個人情報保護士認定試験の脅威と対策・組織的人的セキュリティは何問用意されていますか？

ぴよパスでは個人情報保護士認定試験の脅威と対策・組織的人的セキュリティに全75問のオリジナル練習問題を用意しています。個人情報保護士認定試験の収録全476問のうち約16%です。回答後に解説を確認できます。初級・中級・上級のバッジは問題の難易度の目安で、解いた人の習熟度を示すものではありません。

脅威と対策・組織的人的セキュリティはどんな順序で学習するのがおすすめですか？

テキストで学んだ範囲や、確認したい用語の問題から取り組めます。迷う場合は一覧の先頭から数問解き、解説を読んでも分からない箇所をテキストで確認してください。問題番号は一覧内の順番です。ぴよパスでは個人情報保護士認定試験の問題を7カテゴリ（脅威と対策・組織的人的セキュリティ / 個人情報保護法の総説と定義・個人情報に関する義務・個人データに関する義務・保有個人データ・仮名加工情報・匿名加工情報）に分けているので、関連する内容は別のカテゴリでも確認できます。

脅威と対策・組織的人的セキュリティの問題数は、通常演習と模試でどう違いますか？

脅威と対策・組織的人的セキュリティは、ぴよパスで個人情報保護士認定試験の問題を分けている7カテゴリの一つです。ぴよパスに収録している脅威と対策・組織的人的セキュリティの問題数は75問 / 全476問で、収録全体の約16%にあたります。ぴよパスの模擬試験の基本設定では、脅威と対策・組織的人的セキュリティを全100問中25問（約25%）出題します。これは模試の配分であり、本試験の出題比率を示すものではありません。

脅威と対策・組織的人的セキュリティで合格ラインを割らないためのコツはありますか？

個人情報保護士認定試験の合格基準は「課題Ⅰ・課題Ⅱそれぞれで正答率70%以上」です。科目別の条件は「片方の課題だけが高得点でも合格できません。問題の難易度により調整され、正答率70%以下でも合格となる場合があります。」です。サイト内のカテゴリ分けと本試験の科目区分は一致しない場合があります。脅威と対策・組織的人的セキュリティの正答率だけで合否を判断せず、間違えた問題の内容と、本試験で適用される基準を確認してください。

脅威と対策・組織的人的セキュリティ

まず最初の 1 問を解く

全 476 問・解説・間違えた問題の解き直しは登録不要・無料。模試・「今日の復習」などは Premium (月480円)全 476 問に加えて、「今日の復習」・本番形式の模試・記録の全科目の正答率・広告非表示をご利用中です

