情報セキュリティマネジメント過去問題 平成30年春期 午後問1

問1 

個人情報の保護に関する法律への対応に関する次の記述を読んで,設問1〜3に答えよ。

 W社は,ヘルスケア関連商品の個人向け販売代理店であり,従業員数は300名である。組織は,営業部,購買部,情報システム部などで構成される。営業部には,営業企画課,及び販売業務を行う第1販売課から第15販売課までがある。
 W社では,5年前に最高情報セキュリティ責任者(CISO)を委員長とする情報セキュリティ委員会(以下,W社委員会という)を設置した。W社委員会の事務局は,情報システム部が担当している。また,各部の部長は,W社委員会の委員及び自部署における情報セキュリティ責任者を務め,自部署の情報セキュリティを適切に確保し,維持,改善する役割を担っている。各情報セキュリティ責任者は,自部署の情報セキュリティに関わる実務を担当する情報セキュリティリーダを選任する。
 W社委員会は,2015年に改正された個人情報の保護に関する法律(以下,保護法という)への対応の準備を各部で開始することを決定した。これを受けて,営業部では,情報セキュリティリーダである営業企画課のN課長が,情報システム部のS課長の支援を得て,保護法への対応の準備を進めることになった。
 W社では,国の個人情報保謎委員会が定めた個人情報の保護に関する法律についてのガイドライン(以下,保護法ガイドラインという)のうち,通則編及び匿名加工情報編への対応は必要であるが,それら以外の保護法ガイドラインへの対応が必要な事業は実施していないことをW社委員会で確認した。また,特定個人情報の取扱いについて検討が必要な場合は,人事担当者などを含めた検討の機会を別途設けることにし,今回の検討範囲からは除外することもW社委員会で確認した。

〔データベースの項目に関する調査及び検討〕
 営業部が主管するデータベース(以下,DBという)のうち,保護法への対応が必要なものには,表1に示す顧客情報DB及び表2に示す販売履歴情報DBがある。N課長とS課長は,これらのDBに絡納されているデータを調査した。
 N課長とS課長は,この調査結果を踏まえ,保護法及び保護法ガイドラインに基づき対応を検討した。次はそのときの会話である。
N課長:
肌質という項目には,アトピー性皮膚炎などの病歴が分かる名称が記録されている場合があります。病歴は,保護法に定められているように本人に対する不当な差別,偏見その他の不利益が生じないように,aとして特に注意して取り扱わなければいけません。
S課長:
aとそれ以外の個人情報とは,取扱いはどのように違うのですか。
N課長:
幾つか違いがあります。例えば,保護法及び保護法ガイドラインによれば,a以外の個人情報が記載された書面を本人から直接取得する場合は,利用目的のbが必要ですが,aを取得する場合は,取得することについて本人のcを得ることも必要です。ただし,幾つか注意すべき事項があります。ここでは,二つ説明します。
一つ目は,本人から適正に直接取得する場合です。その場合は本人が提供したことをもってcを得たと解されます。
二つ目は,法令に基づき取得する場合です。例えば会社がdに基づき従業員の健康診断を実施し,病状,治療などの情報を健康診断実施機関から取得するときは,本人のcを得ることは不要です。
〔PCに関する情報セキュリティ対策の検討〕
 営業部で使用する機器は,オフィスに設置したサーバ,デスクトップPC(以下,DPCという),電話,ファックスなどである。サーバには,顧客情報DB及び販売履歴情報DB,並びに提案書ひな形などの共有ファイルを格納している。サーバのデータのバックアップは,外部記憶媒体に格納し,キャビネットに保管している。
 W社の営業スタイルは,主として訪問販売であり,紙媒体による提案資料の提示や多数のサンプル品の持参など,旧態依然としたものである。そこで,営業部長は,売上拡大を図るために,営業スタイルの見直しと効果的なマーケティング計画の立案をN課長に指示した。
 営業スタイルについては,N課長は,モバイルPC(以下,MPCという)を活用することによって見直しをすることにした。MPCにはSFA(Sales Force Automation)ツールを導入し,訪問先でも在庫確認処理,受発注処理などを行えるようにする。
 N課長は,自社の営業部員が初めてMPCを携行することになることから,他社で発生したMPCの紛失・盗難などの情報セキュリティ事故を踏まえた情報セキュリティ対策を検討する必要があると考えた。そこで,S課長の協力を得て,MPCに関する情報セキュリティ対策を表3のとおりまとめてW社委員会に諮り,承認を得た。
 N課長は,DPCからのファイルの持出し,訪問先で更新したファイルのDPCへの取込みなどを迅速かつ確実に行うためのツールの要件を検討した。この要件をS課長に提示し,要件の実現方法の検討並びにツールの開発及び導入を依頼した。S課長は,検討の後,依頼どおりツールを開発し,導入した。
 さらに,N課長は,個人データの漏えい,滅失又は毀損が起こった場合を想定し,国の個人情報保護委員会が定めた"個人データの漏えい等の事案が発生した場合等の対応について"の告示に基づき,③国の個人情報保護委員会などに対して速やかに報告するように努めるべきとされている場合を明らかにし,社内規程に盛り込んだ。

