オフィス・情報システムセキュリティ

✓全476問・解説・間違い直しは登録不要・無料。無料登録で進捗をクラウド保存。模試・期日復習・弱点分析は Premium (月480円)

• ✓正解済み✗まだ正解していませんQ1初級技術的安全管理措置・4つの措置・人的安全管理措置との区別

  技術的安全管理措置として、ガイドライン（通則編）別添が掲げる措置に含まれないものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添は技術的安全管理措置として、①アクセス制御、②アクセス者の識別と認証、③外部からの不正アクセス等の防止、④情報システムの使用に伴う漏えい等の防止、の4つを掲げています。従業者に対する定期的な研修は人的安全管理措置（従業者の教育）の手法の例示です。区分の取り違えは頻…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ2中級アクセス制御・最小権限の原則・ユーザーID

  アクセス制御について、ガイドライン（通則編）別添上、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添の技術的安全管理措置（1）は「担当者及び取り扱う個人情報データベース等の範囲を限定するために、適切なアクセス制御を行わなければならない」と定めています。手法の例示として、個人情報データベース等を取り扱うことのできる情報システムを限定すること、ユーザーIDに付与する…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ3中級識別と認証・ユーザーID・パスワード・ICカード

  アクセス者の識別と認証について、ガイドライン（通則編）別添が例示する手法として最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添の技術的安全管理措置（2）は、個人データを取り扱う情報システムを使用する従業者が正当なアクセス権を有する者であることを、識別した結果に基づき認証しなければならないとし、手法の例示としてユーザーID、パスワード、磁気・ICカード等を挙げています。入退室管理システムや…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ4初級不正アクセスの防止・ファイアウォール・導入と運用

  外部からの不正アクセス等の防止について、ガイドライン（通則編）別添上、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添の技術的安全管理措置（3）は「個人データを取り扱う情報システムを外部からの不正アクセス又は不正ソフトウェアから保護する仕組みを導入し、適切に運用しなければならない」と定めています。導入だけでなく適切な運用まで求められる点が重要で、手法の例示としてはファイアウォール…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ5中級情報システムの使用・暗号化・出力範囲の限定

  情報システムの使用に伴う漏えい等の防止について、ガイドライン（通則編）別添が例示する手法として適切でないものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添の技術的安全管理措置（4）は、情報システムの使用に伴う個人データの漏えい等を防止するための措置を講じ、適切に運用しなければならないとし、手法の例示として通信経路又は内容の暗号化、移送する個人データの暗号化、出力範囲を利用目的に応じた合理的な範囲に限ることなどを挙げ…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ6中級パスワード管理・パスワードリスト攻撃・使い回しの禁止

  パスワード管理として、一般に適切でないものはどれか。

  →
  ▶答えと解説を先に見る

  解説: パスワードの使い回しは、あるサービスから漏えいした認証情報を用いて他のサービスへの不正ログインを試みるパスワードリスト攻撃の被害を拡大させるため、一般に不適切とされます。ガイドライン別添は識別・認証の手法としてユーザーIDとパスワードを挙げていますが、その運用として推測されにくい…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ7上級パスワードリスト攻撃・多要素認証・ブルートフォース攻撃

  パスワードリスト攻撃の説明として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: パスワードリスト攻撃（リスト型アカウントハッキング）は、他のサービスから漏えいしたIDとパスワードの組合せのリストを用いて、別のサービスへの不正ログインを試みる攻撃です。利用者がパスワードを使い回していると成立します。選択肢1はブルートフォース攻撃、選択肢3はパスワードスプレー攻…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ8中級多要素認証・知識・所持・生体・多段階認証との違い

  多要素認証について、正しいものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 多要素認証は、本人だけが知っている知識情報（パスワード、暗証番号）、本人だけが持っている所持情報（ICカード、スマートフォン、トークン）、本人自身の特徴である生体情報（指紋、静脈、顔）のうち、異なる2つ以上の要素を組み合わせる認証方式です。パスワードを2回入力させるのは同じ知識情…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ9初級取扱区域・のぞき込み防止・座席配置

  オフィスにおける物理的セキュリティ対策として、取扱区域の管理手法の例に当たるものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添の物理的安全管理措置（1）は、管理区域と取扱区域を区別し、取扱区域の管理手法の例として「間仕切り等の設置、座席配置の工夫、のぞき込みを防止する措置の実施等による、権限を有しない者による個人データの閲覧等の防止」を挙げています。ICカードによる入退室管理は管理区域の…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ10中級クリアデスク・クリアスクリーン・画面ロック

