情報セキュリティマネジメント試験情報＆徹底解説

個人情報の保護に関する法律への対応に関する次の記述を読んで，設問1～3に答えよ。

　W社は，ヘルスケア関連商品の個人向け販売代理店であり，従業員数は300名である。組織は，営業部，購買部，情報システム部などで構成される。営業部には，営業企画課，及び販売業務を行う第1販売課から第15販売課までがある。
　W社では，5年前に最高情報セキュリティ責任者(CISO)を委員長とする情報セキュリティ委員会(以下，W社委員会という)を設置した。W社委員会の事務局は，情報システム部が担当している。また，各部の部長は，W社委員会の委員及び自部署における情報セキュリティ責任者を務め，自部署の情報セキュリティを適切に確保し，維持，改善する役割を担っている。各情報セキュリティ責任者は，自部署の情報セキュリティに関わる実務を担当する情報セキュリティリーダーを選任する。
　W社委員会は，2015年に改正された個人情報の保護に関する法律(以下，保護法という)への対応の準備を各部で開始することを決定した。これを受けて，営業部では，情報セキュリティリーダーである営業企画課のN課長が，情報システム部のS課長の支援を得て，保護法への対応の準備を進めることになった。
　W社では，国の個人情報保護委員会が定めた個人情報の保護に関する法律についてのガイドライン(以下，保護法ガイドラインという)のうち，通則編及び匿名加工情報編への対応は必要であるが，それら以外の保護法ガイドラインへの対応が必要な事業は実施していないことをW社委員会で確認した。また，特定個人情報の取扱いについて検討が必要な場合は，人事担当者などを含めた検討の機会を別途設けることにし，今回の検討範囲からは除外することもW社委員会で確認した。

〔データベースの項目に関する調査及び検討〕
　営業部が主管するデータベース(以下，DBという)のうち，保護法への対応が必要なものには，表1に示す顧客情報DB及び表2に示す販売履歴情報DBがある。N課長とS課長は，これらのDBに絡納されているデータを調査した。　N課長とS課長は，この調査結果を踏まえ，保護法及び保護法ガイドラインに基づき対応を検討した。次はそのときの会話である。

N課長:

肌質という項目には，アトピー性皮膚炎などの病歴が分かる名称が記録されている場合があります。病歴は，保護法に定められているように本人に対する不当な差別，偏見その他の不利益が生じないように，aとして特に注意して取り扱わなければいけません。

S課長:

aとそれ以外の個人情報とは，取扱いはどのように違うのですか。

N課長:

幾つか違いがあります。例えば，保護法及び保護法ガイドラインによれば，a以外の個人情報が記載された書面を本人から直接取得する場合は，利用目的のbが必要ですが，aを取得する場合は，取得することについて本人のcを得ることも必要です。ただし，幾つか注意すべき事項があります。ここでは，二つ説明します。
一つ目は，本人から適正に直接取得する場合です。その場合は本人が提供したことをもってcを得たと解されます。
二つ目は，法令に基づき取得する場合です。例えば会社がdに基づき従業員の健康診断を実施し，病状，治療などの情報を健康診断実施機関から取得するときは，本人のcを得ることは不要です。

〔PCに関する情報セキュリティ対策の検討〕
　営業部で使用する機器は，オフィスに設置したサーバ，デスクトップPC(以下，DPCという)，電話，ファックスなどである。サーバには，顧客情報DB及び販売履歴情報DB，並びに提案書ひな形などの共有ファイルを格納している。サーバのデータのバックアップは，外部記憶媒体に格納し，キャビネットに保管している。
　W社の営業スタイルは，主として訪問販売であり，紙媒体による提案資料の提示や多数のサンプル品の持参など，旧態依然としたものである。そこで，営業部長は，売上拡大を図るために，営業スタイルの見直しと効果的なマーケティング計画の立案をN課長に指示した。
　営業スタイルについては，N課長は，モバイルPC(以下，MPCという)を活用することによって見直しをすることにした。MPCにはSFA(Sales Force Automation)ツールを導入し，訪問先でも在庫確認処理，受発注処理などを行えるようにする。
　N課長は，自社の営業部員が初めてMPCを携行することになることから，他社で発生したMPCの紛失・盗難などの情報セキュリティ事故を踏まえた情報セキュリティ対策を検討する必要があると考えた。そこで，S課長の協力を得て，MPCに関する情報セキュリティ対策を表3のとおりまとめてW社委員会に諮り，承認を得た。　N課長は，DPCからのファイルの持出し，訪問先で更新したファイルのDPCへの取込みなどを迅速かつ確実に行うためのツールの要件を検討した。この要件をS課長に提示し，要件の実現方法の検討並びにツールの開発及び導入を依頼した。S課長は，検討の後，依頼どおりツールを開発し，導入した。
　さらに，N課長は，個人データの漏えい，滅失又は毀損が起こった場合を想定し，国の個人情報保護委員会が定めた"個人データの漏えい等の事案が発生した場合等の対応について"の告示に基づき，③国の個人情報保護委員会などに対して速やかに報告するように努めるべきとされている場合を明らかにし，社内規程に盛り込んだ。