答えと解説を一覧に表示する

正解済みまだ正解していませんQ1初級
ガイドライン（通則編）別添が挙げる手法の例示と、安全管理措置の区分との組合せとして、正しいものはどれか。
正解: 3. 個人データが記載された書類や媒体の持ち運びの状況を記録することは、組織的安全管理措置の手法の例示である
解説: 別添の組織的安全管理措置「個人データの取扱いに係る規律に従った運用」は、システムログその他の記録の整備や業務日誌の作成等を通じて取扱いの検証を可能とする項目の例として、個人データが記載又は記録された書類・媒体等の持ち運び等の状況を挙げています。情報システムで個人データを削除する際…
根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）
関連キーワード: 手法の例示・組織的安全管理措置・技術的安全管理措置・人的安全管理措置
正解済みまだ正解していませんQ2中級
ガイドライン（通則編）別添は、従業員の数が100人以下の個人情報取扱事業者を「中小規模事業者」としつつ、その事業の用に供する個人情報データベース等を構成する個人情報によって識別される特定の個人の数の合計が、過去6月以内のいずれかの日において一定の数を超える者を除いている。この一定の数として正しいものはどれか。
正解: 3. 5,000
解説: ガイドライン（通則編）別添は、中小規模事業者を従業員の数が100人以下の個人情報取扱事業者としたうえで、①その事業の用に供する個人情報データベース等を構成する個人情報によって識別される特定の個人の数の合計が過去6月以内のいずれかの日において5,000を超える者と、②委託を受けて個…
根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）
関連キーワード: 中小規模事業者・安全管理措置・従業員・個人情報データベース等
正解済みまだ正解していませんQ3中級
ガイドライン（通則編）別添が、組織的安全管理措置として講じなければならない措置に掲げていないものはどれか。
正解: 2. 個人データの取扱いに係る規律の整備
解説: 別添は、組織的安全管理措置として、(1)組織体制の整備、(2)個人データの取扱いに係る規律に従った運用、(3)個人データの取扱状況を確認する手段の整備、(4)漏えい等事案に対応する体制の整備、(5)取扱状況の把握及び安全管理措置の見直しの5つを講じなければならない措置として掲げて…
根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）
関連キーワード: 組織的安全管理措置・組織体制の整備・漏えい等事案・取扱規程
正解済みまだ正解していませんQ4初級
個人データの漏えい等を防ぐための次の取組みのうち、ガイドライン（通則編）別添が安全管理措置の手法の例示として挙げていないものはどれか。
正解: 4. メールを送る前に、宛先を別の従業者に確認させる
解説: 別添は、物理的安全管理措置「個人データを取り扱う区域の管理」で管理区域の管理手法の例として入退室管理及び持ち込む機器等の制限を（1）、組織的安全管理措置「個人データの取扱いに係る規律に従った運用」で記録の対象として担当者の情報システムの利用状況（ログイン実績、アクセスログ等）を（…
根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）
関連キーワード: 手法の例示・管理区域・アクセスログ・組織体制の整備
正解済みまだ正解していませんQ5中級
ガイドライン（通則編）別添の物理的安全管理措置で、「管理区域」とされているものはどれか。
正解: 3. 個人情報データベース等を取り扱うサーバやメインコンピュータ等の重要な情報システムを管理する区域
解説: 別添の物理的安全管理措置(1)は、個人情報データベース等を取り扱うサーバやメインコンピュータ等の重要な情報システムを管理する区域を「管理区域」、その他の個人データを取り扱う事務を実施する区域を「取扱区域」とし、それぞれ適切な管理を求めています。管理区域かどうかは、入退室を管理して…
根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）
関連キーワード: 物理的安全管理措置・管理区域・取扱区域・入退室管理
正解済みまだ正解していませんQ6中級
フィッシングの手口について、IPA（情報処理推進機構）「企業組織を狙う攻撃メールの手口とその対策」（2026年8月）の説明に照らして、正しいものはどれか。
正解: 2. リアルタイムフィッシングは、偽サイトに入力させたID、パスワード、ワンタイムパスワードをその場で悪用し、多要素認証を突破する
解説: IPAの資料は、フィッシングを、実在する企業組織やサービスを騙るメールやSMSで偽サイトに誘導し、認証情報を入力させる等で情報を詐取する手口と説明し、典型的な手口として緊急性を強調することを挙げています。偽サイトに入力させた情報をその場で抜き取り、攻撃者が正規サイトに入力するリア…
根拠・参照資料: 個人情報の保護に関する法律第23条
関連キーワード: フィッシング・偽サイト・認証情報・AiTM
正解済みまだ正解していませんQ7中級
通則編ガイドライン別添の物理的安全管理措置について、正しいものはどれか。
正解: 3. 「持ち運ぶ」には、個人データを管理区域又は取扱区域の外から当該区域へ移動させることも含まれる。
解説: 別添の物理的安全管理措置（3）は、「持ち運ぶ」とは個人データを管理区域又は取扱区域から外へ移動させること又は当該区域の外から当該区域へ移動させることをいい、事業所内の移動等でも紛失・盗難等に留意する必要があるとしています（肢3）。（1）は、サーバやメインコンピュータ等の重要な情報…
根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添「物理的安全管理措置」）
関連キーワード: 物理的安全管理措置・管理区域・取扱区域・持ち運ぶ・入退室管理
正解済みまだ正解していませんQ8上級
「外的環境の把握」について、ガイドライン（通則編）別添上、正しいものはどれか。
正解: 1. 外国において個人データを取り扱う場合、当該外国の個人情報の保護に関する制度等を把握したうえで安全管理措置を講じなければならない
解説: ガイドライン別添は「外的環境の把握」として、個人情報取扱事業者が外国において個人データを取り扱う場合、当該外国の個人情報の保護に関する制度等を把握したうえで、個人データの安全管理のために必要かつ適切な措置を講じなければならないとしています。クラウドサービスのサーバが外国にある場合…
根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）
関連キーワード: 外的環境の把握・外国の制度・クラウド
正解済みまだ正解していませんQ9初級
総務省「国民のためのサイバーセキュリティサイト」の用語集は、情報セキュリティの機密性・完全性・可用性を、いずれも国際標準化機構（ISO）が定める標準に定義されるものとして説明している。このうち完全性の説明として、用語集に照らして正しいものはどれか。
正解: 3. 情報および処理方法の正確さおよび完全である状態を安全防護すること
解説: 総務省の用語集は、完全性を「情報および処理方法の正確さおよび完全である状態を安全防護すること」と説明しており、対象は情報だけでなく処理方法も含み、内容はその状態を安全防護することであるため、3が正しい。対象を処理結果とする1・4、内容を常に検証することとする2・4は、用語集の説明…
根拠・参照資料: 個人情報の保護に関する法律第23条
関連キーワード: 情報セキュリティ・機密性・完全性・可用性
正解済みまだ正解していませんQ10中級
暗号化して保存していた顧客の個人データについて、復元に必要なキーを喪失し、データを復元できなくなった。同じ内容のデータは他に保管されておらず、データが第三者に窃取された事実もない。ガイドライン（通則編）3-5-1の考え方に照らして、この事態の扱いとして正しいものはどれか。
正解: 2. 「毀損」に該当する
解説: ガイドライン（通則編）3-5-1-4は、毀損を、個人データの内容が意図しない形で変更されることや、内容を保ちつつも利用不能な状態となることとし、暗号化処理された個人データの復元キーを喪失したことにより復元できなくなった場合を事例に挙げています（2が正しい）。3-5-1-3の滅失は…
根拠・参照資料: 個人情報の保護に関する法律第23条、第26条第1項
関連キーワード: 漏えい・滅失・毀損・復元キー・個人データ
正解済みまだ正解していませんQ11上級
個人情報保護委員会への漏えい等の報告（法第26条第1項）の対象となる事態（施行規則第7条各号）について、ガイドライン（通則編）3-5-3-1に照らして正しいものはどれか。
正解: 1. 本人の数が確定できない漏えい等では、漏えい等が発生したおそれがある個人データに係る本人の数が最大で1,000人を超えるときに、第4号の事態に当たる
解説: ガイドライン（通則編）3-5-3-1(4)は、本人の数が確定できない漏えい等において、漏えい等が発生したおそれがある個人データに係る本人の数が最大1,000人を超える場合は、規則第7条第4号に該当するとしており、1が正しいです。2は誤りで、発覚した当初1,000人以下であっても、…
根拠・参照資料: 個人情報の保護に関する法律第26条第1項、個人情報の保護に関する法律施行規則第7条
関連キーワード: 報告対象事態・本人の数・入力ページ・おそれ
正解済みまだ正解していませんQ12中級
個人情報保護委員会への漏えい等の報告（法第26条第1項本文、施行規則第8条）の速報と確報について、ガイドライン（通則編）3-5-3-3及び3-5-3-4に照らして正しいものはどれか。
正解: 4. 速報の時点で報告すべき全ての事項を報告できる場合には、1回の報告で速報と確報を兼ねることができるとされている
解説: ガイドライン（通則編）3-5-3-4の※1は、速報の時点で全ての事項を報告できる場合には、1回の報告で速報と確報を兼ねることができるとしています（4が正しい）。報告は、原則として、個人情報保護委員会のホームページの報告フォームに入力する方法により行います（3-5-3-3。1）。確…
根拠・参照資料: 個人情報の保護に関する法律第26条第1項、個人情報の保護に関する法律施行規則第8条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」3-5-3-3、3-5-3-4）
関連キーワード: 速報・確報・報告対象事態・報告期限
正解済みまだ正解していませんQ13上級
漏えい等が発生した場合の本人への通知について、個人情報保護法上、正しいものはどれか。
正解: 4. 本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、通知を要しない
解説: 法第26条第2項は、報告対象事態が生じたときは本人に対し当該事態が生じた旨を通知しなければならないとしつつ、ただし書で「本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるとき」は、この限りでないと定めています。代替措置の例としては、事案…
根拠・参照資料: 個人情報の保護に関する法律第26条第2項
関連キーワード: 本人への通知・代替措置・公表・個人情報の保護に関する法律第26条第2項
正解済みまだ正解していませんQ14初級
メールを悪用した攻撃の手口について、IPA（情報処理推進機構）「企業組織を狙う攻撃メールの手口とその対策」（2026年8月）の説明に照らして、最も適切なものはどれか。
正解: 2. 標的型攻撃メールは、添付ファイルやURLリンク先のマルウェアに感染させ、主に機密情報の窃取を目的とする
解説: IPAの資料は、標的型攻撃を特定の組織に対するサイバー諜報活動で主に機密情報の窃取を目的とするものとし、標的型攻撃メールは、メールの添付ファイルや本文に記載したURLリンク先に仕込んだマルウェアにパソコンを感染させるとしています。フィッシングメールは一般に同じ文面を不特定多数に送…
根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）
関連キーワード: 標的型攻撃メール・フィッシング・ビジネスメール詐欺・APT
正解済みまだ正解していませんQ15中級
人の心理的な弱点や相手への信頼感につけ込むソーシャルエンジニアリングの手法を用いた攻撃メールについて、IPA「企業組織を狙う攻撃メールの手口とその対策」（2026年8月）の説明として正しいものはどれか。
正解: 4. 取引先になりすまして送金先口座の変更を依頼する手口は、海外の取引先との間で多く発生し、攻撃者がメールのやりとりを盗み見ることから始まるとされている。
解説: IPAの同レポートは、ビジネスメール詐欺（BEC）のうち取引先との請求書の偽装（タイプ1）について、海外の取引先との間で発生することが多く、攻撃者が被害組織と取引先とのメールのやりとりを盗み見ることから始まり、途中から取引先になりすまして送金先口座の変更を依頼するとしています（4…
根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）
関連キーワード: ソーシャルエンジニアリング・ビジネスメール詐欺・フィッシング・標的型攻撃メール・なりすまし
正解済みまだ正解していませんQ16中級
IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版が紹介する4つのリスク分析の手法について、正しいものはどれか。
正解: 3. 組み合わせアプローチでよく用いられるのは、ベースラインアプローチと非形式的アプローチの組合せとされている。
解説: 同ガイドライン第4.0版のコラム「リスク分析の手法あれこれ」は、組み合わせアプローチでよく用いられるのはベースラインアプローチと非形式的アプローチの組合せとしています（3が正しい）。「5分でできる！情報セキュリティ自社診断」を参照して対策を実施するのはベースラインアプローチの例で…
根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）
関連キーワード: リスク分析・ベースラインアプローチ・非形式的アプローチ・組み合わせアプローチ・資産ベースのリスク分析
正解済みまだ正解していませんQ17中級
IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版は、リスク値の大きい情報資産への対策を、リスクの低減・保有・回避・移転に区分して検討するとしている。対策の例と区分の組合せとして、同ガイドラインの記述に合うものはどれか。
正解: 1. インターネットバンキング専用のパソコンを設置し、メールやウェブ閲覧には使わないことは、リスクの回避の例とされている。
解説: 同ガイドライン第4.0版の資産ベースのリスク分析（手順3）は、リスクの回避を、仕事のやりかたや情報システムの利用方法を変えて想定されるリスクそのものをなくすことと説明し、インターネットバンキング専用のパソコンを設置してメールやウェブ閲覧に利用しない例と、発送完了後の発送先の個人情…
根拠・参照資料: 独立行政法人情報処理推進機構「中小企業の情報セキュリティ対策ガイドライン」第4.0版第2部4（1）資産ベースのリスク分析手順3
関連キーワード: 資産ベースのリスク分析・リスクの回避・リスクの移転・リスクの低減
正解済みまだ正解していませんQ18上級
通則編ガイドライン別添は、組織的安全管理措置の各項目について、中小規模事業者における手法の例示を示している。項目と中小規模事業者における手法の例示の組合せとして、正しいものはどれか。
正解: 4. 「取扱状況の把握及び安全管理措置の見直し」では、責任ある立場の者が、個人データの取扱状況について、定期的に点検を行うことが例示されている。
解説: 別添の組織的安全管理措置（5）「取扱状況の把握及び安全管理措置の見直し」の中小規模事業者における手法の例示は、責任ある立場の者が、個人データの取扱状況について、定期的に点検を行うことです（4が正しい）。（2）規律に従った運用と（3）取扱状況を確認する手段の整備の中小規模事業者の例…
根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添「組織的安全管理措置」）
関連キーワード: 組織的安全管理措置・中小規模事業者・手法の例示・責任ある立場の者・点検
正解済みまだ正解していませんQ19中級
通則編ガイドライン別添が、「重要である」とする事項ではなく、個人情報取扱事業者が講じなければならない措置として示しているものはどれか。
正解: 2. 個人データの漏えい等の防止その他の安全管理のために、具体的な取扱いに係る規律を整備すること
解説: 別添の「個人データの取扱いに係る規律の整備」は、個人データの漏えい等の防止その他の安全管理のために、個人データの具体的な取扱いに係る規律を整備しなければならないとしています（2が正しい）。これに対し、基本方針の策定は「重要である」とされています（1）。組織的安全管理措置（2）のな…
根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）
関連キーワード: 規律の整備・基本方針・取扱規程・講じなければならない措置
正解済みまだ正解していませんQ20上級
通則編ガイドライン別添は、個人データの適正な取扱いの確保について組織として取り組むために基本方針を策定することが重要であるとし、基本方針に具体的に定める項目の例を挙げている。次のうち、その例として挙げられているものはどれか。
正解: 1. 質問及び苦情処理の窓口
解説: 別添「基本方針の策定」は、個人データの適正な取扱いの確保について組織として取り組むために基本方針を策定することが重要であるとし、具体的に定める項目の例として「事業者の名称」「関係法令・ガイドライン等の遵守」「安全管理措置に関する事項」「質問及び苦情処理の窓口」等を挙げています（1…
根拠・参照資料: 個人情報の保護に関する法律第23条、第32条第1項（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）
関連キーワード: 基本方針・安全管理措置・保有個人データ・利用目的