  クリアデスク・クリアスクリーンの考え方について、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: クリアデスクは離席時や退勤時に個人データが記載された書類等を机上に放置せず施錠できるキャビネット等に保管すること、クリアスクリーンは離席時に画面をロックし、あるいはスクリーンセーバーにパスワードを設定して表示内容を見られないようにすることをいいます。いずれもガイドライン別添の物理…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ11中級持ち運び・暗号化・私物媒体の禁止

  個人データが記録された電子媒体を外部に持ち出す際の措置として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添の物理的安全管理措置（3）は、個人データが記録された電子媒体又は書類等を持ち運ぶ場合、容易に個人データが判明しないよう安全な方策を講じなければならないとし、手法の例示としてデータの暗号化やパスワードによる保護、封緘、目隠しシールの貼付を挙げています。私物媒体の使用…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ12上級ランサムウェア・バックアップ・オフライン保管

  ランサムウェアへの対策として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ランサムウェアは端末やサーバ上のデータを暗号化して使用不能にし、復旧と引き換えに金銭を要求するマルウェアです。個人情報保護法上は個人データの「毀損」に当たり得ます。有効な対策は、定期的なバックアップの取得と、バックアップをネットワークから分離して保管すること（オフライン保管）です…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ13中級初動対応・ネットワークからの隔離・漏えい等事案対応体制

  不正アクセスを受けた場合の初動対応として、一般に最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 不正アクセスやマルウェア感染を検知した場合の初動は、被害の拡大防止のために当該機器をネットワークから隔離することが基本です。初期化は原因究明に必要な証拠（ログやメモリの状態）を失わせるため避けるべきとされます。ガイドライン別添の組織的安全管理措置（4）は、漏えい等事案の発生又は兆…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ14上級ログ・取扱いの検証・内部不正の抑止

  ログの取得と管理について、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添の組織的安全管理措置（2）は、規律に従った運用を確保するため、システムログその他の個人データの取扱いに係る記録の整備や業務日誌の作成等を通じて取扱いの検証を可能とすることを例示しています。ログは取得するだけでなく、定期的に確認し、かつ操作者自身が改ざんできないよう…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ15中級委託先の監督・選定・契約・把握・個人情報の保護に関する法律第25条

  委託先の選定・監督において確認すべき事項として、最も適切でないものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン（通則編）は、法第25条の委託先の監督として、適切な委託先の選定、委託契約の締結、委託先における個人データの取扱状況の把握を求めています。委託先の安全管理措置が法第23条に基づき事業者自らが講ずべき措置と同等であることを確認し、契約に安全管理措置や再委託の条件、報告義…

  根拠法令: 個人情報の保護に関する法律第25条

• ✓正解済み✗まだ正解していませんQ16上級クラウド・第三者提供該当性・安全管理措置

  クラウドサービスを利用して個人データを保存する場合について、ガイドライン上の考え方として最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 個人情報保護委員会のQ&Aは、クラウドサービス提供事業者が当該個人データを取り扱わないこととなっている場合には、当該事業者に個人データを提供したことにはならないとしています。この場合、法第27条の第三者提供にも法第25条の委託にも当たりませんが、自らが果たすべき安全管理措置として…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ17初級誤送信対策・BCC・ダブルチェック

  電子メールの誤送信を防ぐ対策として、最も適切でないものはどれか。

  →
  ▶答えと解説を先に見る

  解説: メールの誤送信は個人データの漏えいの典型的な原因です。宛先確認手順の整備、複数名によるダブルチェック、送信保留機能の利用、大量送信時のBCC利用などが有効な対策です。自動補完に任せて確認を省略することは、宛先の取り違えを招く代表的な要因であり不適切です。TOやCCに多数の宛先を入…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ18中級廃棄・シュレッダー・溶解

  個人データを含む書類の廃棄方法として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添の物理的安全管理措置（4）は、個人データが記録された機器・電子媒体等を廃棄する場合は復元不可能な手段で行わなければならないと定めており、書類についても同様の考え方が及びます。手法の例示として焼却、溶解、シュレッダー処理等が挙げられています。手で破いた程度では復元可…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ19上級テレワーク・BYOD・公衆無線LAN