〔マーケティング計画の立案の検討〕
　効果的なマーケティング計画の立案については，N課長は，顧客情報や販売履歴情報を分析し，顧客特性や販売チャネルなどに応じたマーケティングを検討することにした。
　Z社は，様々な業界のデータを保有するDB提供会社である。W社はZ社に販売履歴に関するデータを提供し，Z社からはW社と同じ業界及び他業界のデータも含めた分析結果を受領することにした。これによって，W社は，顧客特性に即した商品を提案できるようになり，販売活動の効率化が期待できる。
　N課長は，1か月分の販売履歴情報DB及び当該月末時点の顧客情報DBのデータを併合し匿名加工情報に加工したものを，翌月10日までにZ社に提供することにした。
　N課長は，匿名加工情報に加工する方法について，S課長に検討を依頼しており，本日，N課長はS課長から報告を受けた。次はそのときの会話である。

S課長:

検討の結果，匿名加工情報に加工できる目途がつきました。特定の個人を識別できる情報から，氏名は削除し，住所は記述の一部を削除します。また，極端に販売数量が大きい注文の販売履歴情報については，販売数量をあらかじめ定めた上限値に置き換えます。必要に応じて他の加工も行います。

N課長:

分かりました。ただし，④当社のマーケティングに有効な分析ができる匿名加工情報であることが必要です。実施する分析は，"商品ごとの同時に購入される他の商品の傾向の分析"，"年齢層ごとの年間を通じた売れ筋商品の傾向の分析"，"新商品ごとの発売開始後の月別販売数量推移と肌質との相関関係の分析"，"商品ごとの性別と年間販売数量との相関関係の分析"です。

S課長:

分かりました。それらの分析ができるように工夫します。ところで，Z社に匿名加工情報を取り扱ってもらう際に，注意してもらわなければならないことはありますか。

N課長:

保護法には⑤義務規定があるので注意する必要があります。ですが，Z社はコンプライアンス体制が整備されているので，当然理解していると考えられます。

　N課長は，営業部長の指示を実行し，半年後には，売上も対前年比で好調に推移し始めた。営業部長は，N課長の一連の取組みの成果を高く評価した。

本文中のa～dに入れる字句はどれか。それぞれの解答群のうち，保護法及び保護法ガイドラインに基づいたときに，最も適切なものを選べ。

設問2

〔PCに関する情報セキュリティ対策の検討〕について，(1)～(3)に答えよ。

(1) 表3中の下線①について，次の(ⅰ)～(ⅵ)のうち，有効な順守事項だけを全て挙げた組合せを，解答群の中から選べ。

1. BIOSパスワードなど電源起動時のパスワードを設定したMPCを携行する。
2. MPCの液晶画面にのぞき見防止フィルターを取り付ける。
3. MPCを携行しているときは，酒宴に参加しない。
4. 移動中，電車の中で，MPCを網棚に置かない。
5. 営業車から離れるときは，短時間でも車両内にMPCを放置しない。
6. ハードディスクのデータをリモートで消去できる機能をもつMPCを携行する。

設問3

〔マーケティング計画の立案の検討〕について，(1)，(2)に答えよ。

(1) 本文中の下線④について，次の(ⅰ)～(ⅵ)のうち，匿名加工情報に加工する適切な方法を四つ挙げた組合せはどれか。解答群のうち，最も適切なものを選べ。

1. 顧客番号について，乱数などの他の記述を加えた上で，ハッシュ関数を使って変換する。
2. 生年月日について，月日を削除して生年だけにする。
3. 性別を削除する。
4. 肌質について，特異なケースを除外するために，あらかじめ定めたしきい値よりも該当レコード数が少ない病歴の場合は，当該レコードを削除する。
5. 販売年月日について，日を削除して販売年月だけにする。
6. 販売番号について，1の位を四捨五入したものにする。