〔マーケティング計画の立案の検討〕
 効果的なマーケティング計画の立案については,N課長は,顧客情報や販売履歴情報を分析し,顧客特性や販売チャネルなどに応じたマーケティングを検討することにした。
 Z社は,様々な業界のデータを保有するDB提供会社である。W社はZ社に販売履歴に関するデータを提供し,Z社からはW社と同じ業界及び他業界のデータも含めた分析結果を受領することにした。これによって,W社は,顧客特性に即した商品を提案できるようになり,販売活動の効率化が期待できる。
 N課長は,1か月分の販売履歴情報DB及び当該月末時点の顧客情報DBのデータを併合し匿名加工情報に加工したものを,翌月10日までにZ社に提供することにした。
 N課長は,匿名加工情報に加工する方法について,S課長に検討を依頼しており,本日,N課長はS課長から報告を受けた。次はそのときの会話である。
S課長:
検討の結果,匿名加工情報に加工できる目途がつきました。特定の個人を識別できる情報から,氏名は削除し,住所は記述の一部を削除します。また,極端に販売数量が大きい注文の販売履歴情報については,販売数量をあらかじめ定めた上限値に置き換えます。必要に応じて他の加工も行います。
N課長:
分かりました。ただし,④当社のマーケティングに有効な分析ができる匿名加工情報であることが必要です。実施する分析は,"商品ごとの同時に購入される他の商品の傾向の分析","年齢層ごとの年間を通じた売れ筋商品の傾向の分析","新商品ごとの発売開始後の月別販売数量推移と肌質との相関関係の分析","商品ごとの性別と年間販売数量との相関関係の分析"です。
S課長:
分かりました。それらの分析ができるように工夫します。ところで,Z社に匿名加工情報を取り扱ってもらう際に,注意してもらわなければならないことはありますか。
N課長:
保護法には⑤義務規定があるので注意する必要があります。ですが,Z社はコンプライアンス体制が整備されているので,当然理解していると考えられます。
 N課長は,営業部長の指示を実行し,半年後には,売上も対前年比で好調に推移し始めた。営業部長は,N課長の一連の取組みの成果を高く評価した。

設問1

本文中のadに入れる字句はどれか。それぞれの解答群のうち,保護法及び保護法ガイドラインに基づいたときに,最も適切なものを選べ。
a に関する解答群
  • 営業秘密
  • 機微情報
  • 個人データ
  • センシティブ情報
  • 保有個人データ
  • 要配慮個人情報
b に関する解答群
  • 開示
  • 公表
  • 主張
  • 通知
  • 提示
  • 明示
c に関する解答群
  • 回答
  • 共感
  • 信頼
  • 同意
  • 認識
d に関する解答群
  • 次世代育成支援対策推進法
  • 賃金の支払の確保等に関する法律
  • 労働安全衛生法
  • 労働基準法
  • 労働組合法
  • 労働契約法

解答選択欄

  • a:
  • b:
  • c:
  • d:

解答

  • a=
  • b=
  • c=
  • d=

解説

aについて〕
個人情報保護法では、本人の人種、信条、社会的身分、病歴、犯罪歴などの不当な差別や偏見その他の不利益が生じかねない個人情報について、その取扱いには特に配慮を要することを求めています。これらの個人情報を要配慮個人情報といいます。

病歴は要配慮個人情報に当たります。よってaには要配慮個人情報が入ります。

a=カ:要配慮個人情報

bcについて〕
個人情報の適正な取得及び利用目的の通知等については法第17条、第18条で規定されています。
まず個人情報取扱事業者が、個人情報(要配慮個人情報でない)を本人から直接取得する場合には、「あらかじめ、本人に対し、その利用目的を明示しなければならない(法第18条第2項)」と定めています。さらに要配慮情報の取得に当たっては、特定の場合を除き「あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。(法第17条第2項)」と定めています。この特定の場合とは、問題文でも説明されているように法令に基づく場合や、人の生命や財産の保護および公衆衛生のために必要な措置であるときなどです。

したがってbには明示が、cには同意が入ります。

b=カ:明示
 c=エ:同意

dについて〕
dでは会社が健康診断を行う法的根拠となっている法律名が問われています。

労働安全衛生法は、職場における労働者の安全と健康を守り、労働災害を防止することを目的とする法律です。
この法律の第66条では、「事業者は、労働者に対し、厚生労働省令で定めるところにより、医師による健康診断を行わなければならない。」とし、常時使用する従業員や条件を満たすパートやアルバイトを対象として健康診断を受けさせる義務を定めています。事業者に義務付けられている健康診断には「雇入時の健康診断」や及び1年以内ごとに1回行われる「定期健康診断」などがあります。

したがってdには労働安全衛生法が入ります。

d=ウ:労働安全衛生法

設問2

〔PCに関する情報セキュリティ対策の検討〕について,(1)〜(3)に答えよ。
(1) 表3中の下線①について,次の(@)〜(E)のうち,有効な順守事項だけを全て挙げた組合せを,解答群の中から選べ。
  1. BIOSパスワードなど電源起動時のパスワードを設定したMPCを携行する。
  2. MPCの液晶画面にのぞき見防止フィルタを取り付ける。
  3. MPCを携行しているときは,酒宴に参加しない。
  4. 移動中,電車の中で,MPCを網棚に置かない。
  5. 営業車から離れるときは,短時間でも車両内にMPCを放置しない。
  6. ハードディスクのデータをリモートで消去できる機能をもつMPCを携行する。
解答群
  • (@),(A),(B)
  • (@),(A),(E)
  • (@),(B),(C)
  • (A),(B),(C)
  • (A),(B),(C),(D)
  • (A),(C),(E)
  • (A),(E)
  • (B),(C)
  • (D),(E)

解答選択欄

  •  

解答

  •  

解説

  1. 誤り。盗難された際の情報保護を目的とする対策であり、盗難・紛失そのものには効果がありません。
  2. 誤り。社外におけるぞき見を防止するための対策であり、盗難・紛失そのものには効果がありません。
  3. 正しい。酒宴の席では判断力が低下するため、置き忘れてしまったり盗難に遭ったりする危険性も増します。MPCの携行を禁止することは、このようなリスクを回避するために有効です。
  4. 正しい。置き忘れによる紛失や他の乗客による盗難を防止するために有効です。
  5. 正しい。盗難を防止するために有効です。
  6. 誤り。盗難・紛失した際の事後対策であり、盗難・紛失そのものには効果がありません。
適切な組合せは「(B),(C),(D)」ですので「ケ」が正解です。
(2) 表3中の下線②について,確認できる機能を二つ,解答群の中から選べ。
解答群
  • MPC起動時のBIOS設定など,OS立上げ前の段階で,利用者が設定するパラメタと,管理者権限をもつ者が設定するパラメタとを分離する機能
  • MPC内のファイルへのアクセスについてのログを取得し,そのログの参照,変更,消去の権限を利用者に付与する機能
  • OSへのログインの成功時に,MPCに搭載されたカメラを使って操作者の写真を撮り,またその画像の更新や消去には管理者権限を必要とする機能
  • OSへのログインの成否をログに記録し,そのログの消去には管理者権限を必要とする機能
  • SFAツールへのログインの成否をログに記録し,そのログの消去には管理者権限を必要とする機能