もっと見る（残り 55 問）

正解済みまだ正解していませんQ21中級
通則編ガイドライン別添の組織的安全管理措置「個人データの取扱状況を確認する手段の整備」の手法の例示に挙げられている項目はどれか。
正解: 1. 個人データの利用目的
解説: 別添の組織的安全管理措置（3）は、個人データの取扱状況を確認するための手段を整備しなければならないとし、手法の例示として、個人情報データベース等の種類・名称、個人データの項目、責任者・取扱部署、利用目的、アクセス権を有する者等をあらかじめ明確化しておくことで取扱状況を把握可能とす…
根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）
関連キーワード: 取扱状況を確認する手段・組織的安全管理措置・取扱いの検証・組織体制の整備
正解済みまだ正解していませんQ22上級
通則編ガイドライン別添で、「個人データの漏えい等事案の発生又は兆候を把握した場合の責任者への報告連絡体制」が手法の例示（中小規模事業者における手法の例示を除く。）として挙げられている措置はどれか。
正解: 2. 組織体制の整備
解説: 別添の組織的安全管理措置（1）組織体制の整備は、組織体制として整備する項目の例に、規律に違反している事実又は兆候を把握した場合の責任者への報告連絡体制と並べて、個人データの漏えい等事案の発生又は兆候を把握した場合の責任者への報告連絡体制を挙げています（2が正しい）。（4）漏えい等…
根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）
関連キーワード: 組織的安全管理措置・漏えい等事案・報告連絡体制・兆候
正解済みまだ正解していませんQ23中級
通則編ガイドライン別添の人的安全管理措置について、正しいものはどれか。
正解: 2. 別添は、「従業者の教育」について、中小規模事業者における手法の例示を、その他の個人情報取扱事業者向けの手法の例示と同じ内容としている。
解説: 別添の人的安全管理措置は、従業者に個人データの適正な取扱いを周知徹底するとともに適切な教育を行わなければならないとし、手法の例示として、個人データの取扱いに関する留意事項について従業者に定期的な研修等を行うことと、個人データについての秘密保持に関する事項を就業規則等に盛り込むこと…
根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）
関連キーワード: 人的安全管理措置・従業者の教育・就業規則・秘密保持・定期的な研修
正解済みまだ正解していませんQ24上級
「従業者」の範囲について、ガイドライン上、正しいものはどれか。
正解: 1. 個人情報取扱事業者の組織内にあって直接又は間接に事業者の指揮監督を受けて事業者の業務に従事している者をいい、雇用関係にある従業員のほか、取締役、監査役、派遣社員等も含まれる
解説: ガイドライン（通則編）は「従業者」を、個人情報取扱事業者の組織内にあって直接又は間接に事業者の指揮監督を受けて事業者の業務に従事している者をいい、雇用関係にある従業員（正社員、契約社員、嘱託社員、パート社員、アルバイト社員等）のみならず、取締役、執行役、理事、監査役、監事、派遣社…
根拠・参照資料: 個人情報の保護に関する法律第24条
関連キーワード: 従業者の範囲・派遣社員・取締役・個人情報の保護に関する法律第24条
正解済みまだ正解していませんQ25中級
IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版の資産ベースのリスク分析では、情報資産ごとに機密性・完全性・可用性を3〜1の評価値で評価し、その評価値から重要度を算定する。重要度の算定方法として正しいものはどれか（個人情報を含む場合などの特例は考えない）。
正解: 3. 3つの評価値の最大値とする
解説: 同ガイドライン第4.0版の資産ベースのリスク分析は、手順1で情報資産ごとに機密性・完全性・可用性の評価値（3〜1）を記入し、重要度は機密性、完全性、可用性いずれかの最大値で判断するとしています（3が正しい）。合計値・平均値・中央値で算定するとはされていません（1・2・4）。なお、…
根拠・参照資料: 独立行政法人情報処理推進機構「中小企業の情報セキュリティ対策ガイドライン」第4.0版第2部4（1）資産ベースのリスク分析手順1・手順2
関連キーワード: 資産ベースのリスク分析・重要度・機密性・リスク値・被害発生可能性
正解済みまだ正解していませんQ26中級
IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版は、被害発生可能性を「脅威の起こりやすさ」と「脆弱性のつけ込みやすさ」の2つの数値（いずれも3〜1）から算出するとしている。脅威の起こりやすさの評価値2（特定の状況で脅威が発生する）の目安として示されている頻度はどれか。
正解: 3. 年に数回程度
解説: 同ガイドライン第4.0版の表5（リスク値の算定基準）は、脅威の起こりやすさを、3＝通常の状況で脅威が発生する（いつ発生してもおかしくない）、2＝特定の状況で脅威が発生する（年に数回程度）、1＝通常の状況で脅威が発生することはない、の3段階としています（3が正しい。日・週・月の目安…
根拠・参照資料: 独立行政法人情報処理推進機構「中小企業の情報セキュリティ対策ガイドライン」第4.0版第2部4（1）資産ベースのリスク分析手順2（表5 リスク値の算定基準）
関連キーワード: 脅威・脆弱性・被害発生可能性・リスク値
正解済みまだ正解していませんQ27上級
IPA「組織における内部不正防止ガイドライン」（第5版）は、状況的犯罪予防の考え方を応用した5つの基本原則を示し、付録で基本原則ごとの対策例を挙げている。対策例と基本原則の組合せとして正しいものはどれか。
正解: 3. 電子ファイルやハードディスクを暗号化することは、「犯行の見返りを減らす」の対策例とされている。
解説: 同ガイドラインは、犯行を難しくする（やりにくくする）、捕まるリスクを高める（やると見つかる）、犯行の見返りを減らす（割に合わない）、犯行の誘因を減らす（その気にさせない）、犯罪の弁明をさせない（言い訳させない）の5つを基本原則とし、付録Ⅵで25分類と対策例を示しています。電子ファ…
根拠・参照資料: 独立行政法人情報処理推進機構「組織における内部不正防止ガイドライン」第5版 2-1 内部不正防止の基本原則、付録Ⅵ 内部不正防止の基本5原則と25分類
関連キーワード: 内部不正・状況的犯罪予防・基本原則・対策例
正解済みまだ正解していませんQ28中級
通則編ガイドライン別添の技術的安全管理措置のうち、「アクセス制御」の手法の例示として挙げられているものはどれか。なお、中小規模事業者における手法の例示も含めて考えるものとする。
正解: 2. 個人情報データベース等を取り扱うことのできる情報システムを限定する
解説: 別添の技術的安全管理措置（1）アクセス制御は、担当者及び取り扱う個人情報データベース等の範囲を限定するために適切なアクセス制御を行わなければならないとし、手法の例示に、個人情報データベース等を取り扱うことのできる情報システムを限定することを挙げています（2が正しい）。1のファイア…
根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）
関連キーワード: 技術的安全管理措置・アクセス制御・情報システム・個人情報データベース等
正解済みまだ正解していませんQ29上級
個人データの取扱いを委託する場合の委託先の監督について、通則編ガイドライン（3-4-4）の記述として正しいものはどれか。
正解: 4. 委託先の確認において、取り扱う場所に赴くことに代わる合理的な方法には、口頭による確認も含まれるとされている。
解説: ガイドライン3-4-4の（※3）は、委託先の選定や委託先における個人データ取扱状況の把握に当たり、必要に応じて個人データを取り扱う場所に赴く又はこれに代わる合理的な方法（口頭による確認を含む。）により確認することが考えられるとしています（4が正しい）。（※2）は、委託元が法第23…
根拠・参照資料: 個人情報の保護に関する法律第25条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」3-4-4）
関連キーワード: 委託先の監督・委託先の選定・委託契約・取扱状況の把握
正解済みまだ正解していませんQ30中級
マルウェアの分類のうち、ワームの説明として、最も適切なものはどれか。
正解: 2. 他のファイルに寄生せず、自分自身がファイルやメモリを使って自己増殖を行う
解説: ワームは、他のファイルに寄生して増殖するのではなく、自分自身がファイルやメモリを使って自己増殖を行うマルウェアです（総務省「国民のためのサイバーセキュリティサイト」用語集）。1は、他のプログラムのファイルに寄生し、そのファイルの実行をきっかけに増殖する狭義のコンピュータウイルスの…
根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）
関連キーワード: マルウェア・ワーム・トロイの木馬・ボット
正解済みまだ正解していませんQ31上級
ゼロデイ攻撃の説明として、最も適切なものはどれか。
正解: 4. 脆弱性の修正プログラムが提供される前に、その脆弱性を突いて行われる攻撃
解説: ゼロデイ攻撃は、ソフトウェアの脆弱性が公表され修正プログラムが提供されるまでの間、あるいは開発者が脆弱性を認識する前に、その脆弱性を突いて行われる攻撃をいいます。特定の組織を狙い業務連絡を装ったメールで不正プログラムを送り込むのは標的型攻撃の手口です。修正プログラムの適用だけでは…
根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）
関連キーワード: ゼロデイ攻撃・脆弱性・多層防御
正解済みまだ正解していませんQ32中級
社員証のICカードを読取装置にかざした後、利用者のスマートフォンにショートメッセージで届いたパスコードを入力してログインする方式を検討している。総務省「国民のためのサイバーセキュリティサイト」の説明に照らして、この方式の評価として正しいものはどれか。
正解: 3. ICカードも、パスコードが届く利用者の手元の機器も所持情報に当たり、使う認証の要素が1種類なので、多要素認証には当たらない
解説: 同サイトは、多要素認証を、認証の3要素である知識情報・所持情報・生体情報のうち2つ以上を組み合わせて認証することとし、そのうち2つの要素を使うものを2要素認証と呼んでいます。また、ユーザが持っている機器にショートメッセージで送ったパスコードを所持情報の例とし、用語集はICカードを…