  テレワーク環境における個人データの取扱いについて、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: テレワークであっても、個人データを取り扱う以上、法第23条の安全管理措置は同様に及びます。ガイドライン別添が示す区域の管理、機器の盗難等の防止、持ち運び時の措置、アクセス制御などを、自宅等の環境に応じて講じる必要があります。私物端末（BYOD）を用いる場合も事業者の監督責任は免れ…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ20中級管理区域・入退室管理システム・持ち込む機器の制限

  入退室管理について、ガイドライン（通則編）別添が管理区域の手法例として挙げているものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添の物理的安全管理措置（1）は、管理区域の管理手法の例として「入退室管理及び持ち込む機器等の制限等」を挙げ、入退室管理の方法としてICカード、ナンバーキー等による入退室管理システムの設置等が考えられるとしています。のぞき込み防止は取扱区域の手法例、暗号化とアクセス権…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ21中級盗難等の防止・施錠できるキャビネット・セキュリティワイヤー

  機器及び電子媒体等の盗難等の防止について、ガイドライン別添が示す手法の例として最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添の物理的安全管理措置（2）は、個人データを取り扱う機器、電子媒体及び書類等の盗難又は紛失等を防止するために適切な管理を行わなければならないとし、手法の例示として、施錠できるキャビネット・書庫等への保管、盗難防止用のセキュリティワイヤー等による固定を挙げています。

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ22上級バックアップ・分離保管・復旧検証

  バックアップの取得と保管について、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: バックアップは、個人データの滅失・毀損を防ぐ可用性・完全性の対策です。原本と同じ場所に置くと同一の災害や攻撃で同時に失われるため、地理的又は論理的に分離した場所への保管が求められます。取得しただけで復旧できないケースは実際に多く、定期的な復旧手順の検証が重要です。バックアップ自体…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ23中級ID管理・退職時の削除・棚卸し

  情報システムの利用者IDの管理について、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 退職者や異動者のIDが残存していると、不正アクセスの入口となります。ガイドライン別添の技術的安全管理措置（1）はアクセス制御として、ユーザーIDに付与するアクセス権により個人情報データベース等を取り扱う情報システムを使用できる従業者を限定することを求めており、これは不要となったI…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ24上級ログの保全・改ざん防止・証跡

  アクセスログの保全について、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ログは事後の追跡と内部不正の抑止に不可欠です。操作者本人が自由に編集できる状態では証跡としての価値がないため、書き込み専用領域への保存や別サーバへの転送等により改ざんを防ぐ必要があります。ガイドライン別添の組織的安全管理措置（2）は、システムログ等の記録の整備を通じて個人データの…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ25中級無線LAN・暗号化方式・ネットワーク分離

  無線LANを利用して個人データを扱う場合の対策として、最も適切でないものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 初期設定のパスワードは公開情報であることが多く、そのまま運用することは重大な脆弱性となります。無線LANでは強度の高い暗号化方式の採用、ネットワークの分離、接続機器の限定が基本的な対策です。ガイドライン別添の技術的安全管理措置（3）は、外部からの不正アクセス等から情報システムを保…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ26上級端末の紛失・暗号化・遠隔消去

  端末の紛失・盗難に備えた対策として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 端末の紛失・盗難は個人データ漏えいの典型的な原因です。ディスク全体の暗号化により第三者による読み出しを防ぎ、画面ロックにより即時の閲覧を防ぎ、遠隔消去により被害を限定します。ガイドライン別添の物理的安全管理措置（3）は、持ち運ぶ場合に容易に個人データが判明しないよう安全な方策を講…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ27中級脆弱性管理・修正プログラム・サポート終了

  ソフトウェアの更新について、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 既知の脆弱性は攻撃者にとって最も容易な侵入口です。修正プログラムの速やかな適用と、サポートが終了した製品の使用停止は基本的な対策です。ガイドライン別添の技術的安全管理措置（3）は、機器やソフトウェア等に標準装備されている自動更新機能等の活用によりソフトウェア等を最新状態とすること…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ28上級ファイル授受・暗号化・別経路でのパスワード伝達