解答選択欄

  •  
  •  

解答

  •  
  •  
※順不同

解説

  • パラメタの設定権限を分離しても、ファイルが読み取られたことを確認できるわけではありません。OSへのログインも記録できません。
  • ログの変更を消去する権限を利用者に与えてしまうと、閲覧者によってログが改ざんされてしまう恐れがあります。ログの完全性が保証されないならば、ファイルが読み取られたかどうかの事実をログから確認することは困難です。
  • 正しい。変更や消去ができない記録を用いて、第三者がOSにログインしたかどうかを確認することで、ファイルの読み取りの有無を検証できます。
  • 正しい。「ウ」と同様に、第三者がファイルを読み取れる状態にアクセスしたか否かを確認することで、情報漏えいの可能性を調査できます。
  • OSにログイン後、SFAツールにアクセスせずにファイルを読み取られた可能性を考えると、SFAツールへのログイン記録の確認だけでは不十分です。
したがって適切な対策は「ウ」と「エ」です。
(3) 本文中の下線③について,次の(@)〜(D)のうち,該当する場合だけを全て挙げた組合せを,解答群の中から選べ。
  1. 宛名及び送信者名だけの個人データが含まれている文書を,相手先のファックス番号を間違えて,他の会社に送信した場合
  2. 火災に遭い,顧客情報DBを格納したサーバのハードディスクが焼損し,顧客情報DBがバックアップも含め全て滅失した場合
  3. 顧客情報DBのデータ全てを印刷した顧客リストを紛失し,漏えいは確認できていないものの,そのおそれがある場合
  4. 高度な暗号化を施した顧客情報DBのデータを,委託先である印刷会社に送信しようとしたが,誤って別の会社に送信した場合
  5. システムへの登録前の顧客情報登録用シートを,顧客の氏名の五十音順に重ねて置いていて盗難に遭った場合
解答群
  • (@)
  • (@),(A)
  • (@),(B)
  • (@),(B),(C),(D)
  • (@),(B),(D)
  • (A)
  • (A),(B)
  • (B)
  • (C),(D)

解答選択欄

  •  

解答

  •  

解説

個人情報保護委員会が公表している「個人データの漏えい等の事案が発生した場合等の対応について」によれば、対応の対象となる事案は以下の3つです。
  • 個人データ(特定個人情報に係るものを除く。)の漏えい、滅失又は毀損
  • 加工方法等情報(匿名加工情報の加工の方法に関する情報等)の漏えい
  • 上記(1)又は(2)のおそれ
ただし、以下のいずれかに該当する場合には報告を要しないこととしています。
  • 実質的に個人データ又は加工方法等情報が外部に漏えいしていないと判断される場合
  • FAX若しくはメールの誤送信、又は荷物の誤配等のうち軽微なものの場合
これを踏まえて選択肢の事案が報告に値するかどうかを検討します。
  1. 宛名や送信者名だけでは個人を特定することは困難です。軽微な誤送信に当たるので報告の必要はありません。
  2. 個人情報が滅失していますが、外部への漏えいはないので報告の必要はありません。
  3. 正しい。紛失により外部への漏えいのおそれがあるため、報告を要する事案となります。
  4. 個人情報の誤送信ですが、その内容は暗号化されているので個人情報が外部に漏えいする可能性は極めて小さいと言えます。実質的に外部に漏えいしていないと判断できるので報告の必要はありません。
  5. 正しい。顧客情報の盗難により外部への漏えいのおそれがあるため、報告を要する事案となります。
適切な事案は「(B),(D)」ですので「ケ」が正解です。