根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）
関連キーワード: 多要素認証・知識情報・所持情報・2要素認証・ICカード
正解済みまだ正解していませんQ33上級
IPA「情報セキュリティ10大脅威 2026」（組織編）の解説書で、ある企業がランサムウェアの被害に遭い、その企業に業務を任せていた複数の企業が保有する個人情報が漏えいした事例を、＜事例または傾向＞として紹介している脅威はどれか。
正解: 1. サプライチェーンや委託先を狙った攻撃
解説: IPA「情報セキュリティ10大脅威 2026」（組織編）の解説書は、2位「サプライチェーンや委託先を狙った攻撃」の＜事例または傾向＞で「業務委託先へのランサム攻撃」を取り上げ、2025年11月に業務委託先がランサムウェアの被害に遭い、同社に業務を委託していた複数の企業が保有する個…
根拠・参照資料: 個人情報の保護に関する法律第25条
関連キーワード: 情報セキュリティ10大脅威・ランサムウェア・業務委託先・委託先の監督
正解済みまだ正解していませんQ34中級
個人データを扱う情報システムを含めて事業継続計画（BCP）を策定する。内閣府「事業継続ガイドライン」（令和5年3月）の記述として、正しいものはどれか。
正解: 4. 対応策は、地震などの原因事象でなく、拠点が使えないなどの結果事象で考えることが推奨されている
解説: 内閣府「事業継続ガイドライン」（令和5年3月）は、自社に生じた事態を直下型地震のような原因事象ではなく、自社の拠点が使用不能といった結果事象により考えて対応策を検討することを推奨しています（4が正しい）。1：バックアップの取得頻度は、平常時の情報データが失われた場合にどれくらいの…
根拠・参照資料: 個人情報の保護に関する法律第23条
関連キーワード: 事業継続計画・事業継続ガイドライン・目標復旧時間・バックアップ
正解済みまだ正解していませんQ35上級
内部不正対策の体制における役割と責任について、IPA「組織における内部不正防止ガイドライン」（第5版）の記述として、正しいものはどれか。
正解: 3. 最高責任者は、内部不正対策の基本方針を策定して取締役会の決議で決定し、具体的な対策を推進する総括責任者を任命するとされている
解説: IPA「組織における内部不正防止ガイドライン」（第5版）は、最高責任者が内部不正対策の基本方針を策定して取締役会の決議で決定し、具体的な対策を実施・推進する総括責任者を任命するとしています（3が正しい）。1：内部統制委員会等がある場合に総括責任者を兼任することが望ましいとされるの…
根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）
関連キーワード: 内部不正・内部不正防止ガイドライン・最高責任者・総括責任者・部門責任者
正解済みまだ正解していませんQ36中級
中小企業が情報セキュリティ対策への取組みを自ら宣言するIPAの「SECURITY ACTION」制度について、正しいものはどれか。
正解: 2. 二つ星は、自社診断を実施した上で情報セキュリティ基本方針を策定して外部に公開し、対策に取り組むことを宣言する
解説: IPAの「SECURITY ACTION」は、中小企業が情報セキュリティ対策への取組みを自ら宣言する制度です。二つ星は、「5分でできる！情報セキュリティ自社診断」を実施した上で、情報セキュリティ基本方針を策定・外部公開し、対策に取り組むことを宣言するものです（2が正しい）。1：一…
根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）
関連キーワード: SECURITY ACTION・情報セキュリティ6か条・自社診断・中小企業
正解済みまだ正解していませんQ37上級
ガイドライン別添は、組織的安全管理措置の「個人データの取扱いに係る規律に従った運用」の手法の例示として、システムログその他の記録の整備や業務日誌の作成等により取扱いの検証を可能とする項目を挙げている。挙げられていない項目はどれか。
正解: 1. 個人情報データベース等の作成・更新の状況
解説: ガイドライン別添の組織的安全管理措置（2）「個人データの取扱いに係る規律に従った運用」は、システムログその他の個人データの取扱いに係る記録の整備や業務日誌の作成等を通じて取扱いの検証を可能とする項目として、個人情報データベース等の利用・出力状況、個人データが記載又は記録された書類…
根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）
関連キーワード: 規律に従った運用・組織的安全管理措置・システムログ・個人情報データベース等
正解済みまだ正解していませんQ38中級
漏えい等事案が発生した場合に事実関係や再発防止策を公表することの意義について、ガイドライン別添の記述として正しいものはどれか。
正解: 2. 二次被害の防止、類似事案の発生防止等の観点から、事案に応じて早急に公表することが重要である
解説: ガイドライン別添の組織的安全管理措置（4）は「漏えい等事案が発生した場合、二次被害の防止、類似事案の発生防止等の観点から、事案に応じて、事実関係及び再発防止策等を早急に公表することが重要である」としています。法律上の義務ではなく「重要である」という位置づけですが、本人への通知が困…
根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）
関連キーワード: 公表・二次被害の防止・代替措置
正解済みまだ正解していませんQ39上級
個人情報保護マネジメントシステム（PMS）を定めて運用する事業者を評価するプライバシーマーク制度について、正しいものはどれか。
正解: 1. 更新の申請は、有効期間が終了する日の8か月前から4か月前までの間に行わなければならない
解説: プライバシーマーク付与の有効期間は2年間で、以降は2年ごとに更新でき、更新申請は有効期間の終了する8か月前から4か月前までの間に行わなければなりません（1が正しい）。2は有効期間と更新の間隔が誤りです。3の付与機関は、個人情報保護委員会ではなく一般財団法人日本情報経済社会推進協会…
根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）
関連キーワード: プライバシーマーク・個人情報保護マネジメントシステム・有効期間・更新申請・JIPDEC
正解済みまだ正解していませんQ40中級
従業者の退職に伴う重要情報の持ち出しへの備えについて、IPA「組織における内部不正防止ガイドライン」（第5版）の記述として、正しいものはどれか。
正解: 3. 退職者の動向把握に努めていることをOB会の開催等を通じて退職者に認識させると、漏えいを思い止まらせる効果が期待できるとされている
解説: IPA「組織における内部不正防止ガイドライン」（第5版）は、（24）雇用終了及び契約終了による情報資産等の返却の対策のポイントで、企業・団体が退職者のその後の動向把握に努めていることを、OB会の開催等を通じて退職者に認識させることで、重要情報の漏えいを思い止まらせる効果を期待でき…
根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）
関連キーワード: 秘密保持契約・内部不正・退職・持ち出し・利用者ID
正解済みまだ正解していませんQ41中級
DoS攻撃・DDoS攻撃の説明として、最も適切なものはどれか。
正解: 1. 大量の通信を送りつけてサービスを利用不能にする攻撃であり、可用性を損なう
解説: DoS攻撃は大量の通信や高負荷の処理要求等によりサービスの提供を妨げる攻撃で、DDoS攻撃は多数の端末から分散して行うものです。情報セキュリティの三要素のうち可用性を損ないます。サービスが利用できないというだけで、個人データの内容が失われる「滅失」に当たるとはいえません。個人デー…
根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）
関連キーワード: DoS攻撃・可用性・サービス妨害・滅失と毀損の区別
正解済みまだ正解していませんQ42上級
IPA「安全なウェブサイトの作り方」で、保険的対策の一つとして「エラーメッセージをそのままブラウザに表示しない」ことが示されている脆弱性はどれか。
正解: 2. SQLインジェクション
解説: IPA「安全なウェブサイトの作り方」は、SQLインジェクションの保険的対策として、エラーメッセージをそのままブラウザに表示しないこと（1-(iii)）を挙げています。エラーメッセージにデータベースの種類やエラーの原因、実行エラーを起こしたSQL文などが含まれると、攻撃の手がかりを…
根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）
関連キーワード: 安全なウェブサイトの作り方・保険的対策・根本的解決・エラーメッセージ・プレースホルダ
正解済みまだ正解していませんQ43中級
IPA「安全なウェブサイトの作り方」は、Webアプリケーションの脆弱性の一つとしてクロスサイト・スクリプティング（XSS）を解説している。同書のXSSの解説として、正しいものはどれか。
正解: 4. XSSの脆弱性が生じやすいページの機能の例として、検索結果やエラーの表示が挙げられている
解説: 同書1.5は、XSSの脆弱性が生じやすいページの機能の例として、入力内容の確認画面、再入力を求める画面、検索結果の表示、エラー表示、コメントの反映を挙げています（4が正しい）。1は誤りで、同書は、XSS攻撃の影響はウェブサイト自体に対してではなく、そのページを閲覧している利用者に…
根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）
関連キーワード: XSS・Webアプリケーション・脆弱性・根本的解決・保険的対策
正解済みまだ正解していませんQ44上級
IPA「安全なウェブサイトの作り方」は、脆弱性を作り込まない「根本的解決」と、攻撃による影響を軽減する「保険的対策」を併せて採用することが有効な場合もあるとしている。次の対策のうち、同書で保険的対策とされているものはどれか。
正解: 2. HTTPヘッダ・インジェクション対策として、外部からの入力の全てについて改行コードを削除する