  個人データを含むファイルを外部と授受する方法として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 個人データを外部と授受する際は、ファイルの暗号化に加え、復号に必要なパスワードを別の経路（電話やSMS等）で伝えることが基本です。同じメールにパスワードを記載する方法は、そのメールが誤送信・傍受されれば意味をなさないため不適切とされ、近年は廃止する組織が増えています。公開設定のク…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ29中級最小権限の原則・権限の棚卸し・アクセス制御

  個人データを取り扱う情報システムの権限設計について、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 最小権限の原則は、各利用者に業務遂行上必要な最小限の権限のみを与える考え方です。付与された権限は異動や業務変更により実態と乖離していくため、定期的な棚卸しが必要です。ガイドライン別添の技術的安全管理措置（1）は、担当者及び取り扱う個人情報データベース等の範囲を限定するための適切な…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ30上級取扱区域の管理・のぞき見防止・入退室記録

  個人データを扱う執務室の物理的対策として、最も適切でないものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 個人データを表示した画面が外部や権限のない者から見える位置にあることは、のぞき見による漏えいのリスクを生みます。ガイドライン別添の物理的安全管理措置（1）は、取扱区域の管理手法として、間仕切り等の設置、座席配置の工夫、のぞき込みを防止する措置の実施等による権限を有しない者による個…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ31中級廃棄・復元不可能・データ消去ソフト

  電子媒体の廃棄について、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ファイルの削除やフォーマットではデータの実体が残り、復元ソフトにより読み出される場合があります。ガイドライン別添の物理的安全管理措置（4）は、個人データを削除し又は機器・電子媒体等を廃棄する場合は復元不可能な手段で行わなければならないとし、手法の例示として専用のデータ削除ソフトウ…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ32上級情報システムの使用・暗号化・出力範囲の限定

  情報システムの使用に伴う漏えい等の防止として、ガイドライン別添が例示する手法に含まれないものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添の技術的安全管理措置（4）は、手法の例示として、情報システムの設計時に安全性を確保し継続的に見直すこと、個人データを含む通信の経路又は内容を暗号化すること、移送する個人データの内容を暗号化すること、個人データを取り扱う情報システムにおいて出力する情報を利用目的に応…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ33中級入退室管理・記録事項・不要な取得の回避

  入退室管理において記録すべき事項として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 入退室管理の記録は、誰がいつどのような目的で管理区域に立ち入ったかを事後に追跡できるようにするためのものです。家族構成や年収、趣味は目的と無関係であり、収集すれば不要な個人情報の取得となります。ガイドライン別添の物理的安全管理措置（1）は、管理区域の管理手法として入退室管理及び持…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ34上級クラウド・契約上の定め・アクセス制御

  個人データを取り扱う情報システムの外部委託（クラウド含む）における確認事項として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 個人情報保護委員会のQ&Aは、クラウドサービス提供事業者が個人データを取り扱わないこととなっている場合には提供に当たらないとしつつ、自らが果たすべき安全管理措置として、契約により事業者が個人データを取り扱わない旨が定められ、適切にアクセス制御が行われていること等を確認する必要があ…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ35中級持ち運び・封緘・目隠しシール

  持ち運ぶ電子媒体の安全な方策として、ガイドライン別添が例示するものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添の物理的安全管理措置（3）は、持ち運ぶ場合に容易に個人データが判明しないよう安全な方策を講じなければならないとし、手法の例示として、持ち運ぶ個人データの暗号化、パスワードによる保護、封緘、目隠しシールの貼付を挙げています。中小規模事業者についても同様の例示が示され…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ36上級多要素認証・認証強化・識別と認証

  個人データを扱う情報システムにおける認証強化として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 外部からのアクセスや管理者権限の行使など、リスクの高い場面では多要素認証の適用が有効です。パスワードの最小文字数を極端に短くすることや使い回しの推奨は、総当たり攻撃やパスワードリスト攻撃を容易にします。ガイドライン別添の技術的安全管理措置（2）は、正当なアクセス権を有する者である…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ37中級BYOD・私物端末・従業者の監督

  私物端末の業務利用（BYOD）について、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 私物端末であっても、そこで個人データを取り扱う以上、法第23条の安全管理措置と法第24条の従業者の監督が及びます。利用を認める場合には、対象範囲、認められる操作、暗号化や画面ロックの必須化、紛失時の対応といった条件を定め、事業者が監督する必要があります。管理できない場合は業務利用…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ38上級印刷物の管理・認証印刷・放置の禁止

