安全管理措置（組織的・人的・物理的・技術的）とは？

安全管理措置（組織的・人的・物理的・技術的）の意味

個人データの漏えいなどを防ぐために事業者へ求められる措置。体制や規程を整える組織的、教育や誓約書による人的、施錠や持出制限による物理的、アクセス制御や暗号化による技術的の4つの区分で整理される。

安全管理措置（組織的・人的・物理的・技術的）の具体例

名簿を扱う部屋を施錠し入退室記録を残す（物理的）、閲覧できる担当者を限定する（技術的）、責任者と報告経路を定める（組織的）、入社時に取扱いの教育と誓約を行う（人的）、という組合せで実施する。

安全管理措置（組織的・人的・物理的・技術的）は試験でどう引っ掛けられる？

技術的な対策だけでは足りない。4区分のどれか1つに偏った選択肢は誤りになりやすい。また従業者への教育や監督も安全管理措置の一部であり、システム部門だけの仕事ではない。

安全管理措置（組織的・人的・物理的・技術的）と関連する用語

• 個人情報保護法
• 管理策
• セキュリティ教育

安全管理措置（組織的・人的・物理的・技術的）が出た過去問

• 経営者が社内のシステム監査人の外観上の独立性を担保するために講じる措置として、最も適切なものはどれか。

  正解：システム監査人の所属部署を内部監査部門とする。

  要点：外観上の独立性は被監査部門から独立した所属で担保する

  外観上の独立性とは、第三者から見て監査人が被監査部門から影響を受けない立場にあることをいう。監査人を被監査部門から切り離し、独立した内部監査部門に所属させることが、そのための組織的な措置になる。研修や知識要件の整備は能力の確保に役立つが、立場の独立性を担保するものではない。

  出典：令和1年度 春期 情報セキュリティマネジメント試験 午前 問37（IPA）

• 電子署名法に関する記述のうち，適切なものはどれか。

  正解：電子署名には，民事訴訟法における押印と同様の効力が認められる。

  要点：要件を満たす電子署名には押印と同様の推定効が生じる

  電子署名法では、本人だけが行える一定の要件を満たす電子署名が付された電磁的記録は、民事訴訟法上、本人の押印がある文書と同様に真正に成立したものと推定される。電子署名は電磁的記録に対して行われるものに限られ、認証業務は一定の基準を満たせば民間事業者も行える（認定認証業務の制度がある）。技術的には公開鍵暗号方式を用いるのが一般的で、共通鍵暗号に限定されるわけではない。

  出典：平成30年度 秋期 情報セキュリティマネジメント試験 午前 問33（IPA）

• RPAを活用することによって業務の改善を図ったものはどれか。

  正解：事務職員が人手で行っていた定型的かつ大量のコピー&ペースト作業をソフトウェアによって自動化し、作業時間の短縮と作業精度の向上を実現させた。

  要点：RPAはPC上の定型操作をソフトで自動化する技術

  RPAは、PC上で人が行っている定型的な操作をソフトウェアのロボットに代行させる技術である。転記やコピー&ペーストのような繰り返しの事務作業を自動化することで、処理時間の短縮と入力ミスの削減を同時に実現できる。物理的な装置や統計解析による意思決定支援はRPAの領域ではない。

  出典：令和1年度 秋期 情報セキュリティマネジメント試験 午前 問48（IPA）

• 緊急事態を装って組織内部の人間からパスワードや機密情報を入手する不正な行為は、どれに分類されるか。

  正解：ソーシャルエンジニアリング

  要点：人の心理を突いて聞き出すのがソーシャルエンジニアリング

  ソーシャルエンジニアリングは、技術的な手段ではなく人間の心理や行動の隙を突いて情報を入手する手口の総称である。緊急事態を装って相手を焦らせ、確認の手順を省かせてパスワードを聞き出すのは典型例で、ほかにショルダーハッキングやトラッシング（ごみあさり）も含まれる。技術的対策では防げないため、教育と本人確認手順の徹底が対策の中心となる。

  出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問25（IPA）

• 情報セキュリティ対策のクリアデスクに該当するものはどれか。

  正解：帰宅時、書類やノートPCを机の上に出したままにせず、施錠できる机の引出しなどに保管する。

  要点：クリアデスクは机上に書類や媒体を放置せず施錠保管する対策

  クリアデスクは、離席時や退社時に机上へ書類や記録媒体を放置せず、施錠可能な場所に保管する対策である。物理的な持ち去りや盗み見による情報漏えいを防ぐことが狙いで、画面側を対象とする「クリアスクリーン」と対で語られる。

  出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問2（IPA）