金融個人情報保護オフィサー2級 安全管理措置・監督・漏えい等の報告 練習問題 第10問: X銀行で、融資部から総務部に異動した行員の顧客データへのアクセス権限の扱いを検討している。安全管理措置等についての実務指針に照らし、最も適切なものはどれか。

「従業者への権限の付与と見直しを適切に行い」が適切です。実務指針5－3は、金融分野における個人情報保護に関するガイドライン第8条第8項の技術的安全管理措置「個人データへのアクセス権限の管理」として、アクセス権限の適切な付与及び見直し、権限を付与する従業者数の必要最小限への限定、付与する権限の必要最小限への限定を求めています。

融資部の顧客データを総務部の業務で使わなくなれば、見直しの対象になります。「個人データ管理責任者が自ら所管する」は、実務指針2－1－2が管理区分及び権限の設定・変更の管理を各部署の個人データ管理者に所管させている点で誤りです。

「識別及び認証の措置として」は、識別及び認証（5－1）が本人確認の機能などの措置で、権限の見直しは5－3のアクセス権限の管理の措置である点で誤りです。「権限外者へのアクセス制御の二つである」は、それが5－2の「管理区分の設定及びアクセス制御」の措置で、5－3の中身は付与・見直しと必要最小限への限定である点で誤りです。

アクセス権限は、付与と見直し、付与する人数と権限の必要最小限への限定の三つで管理すると押さえましょう。