  個人データを含む印刷物の管理について、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 共用プリンタに出力した個人データを含む印刷物の放置は、権限のない者による閲覧・持ち去りを招きます。印刷後の速やかな回収、認証印刷（本人が端末で認証して初めて出力される仕組み）の導入、施錠保管が有効です。ガイドライン別添の物理的安全管理措置（2）は、機器・電子媒体・書類等の盗難又は…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ39中級テレワーク・VPN・通信の暗号化

  個人データを扱う業務のテレワークにおける通信の安全確保として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 公衆無線LANは盗聴や中間者攻撃のリスクがあるため、個人データを扱う通信をそのまま流すことは不適切です。VPN等により通信経路を暗号化することが基本です。ガイドライン別添の技術的安全管理措置（4）は、個人データを含む通信の経路又は内容を暗号化することを手法として例示しています。

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ40上級監視・検知と対応・運用

  情報システムの監視について、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 監視は、検知して初めて対応が可能になるという意味で安全管理措置の要です。ガイドライン別添の技術的安全管理措置（3）は、外部からの不正アクセス等から保護する仕組みを導入し「適切に運用しなければならない」としており、導入だけでは足りません。組織的安全管理措置（4）は、漏えい等事案の発…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ41中級アクセス制御・操作単位の権限・最小権限

  データベースへのアクセス権限の設計について、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: アクセス制御は、誰がどの個人データに対してどのような操作を行えるかを限定するものです。参照はできても更新・削除はできないといった操作単位の制御により、誤操作と不正の双方のリスクを下げられます。ガイドライン別添の技術的安全管理措置（1）は、担当者及び取り扱う個人情報データベース等の…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ42上級テストデータ・擬似データ・試験環境の統制

  個人データを含むテストデータの取扱いについて、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 試験環境は本番環境より統制が緩いことが多く、本番の個人データを持ち込むと漏えいのリスクが高まります。擬似データの利用や、匿名加工・仮名加工を施したデータの利用が推奨されます。試験環境であっても個人データを取り扱う限り法第23条の安全管理措置が及び、不要になったテストデータは復元不…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ43中級バックアップ媒体・施錠保管・暗号化

  個人データを含むシステムのバックアップ媒体の管理について、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: バックアップ媒体にも個人データが含まれる以上、本体と同等の安全管理措置が必要です。ガイドライン別添の物理的安全管理措置（2）は機器及び電子媒体等の盗難等の防止として施錠できるキャビネット等への保管を、同（3）は持ち運ぶ場合の暗号化等を求めています。バックアップは災害対策として分離…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ44上級資産管理・台帳・棚卸し

  個人データを取り扱う端末の資産管理について、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: どの端末で個人データが取り扱われているかを把握していなければ、盗難・紛失時の影響範囲を特定できません。台帳による資産管理と定期的な棚卸しは、ガイドライン別添の組織的安全管理措置（3）が求める個人データの取扱状況を確認する手段の整備、及び物理的安全管理措置（2）の盗難等の防止の前提…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ45中級外部記憶媒体・利用制限・持ち運びの記録

  外部記憶媒体の利用制限について、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: USBメモリ等の外部記憶媒体は、大量の個人データを容易に持ち出せるため、漏えいの典型的な経路です。業務上必要な場合に限定し、許可された媒体のみを利用可能とする技術的制御と、利用状況の記録が有効です。ガイドライン別添の組織的安全管理措置（2）は、書類・媒体等の持ち運び等の状況を記録…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ46上級入退室記録・保存と確認・証跡

  入退室記録の保存と確認について、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 入退室記録は、事後に誰が管理区域に立ち入ったかを追跡するための証跡です。取得しても保存されていなければ、また保存されていても確認されなければ意味を持ちません。ガイドライン別添の組織的安全管理措置（2）は記録の整備を通じて個人データの取扱いの検証を可能とすることを、同（5）は取扱状…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ47中級アカウント共有の禁止・識別と認証・証跡

  個人データを扱うシステムのアカウント共有について、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: アカウントを共有すると、誰が操作したかを特定できなくなり、ログの証跡としての価値が失われます。ガイドライン別添の技術的安全管理措置（2）は、情報システムを使用する従業者が正当なアクセス権を有する者であることを識別した結果に基づき認証しなければならないと定めており、識別は個人単位で…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ48上級通信の暗号化・リスクベース・内部の脅威

