措置を講じる義務自体は変わらず、手法が簡便な形で例示されているにすぎません…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ37上級規律に従った運用・取扱いの検証・記録の整備

  個人データの取扱いに係る規律に従った運用を確保するための記録として、ガイドライン別添が例示する項目に含まれないものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添の組織的安全管理措置（2）は、規律に従った運用を確保するため、システムログその他の記録の整備や業務日誌の作成等を通じて取扱いの検証を可能とすることを例示し、項目として個人情報データベース等の利用・出力状況、書類・媒体等の持ち運び等の状況、個人情報データベース等の削…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ38中級公表・二次被害の防止・代替措置

  漏えい等事案が発生した場合に事実関係や再発防止策を公表することの意義について、ガイドライン別添の記述として正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添の組織的安全管理措置（4）は「漏えい等事案が発生した場合、二次被害の防止、類似事案の発生防止等の観点から、事案に応じて、事実関係及び再発防止策等を早急に公表することが重要である」としています。法律上の義務ではなく「重要である」という位置づけですが、本人への通知が困…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ39上級マネジメントシステム・PDCA・継続的改善

  個人情報保護マネジメントシステムに関する一般的な考え方として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 個人情報保護マネジメントシステムは、方針の策定から計画・実施・点検・是正・見直しへと循環するPDCAサイクルにより継続的に改善する枠組みです。ガイドライン別添も、基本方針の策定、規律の整備、各種安全管理措置、取扱状況の把握及び安全管理措置の見直しという構成を採っており、同じ考え方…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ40中級最小権限の原則・アクセス制御・持ち出し統制

  従業者による個人データの持ち出しを防ぐ組織的な対策として、最も適切でないものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 全従業者に全データへのアクセス権を与えることは、最小権限の原則に反し、内部不正と誤操作の双方のリスクを高めます。ガイドライン別添は、組織体制の整備として従業者が取り扱う個人データの範囲の明確化を、技術的安全管理措置としてアクセス制御を求めています。持ち出しの手続と承認、ログの取得…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ41中級DoS攻撃・可用性・滅失

  DoS攻撃・DDoS攻撃の説明として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: DoS攻撃は大量の通信や高負荷の処理要求を送りつけてサービスを利用不能にする攻撃で、DDoS攻撃は多数の端末から分散して行うものです。情報セキュリティの三要素のうち可用性を損なう攻撃であり、個人情報保護法上は個人データの「滅失」に近い事態を生じさせ得ます。対策には通信量の監視、C…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ42上級SQLインジェクション・データベース・プレースホルダ

  SQLインジェクションの説明として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: SQLインジェクションは、Webアプリケーションの入力値に不正なSQL文を混入させ、データベースの内容を不正に取得・改ざん・削除する攻撃です。個人データを保持するデータベースが標的となるため、大規模な漏えいにつながりやすい典型的な脅威です。対策としてはプレースホルダ（バインド機構…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ43中級XSS・エスケープ処理・セッション情報

  クロスサイトスクリプティング（XSS）の説明として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: クロスサイトスクリプティングは、Webアプリケーションの出力処理の不備を突いて不正なスクリプトを埋め込み、閲覧者のブラウザ上で実行させる攻撃です。セッション情報の窃取や偽の入力フォームの表示による情報詐取につながります。対策は出力時のエスケープ処理が基本で、これも技術的安全管理措…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ44上級多層防御・入口・内部・出口・標的型攻撃

  標的型攻撃に対する多層防御の考え方として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 多層防御は、侵入を防ぐ入口対策（メールフィルタリング、脆弱性管理）、侵入後の拡散を防ぐ内部対策（ネットワーク分割、権限の最小化、ログ監視）、情報の持ち出しを防ぐ出口対策（外部通信の監視・制限）を組み合わせる考え方です。標的型攻撃は入口を突破される前提で設計する必要があり、単一の対…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ45中級報告連絡体制・誤送信・漏えい等事案

  従業者が個人データを含むファイルを誤って外部に送信した場合の対応として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添の組織的安全管理措置（1）は、法や規律に違反している事実又は兆候を把握した場合の責任者への報告連絡体制、漏えい等事案の発生又は兆候を把握した場合の報告連絡体制の整備を求めています。個人での抱え込みは被害の拡大と報告義務の履行遅延を招きます。事案によっては法第26条…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ46上級従業者の教育・定期的な実施・役割に応じた内容

