個人情報保護士認定試験 オフィス・情報システムセキュリティ 練習問題 第29問: 個人データを取り扱う情報システムの権限設計について、最も適切なものはどれか。

正解: 4. 業務上必要な最小限の権限のみを付与し、定期的に棚卸しする

最小権限の原則は、各利用者に業務遂行上必要な最小限の権限のみを与える考え方です。付与された権限は異動や業務変更により実態と乖離していくため、定期的な棚卸しが必要です。ガイドライン別添の技術的安全管理措置（1）は、担当者及び取り扱う個人情報データベース等の範囲を限定するための適切なアクセス制御を求めています。

根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

関連キーワード: 最小権限の原則・権限の棚卸し・アクセス制御