個人情報保護士認定試験 脅威と対策・組織的人的セキュリティ 練習問題 第40問: 従業者による個人データの持ち出しを防ぐ組織的な対策として、最も適切でないものはどれか。

正解: 4. すべての従業者に全データへのアクセス権を付与する

全従業者に全データへのアクセス権を与えることは、最小権限の原則に反し、内部不正と誤操作の双方のリスクを高めます。ガイドライン別添は、組織体制の整備として従業者が取り扱う個人データの範囲の明確化を、技術的安全管理措置としてアクセス制御を求めています。持ち出しの手続と承認、ログの取得と確認も有効な統制です。

根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

関連キーワード: 最小権限の原則・アクセス制御・持ち出し統制