正解：ア
各選択肢の解説
ア漏えいなどの事案が起きたときに、誰がどこへ報告するかの体制と手順を定める。
正解。事案が起きたときの報告・連絡の体制を整えるのは、組織の仕組みとルールを作る 組織的安全管理措置です。責任者の設置や取扱規程に沿った運用、取扱状況の点検もここに入ります。
イ個人データの取扱いについて、従業者に定期的な研修を行い理解度を確かめる。
誤り。これは人的安全管理措置です。研修も「組織として決めて行う」ものなので組織的に見えますが、 人的は従業者一人ひとりに知識と意識を持たせる対策です。仕組みを作るのか、人を育てるのかで区別します。
ウ個人データを扱う区域を決め、入退室の管理と画面ののぞき見の防止を行う。
誤り。これは物理的安全管理措置です。区域を「決める」という言い方が規程づくりに見えますが、 目的は場所・機器・書類への物理的な近づき方を制限することです。盗難防止や媒体の持ち出しへの対策もここに入ります。
エ担当者ごとにIDを付け、扱える個人データの範囲をシステム上で絞る。
誤り。これは技術的安全管理措置です。「誰に何を扱わせるか」は組織で決めることですが、 それをシステムのアクセス制御と認証で実現する部分は技術的に分類されます。不正アクセスの防止もここに入ります。
理解を深めるために
4つの区分は「何で守るか」の違い
個人データを守る手段を、家の防犯にたとえると分かりやすくなります。 家族の約束と緊急時の連絡先を決めるのが組織的、家族に気を付けることを教えるのが人的、 鍵と塀で近づけなくするのが物理的、防犯システムで入れる人を見分けるのが技術的です。
なぜ区分して考えるのか
個人情報保護法は、個人情報取扱事業者に、個人データの漏えい・滅失・毀損を防ぐための 必要かつ適切な措置（安全管理措置）を求めています。個人情報保護委員会のガイドラインは、 その中身を次のように区分して例を示しています。
- 組織的: 責任者と体制の整備、取扱規程に沿った運用、取扱状況の把握と見直し、漏えいなどの事案に対応する体制の整備
- 人的: 従業者への教育
- 物理的: 取り扱う区域の管理、機器・書類の盗難防止、持ち運ぶときの漏えい防止
- 技術的: アクセス制御、アクセスする者の識別と認証、外部からの不正アクセスの防止
区分ごとに点検すると、「技術的な対策は厚いのに、事案が起きたときの報告の流れが決まっていない」 といった抜けに気付けます。
混同しやすいものとの違い
| 区分 | 守る手段 | 対策の例 |
|---|---|---|
| 組織的 | 体制・ルール | 事案発生時の報告体制と手順 |
| 人的 | 人の知識・意識 | 従業者への定期的な研修 |
| 物理的 | 場所・機器・書類 | 区域の入退室管理、のぞき見防止 |
| 技術的 | 情報システム | 担当者ごとのIDとアクセス範囲の制限 |
「組織で決める」ことはどの区分にもあるので、決めた結果を何で実現するか （体制か、人か、物か、システムか）で見分けるのがコツです。