解説: IPA「安全なウェブサイトの作り方」は、脆弱性を作り込まない実装を根本的解決、攻撃による影響を軽減する対策を保険的対策とし、保険的対策のみに頼る設計は推奨されないとしたうえで、根本的解決の実装に漏れが生じた場合のセーフティネットとして、両者を併せて採用することが有効な場合もあると…
根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）
関連キーワード: 安全なウェブサイトの作り方・根本的解決・保険的対策・多層防御
正解済みまだ正解していませんQ45中級
個人データの漏えいにもつながる情報セキュリティ事故への対応について、総務省「国民のためのサイバーセキュリティサイト」は、事故対応の手順を段階に分けて示している。対応とそれを行う段階の組合せとして、同サイトの説明に合うものはどれか。
正解: 1. セキュリティ対策機関等への情報提供は、事故の初動処理の段階の対応として示されている
解説: 総務省「国民のためのサイバーセキュリティサイト」は、事故対応を、事故の検知、事故の初動処理、事故の分析、復旧作業、再発防止策の実施の順に示しています。初動処理の段階では、関連する部署への連絡、ホームページの閉鎖などの処置、利用者に被害が及ぶ可能性がある場合の速やかな連絡とともに、…
根拠・参照資料: 総務省「国民のためのサイバーセキュリティサイト」インシデントレスポンス体制整備
関連キーワード: 事故対応・初動処理・情報提供・再発防止策
正解済みまだ正解していませんQ46上級
従業者向けの情報セキュリティ教育で、パスワードの作り方や管理の方法を教える。総務省「国民のためのサイバーセキュリティサイト」の「安全なパスワードの設定・管理」の説明として、正しいものはどれか。
正解: 3. 定期的な変更を求められることがあっても、パスワードを破られたり流出したりした事実がなければ、変更する必要はないとされている
解説: 同サイトは、利用するサービスによっては定期的な変更を求められることもあるが、実際にパスワードを破られアカウントが乗っ取られる等の、サービス側から流出した事実がない場合は変更する必要はないとし、定期的な変更はかえって作り方のパターン化や使い回しを招くとしています（3が正しい）。流出…
根拠・参照資料: 総務省「国民のためのサイバーセキュリティサイト」安全なパスワードの設定・管理
関連キーワード: パスワード・パスワード管理ツール・マスターパスワード・定期的な変更・情報セキュリティ教育
正解済みまだ正解していませんQ47中級
経済産業省「サイバーセキュリティ経営ガイドライン Ver 3.0」は、重要10項目の対策例として、告示（コンピュータウイルス対策基準、コンピュータ不正アクセス対策基準）に基づいてマルウェア情報や不正アクセス情報の届出をすることを挙げている。この届出の相手として挙げられているのはどれか。
正解: 3. 独立行政法人情報処理推進機構
解説: 同ガイドラインの指示10（サイバーセキュリティに関する情報の収集、共有及び開示の促進）は、対策例に、IPA（独立行政法人情報処理推進機構）に対し、告示（コンピュータウイルス対策基準、コンピュータ不正アクセス対策基準）に基づいてマルウェア情報や不正アクセス情報の届出をすることを挙げ…
根拠・参照資料: 個人情報の保護に関する法律第23条（経済産業省・独立行政法人情報処理推進機構「サイバーセキュリティ経営ガイドライン Ver 3.0」）
関連キーワード: サイバーセキュリティ経営ガイドライン・届出・マルウェア・不正アクセス・JPCERT
正解済みまだ正解していませんQ48上級
経済産業省「サイバーセキュリティ経営ガイドライン Ver 3.0」は、サイバーセキュリティリスク管理に関するKPIを定め、組織内の経営リスクに関する委員会においてその状況を経営者に報告することを対策例に挙げ、KPIとして考えられる指標を例示している。次のうち、その例示に含まれていないものはどれか。
正解: 1. 標的型メール訓練の開封率
解説: 同ガイドラインの指示6（PDCAサイクルによるサイバーセキュリティ対策の継続的改善）の対策例は、リスク対応に関する組織内パフォーマンスの評価の観点から、KPIとして、対策をしなかった場合の被害額、サイバーセキュリティに関わる原因によるサービス中断時間、サイバーセキュリティ研修の受…
根拠・参照資料: 個人情報の保護に関する法律第23条（経済産業省・独立行政法人情報処理推進機構「サイバーセキュリティ経営ガイドライン Ver 3.0」）
関連キーワード: サイバーセキュリティ経営ガイドライン・KPI・経営リスク・指標
正解済みまだ正解していませんQ49中級
経済産業省「サイバーセキュリティ経営ガイドライン Ver 3.0」の「経営者が認識すべき3原則」は、平時及び緊急時のいずれにおいても効果的なサイバーセキュリティ対策を実施するためには、何が必要であるとしているか。
正解: 1. 社外の利害関係者や社内の関係者との積極的なコミュニケーション
解説: 同ガイドラインの3原則は、（1）経営者がサイバーセキュリティリスクを自社のリスクマネジメントにおける重要課題と認識し、自らのリーダーシップのもとで対策を進めること、（2）自社のみならず国内外の拠点、ビジネスパートナーや委託先等、サプライチェーン全体にわたる対策への目配り、（3）平…
根拠・参照資料: 個人情報の保護に関する法律第23条（経済産業省・独立行政法人情報処理推進機構「サイバーセキュリティ経営ガイドライン Ver 3.0」）
関連キーワード: サイバーセキュリティ経営ガイドライン・3原則・コミュニケーション・サプライチェーン
正解済みまだ正解していませんQ50上級
通則編ガイドライン別添の安全管理措置のうち、どこまでが事業者の義務とされるかについて、同ガイドライン及び同ガイドラインに関するQ&Aの説明として正しいものはどれか。
正解: 2. 個人情報取扱台帳の作成は、取扱状況を確認する手段の整備として義務付けられているわけではない。
解説: Q&A（Q10-10）は、「個人データの取扱状況を確認する手段の整備」で講じる必要があるのは取扱状況を確認できる手段の整備であり、いわゆる個人情報取扱台帳の作成が義務付けられているわけではないとしています（2が正しい）。基本方針の策定は義務ではなく、策定した場合の公表も義務付けら…
根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添、同ガイドラインに関するQ&A）
関連キーワード: 安全管理措置・基本方針・外的環境の把握・中小規模事業者・入退室管理
正解済みまだ正解していませんQ51中級
通則編ガイドラインは、個人情報の取扱いに関する苦情処理（法第40条関係）の注記で、本人との信頼関係を構築し事業活動に対する社会の信頼を確保するためには、プライバシーポリシー等を策定・公表して、あらかじめ対外的に分かりやすく説明することのほか、何を進めることも重要であるとしているか。
正解: 2. 委託処理の透明化
解説: ガイドライン3-9（法第40条関係）の注記は、消費者等本人との信頼関係を構築し事業活動に対する社会の信頼を確保するためには、いわゆるプライバシーポリシー等を策定し、ホームページへの掲載又は店舗の見やすい場所への掲示等により公表し、あらかじめ対外的に分かりやすく説明することや、委託…
根拠・参照資料: 個人情報の保護に関する法律第40条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」3-9）
関連キーワード: プライバシーポリシー・苦情処理・透明化・信頼関係
正解済みまだ正解していませんQ52上級
従業者の監督（法第24条）その他安全管理措置の一環として、個人データを取り扱う従業者を対象にビデオやオンラインによるモニタリングを実施する場合について、通則編ガイドラインに関するQ&Aの説明として正しいものはどれか。
正解: 4. あらかじめモニタリングの実施に関するルールを策定し、その内容を運用者に徹底することが留意点とされている。
解説: Q&A（Q5-7）は、従業者を対象とするビデオ及びオンラインによるモニタリングの留意点として、目的をあらかじめ特定した上で社内規程等に定め、従業者に明示すること、実施に関する責任者及びその権限を定めること、あらかじめ実施に関するルールを策定し、その内容を運用者に徹底すること（4が…
根拠・参照資料: 個人情報の保護に関する法律第23条、第24条（個人情報保護委員会「『個人情報の保護に関する法律についてのガイドライン』に関するQ&A」Q5-7）
関連キーワード: モニタリング・従業者の監督・重要事項等・労働組合等・社内規程
正解済みまだ正解していませんQ53中級
中小規模事業者に当たるかどうかを判定する際の「従業員の数」について、通則編ガイドラインのQ&Aは、どの時点の数で判定するとしているか。なお、事業者は法人であるものとする。
正解: 3. 各事業年度末の時点の従業員の数
解説: Q&A（Q10-2）は、中小規模事業者の定義における従業員の数は、事業年度末（事業年度がない場合には年末等）の従業員の数で判定し、毎年同時期に見直しを行う必要があるとしています（3が正しい）。別添の定義にある「過去6月以内のいずれかの日」は、事業の用に供する個人情報データベース等…
根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添冒頭（※2）（※3）、同ガイドラインに関するQ&A）
関連キーワード: 中小規模事業者・従業員の数・事業年度・特定の個人の数
正解済みまだ正解していませんQ54上級
通則編ガイドライン別添は、安全管理措置の手法を事業の規模及び性質等に起因するリスクに応じて選ぶ考え方をとり、「中小規模事業者」には別の手法の例示を示している。この「中小規模事業者」の定義として正しいものはどれか。
正解: 3. 従業員の数が100人以下の個人情報取扱事業者（一定の者を除く。）
解説: 別添は、安全管理措置の具体的な手法は、本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況等に起因するリスクに応じて必要かつ適切な内容とすべきで、例示の全てを講じなければならないわけではないとしています。そのうえで「中小規模事業者」を、従業員の数が1…
根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添冒頭（※2））
関連キーワード: 中小規模事業者・安全管理措置・通則編ガイドライン・従業員の数
正解済みまだ正解していませんQ55中級