  組織における情報セキュリティ教育の実施方法として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添の人的安全管理措置は、従業者に個人データの適正な取扱いを周知徹底するとともに適切な教育を行わなければならないとし、定期的な研修等を手法として例示しています。役割によって扱う個人データやリスクが異なるため、内容を役割に応じて設計し、理解度を確認して改善につなげること…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ47中級報告連絡体制・違反の兆候・組織体制の整備

  個人データの取扱いに関する規律違反の兆候を把握した場合の対応について、ガイドライン別添が求めるものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添の組織的安全管理措置（1）は、組織体制として整備する項目の例に「法や個人情報取扱事業者において整備されている個人データの取扱いに係る規律に違反している事実又は兆候を把握した場合の責任者への報告連絡体制」を挙げています。兆候の段階から組織内で吸い上げる仕組みが求めら…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ48上級委託・リスクの残存・監督義務

  個人データを取り扱う業務のアウトソーシングにおけるリスクとして、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 委託により業務を外部に出しても、個人データについての法的責任は委託元に残ります（法第25条の監督義務）。委託先の安全管理水準が自社より低ければ、そこが供給網の弱点となり漏えいのリスクが生じます。リスク対応の分類でいえば、委託は必ずしもリスク移転にならず、契約と監督による統制が必要…

  根拠法令: 個人情報の保護に関する法律第25条

• ✓正解済み✗まだ正解していませんQ49中級インシデント対応・体制の整備・訓練

  インシデント対応体制（CSIRT等）の役割として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: インシデント対応体制は、検知から分析、封じ込め、復旧、再発防止までの一連の対応を担います。ガイドライン別添の組織的安全管理措置（4）は「漏えい等事案の発生又は兆候を把握した場合に適切かつ迅速に対応するための体制を整備しなければならない」と定めており、発生してから組成するのでは迅速…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ50上級個人情報管理台帳・記載項目・取扱状況の確認

  個人データの取扱状況を記録した台帳（個人情報管理台帳）に記載する項目として、ガイドライン別添が例示するものに含まれないものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添の組織的安全管理措置（3）は、個人データの取扱状況を確認する手段の整備として、個人情報データベース等の種類・名称、個人データの項目、責任者・取扱部署、利用目的、アクセス権を有する者等を記録した台帳等の整備を例示しています。従業者の人事評価は含まれません。

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ51中級基本方針・プライバシーポリシー・対外的表示

  組織における個人情報保護方針（プライバシーポリシー）の役割として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添は「個人データの適正な取扱いの確保について組織として取り組むために、基本方針を策定することが重要である」としており、法律上の義務ではありません。もっとも、対外的な信頼の確保と内部の行動基準という二つの機能を持ち、記載内容と実務が乖離すれば表示と実態の不一致という別…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ52上級職務分掌・内部統制・相互牽制

  組織内での個人データへのアクセス権の設計において、職務分掌の観点から最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 職務分掌は、一つの取引や処理を単独の担当者が完結できないようにすることで、不正と誤りの双方を抑止する内部統制の基本です。ガイドライン別添の組織的安全管理措置（1）も、責任者の設置と責任の明確化、従業者及びその役割の明確化を求めており、規模に応じた形での分掌が想定されています。中小…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ53中級見直し・業務変更・取扱状況の把握

  個人データを含む業務の変更時に必要な対応として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添の組織的安全管理措置（5）は、個人データの取扱状況を把握し、安全管理措置の評価、見直し及び改善に取り組まなければならないと定めています。業務内容や取り扱う個人データの範囲が変われば、想定されるリスクも変わるため、規律・体制・措置を見直す必要があります。定期的な見直…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ54上級リスク受容・残存リスク・責任者の判断

  リスク受容の判断について、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: すべてのリスクをゼロにすることは現実的でないため、対策後に残る残存リスクを評価し、許容できる水準であれば受容するという判断が行われます。この判断は組織としての意思決定であるため、責任者が明示的に行い、根拠とともに記録することが求められます。ガイドライン別添のリスクベースの考え方と…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ55中級委託先の監督・従業者の教育・契約と確認

  委託先で個人データを取り扱う従業者に対する教育について、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン（通則編）は、法第25条の委託先の監督として、委託契約に安全管理措置に関する事項を盛り込み、委託先における取扱状況を把握することを求めています。従業者の教育は安全管理措置の一環であるため、契約で実施を求め、監査等を通じて実施状況を確認することが望ましい対応です。