  個人データを含む通信の暗号化について、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添の技術的安全管理措置（4）は、個人データを含む通信の経路又は内容を暗号化することを手法として例示しています。法令が一律に暗号化を義務づけているわけではなく、リスクに応じて必要かつ適切な措置を選ぶ枠組みです。社内網であっても内部不正や侵入後の横展開を想定すれば、暗号…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ49中級施錠保管・鍵の管理・盗難等の防止

  個人データを含む書類の施錠保管について、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添の物理的安全管理措置（2）は、個人データを取り扱う機器、電子媒体又は書類等を施錠できるキャビネット・書庫等に保管することを手法として例示しています。施錠しても鍵が誰でも持ち出せる状態では意味がないため、鍵の管理者を定め、貸出しの記録を残す運用が伴って初めて実効性を…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ50上級来訪者管理・入退室記録・閲覧の防止

  個人データを扱う執務室への来訪者対応として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 来訪者による持ち去りやのぞき見は現実的なリスクです。ガイドライン別添の物理的安全管理措置（1）は、管理区域について入退室管理及び持ち込む機器等の制限を、取扱区域について権限を有しない者による個人データの閲覧等の防止を求めています。来訪者は権限を有しない者に当たるため、同行や記録に…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ51中級廃棄の委託・証明書による確認・委託先の監督

  個人データを取り扱う機器の廃棄を外部に委託する場合の対応として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添の物理的安全管理措置（4）は、個人データを削除した場合又は機器・電子媒体等を廃棄した場合には、削除又は廃棄した記録を保存することや、作業を委託する場合には委託先が確実に削除又は廃棄したことについて証明書等により確認することが重要であるとしています。廃棄の委託も法第…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ52上級ネットワーク分割・多層防御・横展開の抑止

  ネットワークのセグメント分割の意義として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ネットワークをセグメントに分割し、個人データを扱うサーバ群を業務端末網から分離することで、端末が侵害された場合でも重要な区画への到達を難しくできます。これは多層防御の内部対策に当たり、ガイドライン別添の技術的安全管理措置（3）が求める外部からの不正アクセス等からの保護の一環として…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ53中級スマートフォン・アプリの導入制限・遠隔消去

  スマートフォンで個人データを扱う場合の対策として、最も適切でないものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 提供元が確認できないアプリの導入は、マルウェア混入や過剰な権限付与による情報漏えいのリスクを高めます。スマートフォンで個人データを扱う場合は、画面ロックと端末暗号化、業務領域と私的領域の分離、遠隔消去の手段の確保が基本です。ガイドライン別添の技術的安全管理措置（3）が求める不正ソ…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ54上級特権アカウント・申請・承認・操作記録

  個人データを扱うシステムの特権アカウント管理として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 特権アカウントは広範な操作が可能なため、侵害された場合の影響が最も大きくなります。利用者の限定、都度の申請・承認、操作記録の取得、通常業務での不使用が基本的な統制です。ガイドライン別添の技術的安全管理措置（1）のアクセス制御と、組織的安全管理措置（2）の記録による検証の考え方に沿…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ55中級共有設定・アクセス権の定期確認・最小権限

  個人データを含むファイルサーバの共有設定について、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 共有フォルダの権限設定は、組織変更や担当者の異動により実態と乖離しやすく、気づかないうちに広範な閲覧が可能になっていることがあります。必要最小限の付与と定期的な確認が必要です。ガイドライン別添の技術的安全管理措置（1）のアクセス制御に対応し、組織的安全管理措置（5）の見直しの対象…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ56上級証跡の保全・改ざん防止・原因究明

  個人データを扱う業務における証跡の保全について、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 証跡は事後の原因究明と責任の明確化を可能にします。事案発生後に作成することはできないため、平時から取得・保全しておく必要があります。改ざんが可能な状態では証跡としての信頼性を欠くため、書き込み専用領域や別サーバへの転送等の措置が有効です。ガイドライン別添の組織的安全管理措置（2）…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ57中級電子化・原本の取扱い・媒体を問わない措置

  個人データを扱う紙媒体のスキャン・電子化における注意点として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 媒体が変わっても個人データであることに変わりはなく、電子データにも法第23条の安全管理措置が及びます。電子化後の原本を放置すれば紙媒体からの漏えいリスクが残るため、保管か廃棄かを定めて運用する必要があります。廃棄する場合は復元不可能な方法によることがガイドライン別添の物理的安全管…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ58上級脆弱性診断・定期的な実施・計画的な是正