経済産業省「サイバーセキュリティ経営ガイドライン Ver 3.0」の重要10項目で、「インシデント収束後の再発防止策の策定、所管省庁等への報告手順も含めて演習を行う」ことが対策例として挙げられている指示はどれか。
正解: 1. インシデント発生時の緊急対応体制の整備
解説: 指示7「インシデント発生時の緊急対応体制の整備」は、CSIRT等の対応体制を整備させ、インシデント発生時の対応について適宜実践的な演習を実施させるとし、対策例に、インシデント収束後の再発防止策の策定や所管省庁等への報告手順も含めて演習を行うことを挙げています（1が正しい）。指示8…
根拠・参照資料: 個人情報の保護に関する法律第23条（経済産業省・独立行政法人情報処理推進機構「サイバーセキュリティ経営ガイドライン Ver 3.0」）
関連キーワード: サイバーセキュリティ経営ガイドライン・重要10項目・演習・再発防止策
正解済みまだ正解していませんQ56上級
通則編ガイドライン別添の組織的安全管理措置「漏えい等事案に対応する体制の整備」は、漏えい等事案の発生時に行う対応の例を挙げ、それらを行うための体制を整備することが考えられるとしている。次のうち、別添がその対応の例に挙げていないものはどれか。
正解: 4. 影響が及ぶ範囲を特定すること
解説: 別添の組織的安全管理措置（4）の手法の例示は、漏えい等事案の発生時に、事実関係の調査及び原因の究明、影響を受ける可能性のある本人への通知、個人情報保護委員会等への報告、再発防止策の検討及び決定、事実関係及び再発防止策等の公表等の対応を行うための体制を整備することが考えられるとして…
根拠・参照資料: 個人情報の保護に関する法律第23条、第26条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添、3-5-2）
関連キーワード: 漏えい等事案・体制の整備・組織的安全管理措置・再発防止策
正解済みまだ正解していませんQ57中級
経済産業省「サイバーセキュリティ経営ガイドライン Ver 3.0」の重要10項目で、「役割遂行に求められる責任や専門性、人的資源の状況に応じて、組織内要員で対応すべきものと外部の専門サービスに委託すべきものとの切り分けを行う」ことが対策例として挙げられている指示はどれか。
正解: 1. サイバーセキュリティリスク管理体制の構築
解説: 指示2「サイバーセキュリティリスク管理体制の構築」は、各関係者の役割と責任を明確にした上でリスク管理体制を構築させるもので、対策例に、役割遂行に求められる責任や専門性、人的資源の状況に応じて、組織内要員で対応すべきものと外部の専門サービスに委託すべきものとの切り分けを行うことを挙…
根拠・参照資料: 個人情報の保護に関する法律第23条（経済産業省・独立行政法人情報処理推進機構「サイバーセキュリティ経営ガイドライン Ver 3.0」）
関連キーワード: サイバーセキュリティ経営ガイドライン・重要10項目・管理体制・専門サービス
正解済みまだ正解していませんQ58上級
組織的安全管理措置の「取扱状況の把握及び安全管理措置の見直し」には、手法の例示として監査の実施が挙げられている。通則編ガイドラインのQ&Aが、この監査の実施に当たって準拠することが考えられる規格の例として挙げているものはどれか。
正解: 4. JIS Q 19011（ISO 19011）
解説: Q&A（Q10-11）は、組織的安全管理措置の「取扱状況の把握及び安全管理措置の見直し」の手法の例示にある監査について、例えばマネジメントシステム監査指針であるJIS Q 19011（ISO 19011）に準拠した監査を行うことが考えられるが、これに限られるわけではないとしていま…
根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添、同ガイドラインに関するQ&A）
関連キーワード: 取扱状況の把握・安全管理措置の見直し・監査・規格
正解済みまだ正解していませんQ59中級
個人情報の取扱いに関する苦情処理について、通則編ガイドライン3-9が「努めなければならない」（努力義務）ではなく「しなければならない」としている事項はどれか。
正解: 2. 保有個人データの取扱いに関する苦情の申出先を、本人の知り得る状態に置くこと
解説: ガイドライン3-9は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならず（3）、苦情処理窓口の設置や苦情処理の手順を定める等必要な体制の整備に努めなければならない（1）としており、いずれも努力義務です（法第40条）。一方、保有個人データの取扱いに関する苦情の申出…
根拠・参照資料: 個人情報の保護に関する法律第40条、第32条第1項第4号、個人情報の保護に関する法律施行令第10条第2号・第3号
関連キーワード: 苦情処理・努力義務・苦情の申出先・体制の整備
正解済みまだ正解していませんQ60上級
個人データの取扱いの委託における委託元と委託先の役割の分担や、委託先に求められる事項について、通則編ガイドライン及び同ガイドラインに関するQ&Aの説明として正しいものはどれか。
正解: 4. 委託元が法第23条を超える水準の措置を講じていても、法律上、委託先は法第23条の水準の措置を講じれば足りるとされている
解説: 通則編3-4-4（※2）とQ&A（Q5-10）は、委託元が法第23条が求める水準を超える高い水準の安全管理措置を講じている場合でも、委託先に同等の措置を求める趣旨ではなく、法律上は、委託先は法第23条が求める水準の安全管理措置を講じれば足りるとしています（4が正しい）。1は誤りで…
根拠・参照資料: 個人情報の保護に関する法律第25条、第21条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」3-4-4、同ガイドラインに関するQ&A）
関連キーワード: 委託先の監督・誓約書・利用目的・安全管理措置
正解済みまだ正解していませんQ61中級
経済産業省「サイバーセキュリティ経営ガイドライン Ver 3.0」の重要10項目で、「サイバーセキュリティ対策の状況について、情報セキュリティ報告書、CSR報告書、サステナビリティレポートや有価証券報告書等への記載を通じた公表、又はサプライチェーン関係者への個別の開示等に取り組む」ことが対策例として挙げられている指示はどれか。
正解: 3. PDCAサイクルによるサイバーセキュリティ対策の継続的改善
解説: 指示6「PDCAサイクルによるサイバーセキュリティ対策の継続的改善」は、PDCAサイクルを運用させ、株主やステークホルダーからの信頼を高めるため改善状況を適切に開示させるとし、対策例に、対策の状況について報告書等への記載を通じた公表やサプライチェーン関係者への個別の開示等に取り組…
根拠・参照資料: 個人情報の保護に関する法律第23条（経済産業省・独立行政法人情報処理推進機構「サイバーセキュリティ経営ガイドライン Ver 3.0」）
関連キーワード: サイバーセキュリティ経営ガイドライン・重要10項目・PDCAサイクル・開示
正解済みまだ正解していませんQ62上級
個人データの棚卸しの結果、不要になった個人データの削除と古いパソコンの廃棄を進めることにした。ガイドライン（通則編）別添で、中小規模事業者における手法の例示として「個人データを削除し、又は、個人データが記録された機器、電子媒体等を廃棄したことを、責任ある立場の者が確認する」ことが示されているのは、どの区分の安全管理措置か。
正解: 2. 物理的安全管理措置
解説: 別添の物理的安全管理措置（4）「個人データの削除及び機器、電子媒体等の廃棄」は、個人データを削除し又は個人データが記録された機器、電子媒体等を廃棄する場合は復元不可能な手段で行わなければならないとし、中小規模事業者における手法の例示として、削除又は廃棄したことを責任ある立場の者が…
根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」10（別添）講ずべき安全管理措置の内容物理的安全管理措置（4））
関連キーワード: 棚卸し・廃棄・中小規模事業者・安全管理措置
正解済みまだ正解していませんQ63中級
個人データを取り扱う機器の盗難等の防止について、ガイドライン（通則編）別添の物理的安全管理措置の手法の例示が、当該機器をセキュリティワイヤー等により固定するとしているのは、どのような場合か。
正解: 1. 個人データを取り扱う情報システムが機器のみで運用されている場合
解説: 別添の物理的安全管理措置（2）「機器及び電子媒体等の盗難等の防止」は、個人データを取り扱う機器、電子媒体及び書類等の盗難又は紛失等を防止するために適切な管理を行わなければならないとし、手法の例示として、施錠できるキャビネット・書庫等への保管と、個人データを取り扱う情報システムが機…
根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」10（別添）講ずべき安全管理措置の内容物理的安全管理措置（2））
関連キーワード: 盗難・セキュリティワイヤー・物理的安全管理措置・手法の例示
正解済みまだ正解していませんQ64中級
情報セキュリティにおける「真正性」の説明として、最も適切なものはどれか。
正解: 4. 利用者や情報が主張どおりのものであることを確実にする特性
解説: 真正性（Authenticity）は、利用者・プロセス・システム・情報が主張どおりのものであることを確実にする特性です。機密性・完全性・可用性に加えて用いられる要素で、認証によって担保されます。ガイドライン別添の技術的安全管理措置（2）が求めるアクセス者の識別と認証は、この真正性…
根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）
関連キーワード: 真正性・認証・識別と認証
正解済みまだ正解していませんQ65上級
責任追跡性を確保するにはログの取得と分析が欠かせない。ガイドライン（通則編）別添の技術的安全管理措置で、ログ等の定期的な分析による検知を手法の例示に含めているのは、どの措置の欄か。
正解: 1. 外部からの不正アクセス等の防止
解説: 別添の技術的安全管理措置（3）「外部からの不正アクセス等の防止」は、個人データを取り扱う情報システムを外部からの不正アクセス又は不正ソフトウェアから保護する仕組みを導入し、適切に運用しなければならないとし、手法の例示に、ファイアウォール等の設置、セキュリティ対策ソフトウェア等の導…
根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」10（別添）講ずべき安全管理措置の内容技術的安全管理措置（3））