  根拠法令: 個人情報の保護に関する法律第25条

• ✓正解済み✗まだ正解していませんQ56上級再発防止策・原因分析・実施状況の確認

  漏えい等事案の再発防止策として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 再発防止は、原因分析に基づいて技術面と運用・人的側面の双方に手を打つことが基本です。個人の処分や注意喚起のみでは、同じ条件が残る限り再発します。ガイドライン別添の組織的安全管理措置（5）は、取扱状況の把握と安全管理措置の評価・見直し・改善への取組を求めており、実施状況の確認まで含…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ57中級変更管理・承認・記録の整備

  個人データを取り扱う情報システムの変更管理について、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 情報システムの変更は、意図しない権限の付与や設定の後退を招き、個人データの漏えいにつながることがあります。事前の影響評価、承認、記録という統制は、ガイドライン別添の組織的安全管理措置（2）が求める規律に従った運用と、その検証を可能とする記録の整備に対応します。本番環境での直接試行…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ58上級内部監査・外部監査・自己点検

  内部監査と外部監査の使い分けについて、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添の組織的安全管理措置（5）は、手法の例示として、個人データの取扱状況について定期的に自ら点検を行うこと、及び他部署等による監査を実施することを挙げています。自己点検は頻度と機動性に優れ、第三者的な監査は客観性と網羅性に優れるため、組み合わせることで実効性が高まりま…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ59中級苦情の処理・体制の整備・窓口の公表

  個人データの取扱いに関する苦情への対応体制について、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 法第40条第1項は個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならないと定め、同条第2項は必要な体制の整備に努めなければならないと定めています。いずれも努力義務ですが、苦情の受付窓口は法第32条第1項第4号及び施行令第10条第2号により本人の知り得る状態に置くべ…

  根拠法令: 個人情報の保護に関する法律第40条

• ✓正解済み✗まだ正解していませんQ60上級委託契約・契約終了後の措置・返還又は消去

  個人データを取り扱う委託先が破綻した場合に備えた対応として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン（通則編）は、委託契約に盛り込むことが望ましい事項として、契約終了後の措置を挙げています。委託先の破綻や契約終了時に個人データが放置されると、管理の及ばない状態で漏えいするおそれがあるため、返還又は復元不可能な方法での消去とその証明について、あらかじめ契約で定めておく…

  根拠法令: 個人情報の保護に関する法律第25条

• ✓正解済み✗まだ正解していませんQ61中級人為的ミス・ダブルチェック・システムによる制御

  個人データの取扱いにおける「人為的ミス」への対策として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 人為的ミスは漏えいの主要な原因であり、注意喚起や処分だけでは再発を防げません。手順の明確化、ダブルチェックといった運用面の統制に加え、宛先の自動検証や送信保留、権限による制限といったシステムによる制御を組み合わせることが有効です。ガイドライン別添の組織的・人的・技術的安全管理措置…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ62上級棚卸し・取扱状況の確認・リスクベース

  個人データの棚卸しを行う意義として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添の組織的安全管理措置（3）は、個人データの取扱状況を確認するための手段を整備しなければならないとし、台帳等の整備を例示しています。どこにどのような個人データがどの範囲で存在するかを把握して初めて、リスクに応じた必要かつ適切な措置を設計できます。頻度は法定されておら…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ63中級情報資産の分類・影響の大きさ・措置の配分

  個人データを含む情報資産の重要度分類について、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添は、安全管理措置の具体的な手法について、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、リスクに応じて必要かつ適切な内容とすべきとしています。要配慮個人情報を含むものなど影響の大きい情報資産により厚い措置を配分する考え方が、限られた資源の…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ64中級真正性・認証・識別と認証

  情報セキュリティにおける「真正性」の説明として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 真正性（Authenticity）は、利用者・プロセス・システム・情報が主張どおりのものであることを確実にする特性です。機密性・完全性・可用性に加えて用いられる要素で、認証によって担保されます。ガイドライン別添の技術的安全管理措置（2）が求めるアクセス者の識別と認証は、この真正性…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ65上級責任追跡性・ログ・アカウントの個別付与

  情報セキュリティにおける「責任追跡性」の説明として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 責任追跡性（Accountability）は、ある行為や事象が誰によって行われたかを事後に一意に追跡できる特性です。個人単位のアカウント付与とログの取得・保全によって担保されます。アカウントを共有するとこの特性が失われるため、ガイドライン別添の技術的安全管理措置（2）は識別した結…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ66中級規程の階層・基本方針・対策基準