  個人データを扱うシステムの脆弱性診断について、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 脆弱性は新たに発見され続けるため、一度の診断で安全が確保されるわけではありません。定期的な診断と、検出された脆弱性の重要度に応じた計画的な是正が必要です。ガイドライン別添の技術的安全管理措置（3）は、外部からの不正アクセス等から保護する仕組みを導入し適切に運用することを求めており…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ59中級座席配置・のぞき込み防止・取扱区域

  個人データを扱う執務室の座席配置について、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添の物理的安全管理措置（1）は、取扱区域の管理手法として、間仕切り等の設置、座席配置の工夫、のぞき込みを防止する措置の実施等による、権限を有しない者による個人データの閲覧等の防止を挙げています。座席配置は費用をかけずに実施できる有効な物理的対策です。

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ60上級クラウド・アクセスログ・責任の所在

  クラウドサービス利用時のアクセスログの確認について、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: クラウドを利用しても、個人データの取扱いについての責任は利用者側に残ります。不正なアクセスや設定変更を検知するため、提供事業者のログ機能を有効にし、自社でも定期的に確認する必要があります。個人情報保護委員会のQ&Aも、クラウド利用時に適切にアクセス制御が行われていること等を確認す…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ61中級セキュリティ更新・自動更新・状況の把握

  個人データを扱う端末のセキュリティ更新について、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添の技術的安全管理措置（3）は、機器やソフトウェア等に標準装備されている自動更新機能等の活用により、ソフトウェア等を最新状態とすることを手法として例示しています。利用者任せでは未更新の端末が残るため、組織として更新状況を把握し、遅れている端末に対応する仕組みが必要で…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ62上級在宅勤務・書類の持出し・持出手続

  個人データを扱う業務の在宅勤務における書類の管理として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 自宅は事業者の物理的統制が及びにくいため、個人データを含む書類の持ち帰りは原則として避け、必要な場合には持出手続、施錠可能な保管方法、返却の記録を定める必要があります。ガイドライン別添の物理的安全管理措置（3）は、持ち運ぶ場合に容易に個人データが判明しないよう安全な方策を講じるこ…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ63中級アカウントロック・総当たり攻撃・可用性への配慮

  個人データを扱うシステムのアカウントロックについて、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: アカウントロックは、一定回数の認証失敗でログインを一時的に不可にすることで、総当たり攻撃やパスワードスプレー攻撃を抑止する仕組みです。ガイドライン別添の技術的安全管理措置（2）が求める識別と認証の実効性を高める措置に当たります。ただし過度に厳しい設定は正規利用者のロックアウトによ…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ64上級暗号化・鍵の分離管理・保存時と通信時

  個人データを含むデータベースの暗号化について、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 暗号化はデータ保存時（at rest）と通信時（in transit）の双方が検討対象です。ガイドライン別添の技術的安全管理措置（4）は通信の経路又は内容の暗号化、移送する個人データの暗号化を例示しています。鍵をデータと同じ場所に置けば同時に窃取されるため、鍵の分離管理が前提とな…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ65中級ウイルス対策・定義ファイル・導入と運用

  個人データを扱う端末のウイルス対策について、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添の技術的安全管理措置（3）は、外部からの不正アクセス又は不正ソフトウェアから保護する仕組みを導入し「適切に運用」しなければならないと定めています。導入だけでは足りず、定義ファイルの最新化、リアルタイム保護の有効化、定期スキャンといった運用が伴って初めて機能します。

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ66上級復旧テスト・バックアップ・可用性

  個人データを扱う情報システムのバックアップからの復旧テストについて、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: バックアップは取得できていても復旧できなければ意味がありません。媒体の劣化、手順の陳腐化、権限の不足などにより、いざというときに復旧できない事例は珍しくありません。定期的な復旧テストにより実効性を確認し、結果を記録して手順の改善につなげることが、個人データの可用性・完全性の確保に…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ67中級表示制御・マスキング・出力範囲の限定

  個人データを含む画面の表示制御について、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添の技術的安全管理措置（4）は、個人データを取り扱う情報システムにおいて、出力する情報を利用目的に応じた合理的な範囲に限ることを手法として例示しています。画面表示も出力の一形態であり、業務に不要な項目を表示しないこと、必要に応じてマスキングすることは、のぞき見や不要…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ68上級外部接続の管理・必要最小限の許可・出口対策