関連キーワード: 責任追跡性・ログ・技術的安全管理措置・手法の例示
正解済みまだ正解していませんQ66中級
漏えい等事案への対応手順を社内規程に定めるため、個人情報保護委員会に漏えい等の報告をする場合の方法を確認した。ガイドライン（通則編）3-5-3-3が原則とする報告の方法はどれか。
正解: 4. 個人情報保護委員会のホームページの報告フォームに入力する方法
解説: 3-5-3-3は、個人情報保護委員会への漏えい等報告について、規則第8条第1項各号の事項を、原則として個人情報保護委員会のホームページの報告フォームに入力する方法により行うとしています（肢4）。規則第8条第3項第1号も、委員会への報告は電子情報処理組織を使用する方法によるとしたう…
根拠・参照資料: 個人情報の保護に関する法律第26条第1項、個人情報の保護に関する法律施行規則第8条第1項・第3項（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」3-5-3-3）
関連キーワード: 社内規程・漏えい等報告・個人情報保護委員会・電子情報処理組織
正解済みまだ正解していませんQ67上級
ガイドライン（通則編）3-4-4（3）が、再委託について委託元が委託先から事前報告を受け又は承認を行う対象として明示している事項は、次のうちどれか。
正解: 2. 再委託先の個人データの取扱方法
解説: 通則編3-4-4（3）が事前報告又は承認の対象として挙げるのは、再委託する相手方、再委託する業務内容、再委託先の個人データの取扱方法等です。したがって2が該当します。1の利用目的、3の安全管理体制、4の保管場所は、この列挙で独立した事項として明示されたものではありません。これらを…
根拠・参照資料: 個人情報の保護に関する法律第25条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」3-4-4（委託先の監督））
関連キーワード: 再委託・事前報告・承認・委託元
正解済みまだ正解していませんQ68中級
内部通報などを通じて漏えい等の事態が社内で把握される場面に関連して、法人である個人情報取扱事業者が報告対象事態を「知った」時点（報告期限の起算点）について、ガイドライン（通則編）3-5-3-3が基準とするものはどれか。
正解: 4. いずれかの部署が当該事態を知った時点
解説: ガイドライン3-5-3-3は、報告期限の起算点となる「知った」時点は個別の事案ごとに判断されるが、個人情報取扱事業者が法人である場合には、いずれかの部署が当該事態を知った時点を基準とするとしています（肢4）。責任者や代表者が知った時点（肢1・肢2）を基準とするものではありません。…
根拠・参照資料: 個人情報の保護に関する法律第26条第1項、個人情報の保護に関する法律施行規則第7条・第8条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」3-5-3-3、3-5-3-4）
関連キーワード: 内部通報・報告期限・起算点・速報・報告対象事態
正解済みまだ正解していませんQ69上級
ガイドライン（通則編）別添が、中小規模事業者における手法の例示として「個人データを取り扱うことのできる従業者及び本人以外が容易に個人データを閲覧等できないような措置を講ずる」ことを示している措置はどれか。
正解: 1. 物理的安全管理措置の「個人データを取り扱う区域の管理」
解説: 別添の物理的安全管理措置（1）「個人データを取り扱う区域の管理」は、管理区域と取扱区域について、それぞれ適切な管理を行わなければならないとし、中小規模事業者における手法の例示として、個人データを取り扱うことのできる従業者及び本人以外が容易に個人データを閲覧等できないような措置を講…
根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」10（別添）講ずべき安全管理措置の内容物理的安全管理措置（1））
関連キーワード: 中小規模事業者・閲覧・手法の例示・安全管理措置
正解済みまだ正解していませんQ70中級
従業者に個人データを取り扱わせる際の監督について、ガイドライン（通則編）3-4-3（従業者の監督）が「従業者に対して必要かつ適切な監督を行っていない事例」として挙げているものはどれか。
正解: 3. 内部規程に違反して個人データ入りのノート型パソコンが繰り返し持ち出されていたのに放置した結果、紛失により漏えいした場合
解説: 3-4-3は、法第24条に基づき従業者に対する必要かつ適切な監督をしなければならないとし、監督を行っていない事例として、従業者が安全管理措置を定める規程等に従って業務を行っていることを確認しなかった結果、個人データが漏えいした場合と、内部規程等に違反して個人データが入ったノート型…
根拠・参照資料: 個人情報の保護に関する法律第24条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」3-4-3（従業者の監督））
関連キーワード: 従業者の監督・法第24条・研修・安全管理措置
正解済みまだ正解していませんQ71上級
個人データの漏えい等が生じ、法第26条第2項による本人への通知を要する場合について、施行規則及びガイドライン（通則編）3-5-4の記述として正しいものはどれか。
正解: 3. 委託先が、報告義務を負っている委託元に所定の事項を通知したときは、委託先は本人への通知の義務も免除されるとされている。
解説: 3-5-4-1は、委託先が報告義務を負っている委託元に3-5-3-3（1）から（9）までの事項のうちその時点で把握しているものを通知したときは、委託先は報告義務を免除されるとともに本人への通知義務も免除されるとしています（肢3。法第26条第2項括弧書）。本人に通知すべき事項は規則…
根拠・参照資料: 個人情報の保護に関する法律第26条第1項ただし書・第2項、個人情報の保護に関する法律施行規則第8条第1項・第10条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」3-5-4-1、3-5-4-2、3-5-4-3、3-5-4-4）
関連キーワード: 本人への通知・漏えい等報告・委託先・確報
正解済みまだ正解していませんQ72中級
規則第7条第3号の「不正の目的をもって行われたおそれがある当該個人情報取扱事業者に対する行為」（不正行為）による個人データの漏えい等について、施行規則及びガイドライン（通則編）上、正しいものはどれか。
正解: 4. 統計情報へ加工する予定の個人情報でも、個人情報データベース等へ入力する予定があれば、第3号の対象に含まれるとされている。
解説: 3-5-3-1（3）は、個人情報データベース等へ入力すること等を予定していれば、最終的に統計情報への加工を予定している場合等でも「個人データとして取り扱われることが予定されている」に該当するとしており、このような取得しようとしている個人情報も第3号の対象となります（肢4）。確報の…
根拠・参照資料: 個人情報の保護に関する法律第26条第1項、個人情報の保護に関する法律施行規則第7条第1号・第3号、第8条第2項（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」3-5-3-1）
関連キーワード: 不正の目的・漏えい等・確報・取得しようとしている個人情報
正解済みまだ正解していませんQ73上級
委託元Aは、顧客の個人データXの取扱いを委託先Bに委託している。Bにおいて個人データXの漏えい等が発生し、報告対象事態に当たる。個人情報保護委員会への報告義務を原則として負う者について、ガイドライン（通則編）3-5-3-2の考え方に合うものはどれか。
正解: 2. 委託元Aと委託先Bの双方
解説: 3-5-3-2は、漏えい等報告の義務を負う主体は、原則として、漏えい等が発生し又は発生したおそれがある個人データを取り扱う個人情報取扱事業者であり、個人データの取扱いを委託している場合は委託元と委託先の双方が個人データを取り扱っていることになるため、報告対象事態に該当するときは原…
根拠・参照資料: 個人情報の保護に関する法律第26条第1項、個人情報の保護に関する法律施行規則第9条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」3-5-3-2、3-5-3-5）
関連キーワード: 委託元・委託先・報告義務・漏えい等
正解済みまだ正解していませんQ74中級
個人データの取扱いの委託先で報告対象事態が発生した。委託先が、報告義務を負う委託元に所定の事項を通知して自らの報告義務を免れる場合、その通知を行う時期の目安として、ガイドライン（通則編）3-5-3-5が示すものはどれか。なお、起算点は委託先が当該事態の発生を知った時点とする。
正解: 4. 概ね3～5日以内
解説: 3-5-3-5は、委託先が、報告義務を負っている委託元に3-5-3-3（1）から（9）までの事項のうちその時点で把握しているものを通知したときは報告義務を免除されるとし、委託元への通知は、速報としての報告と同様に、報告対象事態を知った後速やかに行わなければならないとしています。そ…
根拠・参照資料: 個人情報の保護に関する法律第26条第1項ただし書、個人情報の保護に関する法律施行規則第9条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」3-5-3-5）
関連キーワード: 委託先・委託元への通知・報告義務・速報
正解済みまだ正解していませんQ75上級
取扱状況の点検に使う確認表を作るため、ガイドライン（通則編）別添の「中小規模事業者における手法の例示」と、その例示が置かれている講じなければならない措置との組合せを整理した。組合せとして誤っているものはどれか。
正解: 1. 技術的安全管理措置の「アクセス者の識別と認証」の欄に、個人データを取り扱うことのできる機器及び当該機器を取り扱う従業者を明確化することが示されている。
解説: 中小規模事業者における手法の例示のうち、個人データを取り扱うことのできる機器及び当該機器を取り扱う従業者を明確化し、個人データへの不要なアクセスを防止することは、技術的安全管理措置（1）「アクセス制御」の欄に置かれています。（2）「アクセス者の識別と認証」の欄に示されているのは、…
根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」10（別添）講ずべき安全管理措置の内容）
関連キーワード: 点検・中小規模事業者・技術的安全管理措置・手法の例示