  組織における情報セキュリティ規程の階層構造として、一般に適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 情報セキュリティ関連文書は、組織の姿勢を示す基本方針、遵守すべき具体的な基準を定める対策基準、現場の作業手順を定める実施手順という三層で整理されるのが一般的です。ガイドライン別添も、基本方針の策定と個人データの取扱いに係る規律（取扱規程）の整備を区別して示しており、同様の考え方に…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ67上級再委託・事前承諾・供給網の統制

  委託先における再委託を認める場合の統制として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン（通則編）は、委託契約に盛り込むことが望ましい事項として再委託に関する事項を挙げ、委託先が再委託を行う場合には、委託元が再委託先の取扱いを確認することが求められるとしています。事前承諾を要件とし、再委託先の実体と安全管理措置を把握することで、供給網の末端まで統制が及び…

  根拠法令: 個人情報の保護に関する法律第25条

• ✓正解済み✗まだ正解していませんQ68中級内部通報・報告連絡体制・早期把握

  個人データの取扱いに関する内部通報制度の意義として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添の組織的安全管理措置（1）は、規律に違反している事実又は兆候を把握した場合の責任者への報告連絡体制、及び漏えい等事案の発生又は兆候を把握した場合の報告連絡体制の整備を求めています。内部通報の窓口はこの体制の一部として機能し、早期把握と迅速な対応を可能にします。

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ69上級権限の付け替え・退職・異動・最小権限

  個人データを扱う業務の引継ぎ時の統制として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 異動や退職に伴い旧担当者の権限が残存すると、業務上の必要がないアクセスが可能な状態が続きます。ガイドライン別添の技術的安全管理措置（1）は、アクセス権により個人情報データベース等を取り扱う情報システムを使用できる従業者を限定することを求めており、権限の付与だけでなく削除の適時性も…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ70中級組織的安全管理措置・人的安全管理措置・補完関係

  組織的安全管理措置と人的安全管理措置の関係について、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添は、組織的安全管理措置として組織体制の整備、規律に従った運用、取扱状況の確認手段、漏えい等事案対応体制、取扱状況の把握と見直しを、人的安全管理措置として従業者の教育を掲げています。体制と規律を整えても従業者に理解されなければ機能せず、教育だけでも体制がなければ実行…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ71上級二次被害・なりすまし・早急な公表

  漏えい等事案における「二次被害」の例として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 二次被害とは、漏えいした情報が悪用されることで本人に生じるさらなる被害をいい、不正ログイン、なりすまし、漏えい情報を用いた精度の高いフィッシングの標的化などが典型です。ガイドライン別添の組織的安全管理措置（4）は、二次被害の防止等の観点から、事案に応じて事実関係及び再発防止策等を…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ72中級職務の分離・大量抽出・出力範囲の限定

  個人データを扱う業務における職務の分離が特に重要となる場面として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 大量抽出の実行と承認を同一人物が担えば、単独で大規模な持ち出しが可能になります。職務の分離により単独では完結しない構造を作ることが有効です。ガイドライン別添の組織的安全管理措置（1）は責任者の設置と役割の明確化を、技術的安全管理措置（4）は出力する情報を利用目的に応じた合理的な範…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ73上級委託先の選定・同等以上の措置・選定基準

  委託先の監督における「適切な委託先の選定」の判断基準として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン（通則編）は、委託先の選定に当たり、委託先の安全管理措置が少なくとも法第23条及びガイドライン別添で求められる水準に相当することを確認しなければならないとしています。価格や知名度、企業規模は直接の基準ではなく、実際に講じられている措置の内容が問われます。

  根拠法令: 個人情報の保護に関する法律第25条

• ✓正解済み✗まだ正解していませんQ74中級被害の拡大防止・初動・漏えい等の対応

  漏えい等事案の発生時に「被害の拡大防止」として最初に検討すべき措置として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン（通則編）は、漏えい等事案が発覚した場合に講ずべき措置として、事業者内部における報告及び被害の拡大防止を最初に挙げています。進行中の流出を止めなければ被害は増え続けるため、経路の遮断やアカウント停止が優先されます。再発防止や公表はその後の段階です。

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ75上級点検・取扱状況の把握・業務上の必要性

  個人データの取扱状況の点検において確認すべき事項として、最も適切でないものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 点検は個人データの取扱いが規律に従って行われているかを確認するものです。規程どおりの運用、アクセス権と実態の整合、保存期間を経過したデータの残存はいずれも点検対象です。従業者の私的なSNS投稿の内容を確認することは、業務上の必要性を超えた個人情報の取得となり得るため適切ではありま…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）