  個人データを扱う外部接続の管理として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 想定外の外部接続は、侵入経路にも情報の持ち出し経路にもなります。接続経路を把握し、必要最小限のみを許可する考え方は、ガイドライン別添の技術的安全管理措置（3）が求める外部からの不正アクセス等からの保護の基本です。多層防御でいう出口対策にも対応します。

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ69中級受渡しの記録・持ち運び・検証可能性

  個人データを含む媒体の受渡しにおける記録について、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添の組織的安全管理措置（2）は、規律に従った運用を確保するため、個人データが記載又は記録された書類・媒体等の持ち運び等の状況を記録により検証可能とすることを例示しています。受渡しの記録は、紛失時の影響範囲の特定と責任の明確化に不可欠です。

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ70上級開発・保守・本番データへのアクセス制限・委託先の監督

  個人データを扱うシステムの開発・保守における留意点として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 開発・保守の担当者は広範な権限を持ちやすく、本番データにアクセスできる状態は大きなリスクです。委託して行う場合は法第25条の委託先の監督が及び、契約による安全管理措置の要求と取扱状況の把握が必要です。本番データへのアクセスは必要最小限に制限し、作業内容を記録することが求められます…

  根拠法令: 個人情報の保護に関する法律第25条

• ✓正解済み✗まだ正解していませんQ71中級レイアウト変更・のぞき込み防止・取扱区域

  個人データを扱う執務室のレイアウト変更時に確認すべき事項として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添の物理的安全管理措置（1）は、取扱区域について、間仕切り等の設置、座席配置の工夫、のぞき込みを防止する措置の実施等により、権限を有しない者による個人データの閲覧等を防止することを求めています。レイアウト変更はこの前提を崩し得るため、変更のたびに確認が必要です。

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ72上級クラウドの設定ミス・既定で非公開・定期確認

  個人データを扱うクラウドサービスの設定ミスによる公開について、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: クラウドストレージやデータベースの公開範囲の設定ミスは、実際に大規模な漏えいを繰り返し引き起こしています。既定で非公開とし、公開が必要な場合のみ明示的に許可する運用と、設定の定期確認が有効です。クラウドを利用しても個人データについての責任は利用者に残るため、設定は利用者の管理範囲…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ73中級印刷権限・大量出力の検知・出力記録

  個人データを扱う業務における印刷権限の管理として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 大量印刷は個人データの持ち出し手段になり得ます。ガイドライン別添の技術的安全管理措置（4）は、出力する情報を利用目的に応じた合理的な範囲に限ることを例示しており、印刷もその対象です。出力記録を残すことは、組織的安全管理措置（2）の取扱いの検証にも対応します。

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ74上級認証情報の保管・ハッシュ化・平文保存の禁止

  個人データを扱うシステムの認証情報の保管について、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 認証情報を平文で保存すると、漏えい時に即座に不正ログインへつながります。パスワードはハッシュ化して保管し、システム間の認証情報は設定ファイルへの平文記載を避けて秘密管理の仕組みを用いるのが基本です。ガイドライン別添の技術的安全管理措置は、識別と認証および情報システムの使用に伴う漏…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ75中級画面ロック・自動ロック・離席時の対策

  個人データを扱う端末の画面ロックの設定として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: 離席時の画面放置は、権限を有しない者による閲覧や操作を許します。無操作時の自動ロックと認証による解除は、手動での施錠忘れを補う基本的な措置です。ガイドライン別添の物理的安全管理措置（1）が求める権限を有しない者による閲覧等の防止と、技術的安全管理措置（2）の識別・認証の双方に関わ…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

• ✓正解済み✗まだ正解していませんQ76上級外部監査・第三者の視点・見直し

  個人データを扱う業務の外部監査を受ける意義として、最も適切なものはどれか。

  →
  ▶答えと解説を先に見る

  解説: ガイドライン別添の組織的安全管理措置（5）は、取扱状況の把握と安全管理措置の見直しの手法として、自ら行う定期的な点検に加え、他部署や外部の主体による監査の実施を例示しています。外部監査は内部では前提となってしまっている運用の乖離や盲点を発見できる点に価値があり、義務の免除や公表義…

  根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）