設問3

〔マーケティング計画の立案の検討〕について,(1),(2)に答えよ。
(1) 本文中の下線④について,次の(@)〜(E)のうち,匿名加工情報に加工する適切な方法を四つ挙げた組合せはどれか。解答群のうち,最も適切なものを選べ。
  1. 顧客番号について,乱数などの他の記述を加えた上で,ハッシュ関数を使って変換する。
  2. 生年月日について,月日を削除して生年だけにする。
  3. 性別を削除する。
  4. 肌質について,特異なケースを除外するために,あらかじめ定めたしきい値よりも該当レコード数が少ない病歴の場合は,当該レコードを削除する。
  5. 販売年月日について,日を削除して販売年月だけにする。
  6. 販売番号について,1の位を四捨五入したものにする。
解答群
  • (@),(A),(B),(C)
  • (@),(A),(C),(D)
  • (@),(A),(D),(E)
  • (@),(B),(C),(D)
  • (@),(B),(C),(E)
  • (@),(B),(D),(E)
  • (@),(C),(D),(E)
  • (A),(B),(C),(D)
  • (B),(C),(D),(E)

解答選択欄

  •  

解答

  •  

解説

6つの項目のうち4つを答えとして選ぶので、不適切な2つを見つけます。

まず1つ目は「(B)性別を削除する。」です。なぜなら、Z社で実施する分析の中に"商品ごとの性別と年間販売数量との相関関係の分析"が含まれているからです。匿名加工情報にする際に性別を削除してしまうと、この分析が実施できません。

2つ目は「(E)販売番号について,1の位を四捨五入したものにする。」です。これを行ってしまうと、販売番号がまとめられ販売ごとの同時購入商品の特定ができなくなってしまい、分析対象である"商品ごとの同時購入される他の商品の傾向の分析"が実施できなくなってしまいます。

つまり(B),(E)を除いた「(@),(A),(C),(D)」が適切な組合せとなります。よって「イ」が正解です。
(2) 本文中の下線⑤について,次の(@)〜(E)のうち,Z社が保護法に定める努力義務規定以外の義務規定に違反するおそれがあるものだけを全て挙げた組合せを,解答群の中から選べ。
  1. 複数の会社(W社及びW社以外の会社)から受領した匿名加工情報と気象情報との相関を取って,新たな統計情報として作成し,販売した。
  2. 複数の会社(W社及びW社以外の会社)から受領した匿名加工情報へのアクセス権の設定などの安全管理措置を講じたにもかかわらず,その措置の公表を正当な理由なく1年を超えて怠った。
  3. 元の本人を識別するために,W社から受領した匿名加工情報と,他の会社から受領した情報との照合を行ったところ,数百件程度,識別に成功した。
  4. 元の本人を識別するために,W社から受領した匿名加工情報と,他の会社から受領した情報との照合を試みたが,結果は全て失敗した。
  5. 元の本人を匿名加工情報から識別するために,書面での秘密保持契約を交わした上で,W社が用いた加工方法を,W社から有償で取得した。
  6. 元の本人を匿名加工情報から識別するために,書面での秘密保持契約を交わすことなく,口頭での合意の上で,W社が用いた加工方法を,W社から無償で取得した。
解答群
  • (@),(A),(B)
  • (@),(A),(B),(C)
  • (@),(A),(B),(C),(D)
  • (@),(B),(C),(D),(E)
  • (@),(B),(E)
  • (A),(B),(E)
  • (B),(C),(D),(E)
  • (B),(C),(E)
  • (D),(E)

解答選択欄

  •  

解答

  •  

解説

個人情報保護法第38条では、匿名加工情報取扱事業者の義務として、匿名加工情報を取り扱うに当たっては、本人を識別するために加工の方法に関する情報を取得したり、その匿名加工情報を他の情報と照合したりしてはならないと定めています。

つまり、元の本人識別のため他の会社から受領した情報との照合を行った(B),(C)、およびW社が匿名加工情報を作成した際の加工方法を取得した(D),(E)の行為は、個人情報保護法に定める義務規定に違反していると判断できます。

適切な組合せは「(B),(C),(D),(E)」ですので「キ」が正解です。
© 2015-2019 情報セキュリティマネジメント試験ドットコム All Rights Reserved.

Pagetop