重要度：B
問16：K社は顧客の個人データを海外のデータセンターに保存するクラウドサービスの利用を検討している。個人情報保護法の観点から必要となる対応はどれか。
- A：海外に保存する場合は、データを匿名化しない限り利用できない。
- B：事業者と国内法に準拠する契約を結んでいれば、保存場所の確認は不要になる。
- C：外国にある第三者への提供に当たる場合の要件を確認し、必要な措置を取る。
- D：本人の同意を一度取得すれば、移転先の体制や外国の制度の確認は不要になる。
【第16問：正解と解説】
正解：C
・A
匿名化は一つの手段だが、法が求めるのは提供の要件を満たすことである。
・B
契約の準拠法を定めても、保存場所により適用される法令や必要な手続が変わるため、確認は必須である。
・C
正しい。まず、クラウド事業者が保存された個人データを取り扱う契約・運用かを確認する。外国にある第三者への提供に該当する場合は、本人同意、基準に適合する体制など、適用される要件を確認する。第三者提供に該当しない場合でも、保存国の制度など外的環境を把握し、必要な安全管理措置を講じる。
・D
本人同意を根拠として外国にある第三者へ提供する場合は、同意を得る前に、外国の名称、その外国の個人情報保護制度に関する情報、第三者が講じる個人情報保護措置に関する情報を本人へ提供する必要がある。また、保存場所や事業者の取扱実態を把握し、必要な安全管理措置を講じる。
重要度：B
問17：L社で、従業員が社内承認のない生成AI付きのクラウドサービスへ顧客情報を入力していたことが判明した。情報セキュリティの担当部門の対応として、最も適切なものはどれか。
- A：入力の内容と保存の状態を確認し、利用停止の後に再発防止策を検討する。
- B：入力の内容と削除の可否を確認し、承認済みの代替手段と利用基準を整える。
- C：利用者の処分を先行し、サービス上のデータの確認は事業者へ任せる。
- D：対象サービスへの通信だけを遮断し、業務上の代替手段は各部門に任せる。
【第17問：正解と解説】
正解：B
・A
停止と再発防止の検討は必要だが、業務上の必要を満たす代替手段がなければ別のサービスで再発する。
・B
正しい。入力されたデータの確認と削除の依頼で被害を限定し、承認済みの代替手段と入力禁止情報のルールで再発を防ぐ。
・C
処分だけでは利用の動機である業務上の必要が残る。データの確認を事業者任せにもできない。
・D
遮断だけでは業務上の必要が満たされず、管理外の別の抜け道の利用を助長しかねない。
重要度：C
問18：M社は従業員の私物スマートフォンの業務利用（BYOD）を許可する方針とした。あわせて実施すべき対策として、最も適切なものはどれか。
- A：MDMを導入し、利用条件の規程化と紛失時の遠隔消去の仕組みを整える。
- B：私物端末であるため、利用条件は定めず従業員への注意喚起だけを行う。
- C：業務データと私的データを区別せず、端末全体を会社の監視対象とする。
- D：MDMの導入までは行わず、パスワード設定の依頼だけで運用を開始する。
【第18問：正解と解説】
正解：A
・A
正しい。規程と技術的管理を組み合わせ、業務データを保護する。遠隔消去は業務領域に限るなど対象範囲を明確にし、本人へ事前に説明する。
・B
注意喚起だけでは、業務情報が管理外の端末に置かれたままになる。規程と技術的管理が必要である。
・C
業務データと私的データを区別せず端末全体を監視する運用は、必要性や相当性を欠き、従業員のプライバシーを侵害するおそれがある。業務領域を分離し、監視・管理・遠隔消去の対象範囲を規程で明確にする。
・D
パスワードだけでは紛失時の消去や設定の統制ができず、組織としての保護にならない。
重要度：C
問19：ISO/IEC 27017の説明として、最も適切なものはどれか。
- A：個人情報保護マネジメントシステムの認証用の要求事項を定めた規格
- B：ITサービスマネジメントシステムの認証用の要求事項を定めた規格
- C：情報セキュリティマネジメントシステムの認証用の要求事項を定めた規格
- D：クラウドの提供者と利用者に向けた情報セキュリティ管理策の実施の手引
【第19問：正解と解説】
正解：D
・A
これはJIS Q 15001が扱う領域の説明である。
・B
これはJIS Q 20000（ISO/IEC 20000）の説明である。
・C
これはISO/IEC 27001の説明である。27017は要求事項ではなく手引である。
・D
正しい。27002の管理策をクラウド向けに補強したガイドライン規格である。
重要度：C
問20：N社は重要情報を扱うSaaSを利用する。インシデント調査に備えた監査ログの管理として、最も適切なものはどれか。
- A：管理画面でログを閲覧できるため、記録対象や保存期間、出力方法は確認しない。
- B：必要な監査ログを有効化し、記録項目・保存期間・出力方法を確認して、必要なログを自社管理領域にも保管する。
- C：利用者端末の画面だけを記録し、SaaS側の認証・操作ログは取得しない。
- D：事故が発生した後にログ取得を有効化し、それ以前の操作記録も事業者に作成してもらう。
【第20問：正解と解説】
正解：B
・A
クラウドの標準設定では、必要な操作が記録されない場合や、保存期間が短い場合がある。記録対象、保存期間及び出力方法を事前に確認する必要がある。
・B
正しい。必要な認証・管理操作・データ操作などのログを有効化し、保存期間と取得方法を確認する。調査に必要なログは、自社で管理できる領域へ定期的に出力・保管する。
・C
端末画面の記録だけでは、SaaS側で行われた認証、権限変更、共有設定、データ操作などを確認できない。サービス側の監査ログが必要である。
・D
取得していなかったログや、保存期間を過ぎて削除されたログを、事故後にさかのぼって完全に作成することはできない。利用開始時から取得と保存を設計する。
コメント