基本情報技術者 2010年 秋期 午後 問06

　プロジェクトでは、まず委託元であるX社内での対応を検討することにした。次の記述中のに入れる正しい答えを、解答群の中から選べ。 　 　プロジェクトでは、“個人情報の保護に関する法律についての経済産業分野を対象とするガイドライン”（以下、ガイドラインという）に沿った管理水準で検討を進めることにした。 　個人データの取扱いの委託に当たっては、法とガイドラインに基づく安全管理措置（表にその概要を示す）を委託先に遵守させるために必要なaし、業務開始後は委託元がbする必要がある。

　業務①〜③について、リスクに対する費用対効果の面から総合的に検討した。その結果、業務①については機器の買換えではなく外部委託とすることにした。 　一方、業務②及び③については社内処理を継続することにした。その理由として、例えば表の安全管理措置のうち技術的安全管理措置について、cなどの対応を考慮する必要があったことによる。 　プロジェクトとしてこのように結論を出し、役員に報告した。 　 a, bに関する解答群 　ア：委託先の運用担当者を任命 　イ：委託先の従業者を監督 　ウ：契約を締結 　エ：個人データの取扱状況を監督 　 cに関する解答群 　ア：X社内の個人データを委託先からアクセスする際の安全性を確保するためにシステムを改修する 　イ：X社の管理水準を満たす専用作業室を委託先に新たに確保する 　ウ：X社の従業者が委託先の個人情報保護管理者となるために委託先で常駐する 　エ：X社の従業者が委託先のシステム運用方法の指揮・命令体制を整備する

　プロジェクトでは、次に委託先での安全管理措置の現状を調査することにした。次の記述中のに入れる正しい答えを、解答群の中から選べ。 　 　役員の承認を受けて業務①の外部委託が決まり、委託先は印刷・発送業のY社に内定した。また、Y社での印刷・発送に必要なデータだけを、X社の基幹サーバから抽出してY社のファイルサーバへネットワーク経由で暗号化して送信する方式とした。 　個人データの安全管理措置は、現在のX社での管理水準をY社においても維持する必要がある。そこで、プロジェクトではX社における規程や手続の要件を文書にまとめてY社の運用管理者に提示した。また、サービス開始前にY社の作業現場に行って現状調査を実施することで合意した。 　後日、プロジェクトのメンバがY社の作業現場を訪問し、Y社の運用管理者と一緒に現状調査を実施した。現状調査の結果、次の問題点①〜④が発見された。 　 〔問題点〕 　① 印字不良などで廃棄する、個人情報を含む印刷物は、鍵の付いた個人情報専用の廃棄箱に入れて保管し、定期的に廃棄処分をしている。しかし、この廃棄箱の鍵の保管管理が十分でなく、管理者の帰宅後はだれでも鍵を使用できる状態にある。 　② ファイルサーバに対する設定変更などの特権操作は、電算室内の運用管理者席にあるシステム保守用端末だけで実行できる。しかし、この端末で行われた特権操作の内容は記録していない。 　③ ファイルサーバへのログインは利用者IDとパスワードで認証しているが、認証後は、サーバ内のどのファイルも参照が可能である。 　④ ファイルサーバへのログインは、すべて記録されるが、個々のファイルへのアクセスは、機能上の理由で記録していない。 　 　プロジェクトのメンバとY社の運用管理者は、問題点について次のとおり確認した。 　(1) 問題点①〜④のうち、問題点dを除くほかの三つの問題点は、技術的安全管理措置の問題である。 　(2) 問題点①について、この問題を放置しておくとeというリスクがある。 　(3) 問題点②及び④について、これらの問題を放置しておくとfというリスクがある。 　 　Y社では、この現状調査の結果をガイドラインに沿ってまとめて改善計画を作成すること、及び改善計画の実施結果をX社に報告することを確約した。 　 dに関する解答群 　ア：① 　イ：② 　ウ：③ 　エ：④ 　 e, fに関する解答群 　ア：個人情報を含む媒体を持ち出せる 　イ：誤操作や不正操作の発見が困難になる 　ウ：システム障害の原因となる 　エ：利用者認証機能をう回できる