この科目の学習ポイントを読む

ぴよパスでは個人情報保護士認定試験の問題を7カテゴリに分けています。脅威と対策・組織的人的セキュリティにはオリジナル予想問題を75問収録し、サイト内の個人情報保護士認定試験全476問の約16%を占めます。この割合は本試験の出題比率ではありません。このカテゴリの収録テーマには中小規模事業者・安全管理措置・手法の例示・組織的安全管理措置などがあります。本試験の情報は合格率41.5%・試験時間150分・受験料11,000円です。

回答後に解説を読み、分からなかった用語や手順をテキストで確かめてから解き直す使い方ができます。75問のうち75問には根拠・参照資料の情報があります。関連する用語や条件は、個人情報保護法の総説と定義・個人情報に関する義務・個人データに関する義務などのカテゴリでも確認できます。模擬試験はPremiumの機能です。問題数・科目構成・制限時間は模試の開始画面で確認してください。

主な出題テーマ:中小規模事業者安全管理措置手法の例示組織的安全管理措置サイバーセキュリティ経営ガイドライン技術的安全管理措置

脅威と対策・組織的人的セキュリティの出題傾向 — 収録全75問の分析

ぴよパスに収録している個人情報保護士認定試験「脅威と対策・組織的人的セキュリティ」のオリジナル練習問題全75問を集計した、実データに基づく傾向まとめです

難易度の構成

初級4問・中級40問・上級31問の全75問構成です。うち75問の解説には、根拠・参照資料を記載しています。

頻出テーマ (出題数の多い順)

中小規模事業者8問
安全管理措置8問
手法の例示7問
組織的安全管理措置7問
サイバーセキュリティ経営ガイドライン6問

次の科目へ

オフィス・情報システムセキュリティ76 問

Premium 限定

力試しをしませんか？

本番形式の模擬試験で実力を確認しましょう。時間制限つきの本番さながらの環境で腕試しができます。

模擬試験を受ける

学習に使える参考書 3 冊 PR

編集部の評価 (解説・演習・法令) と対象読者を並べました。

横にスクロールして 3 冊を比較できます

	#1 改訂8版個人情報保護士認定試験公式テキスト	#2 改訂新版個人情報保護士認定試験公式精選問題集	#3 改訂第6版個人情報保護士認定試験公式精選過去問題集
役割	課題Ⅰ・課題Ⅱ を 1 冊で通す公式テキストの本命	本番と同じ100問×2回分。時間配分を体で覚える	公式が過去問を出さない試験で、出題の言い回しに触れられる 1 冊
解説
演習
法令
こんな人に	はじめて受験する人で、法令とセキュリティの両方を体系立てて学びたい層。実務で個人情報を扱う担当者にもそのまま使える。	テキストを一周し終えて、本番形式で通す段階に入った人。制限時間 150 分の配分を確かめたい層。	テキストと問題集を終え、より多くの演習量で仕上げたい層。前回不合格で出題傾向を掴み直したい人にも。
	Amazonで価格を見る	Amazon で見る	Amazon で見る

3 冊の紹介文を読む

課題Ⅰ・課題Ⅱ を 1 冊で通す公式テキストの本命
改訂8版個人情報保護士認定試験公式テキスト
柴原健次、坂東利国、克元亮、福田啓二ほか・日本能率協会マネジメントセンター
課題Ⅰ (個人情報保護法・マイナンバー法) と課題Ⅱ (情報セキュリティ) の両方を 1 冊で押さえられる公式テキスト。合格には課題Ⅰ・課題Ⅱ 各 70% が必要で、片方だけ仕上げても受からない試験なので、範囲を分断しない教材が要る。2023年施行内容とマイナンバー法の関連法規まで解説しており、A5判452ページと分量も十分。
本番と同じ100問×2回分。時間配分を体で覚える
改訂新版個人情報保護士認定試験公式精選問題集
全日本情報学習振興協会編集部・マイナビ出版
実施団体が編集する問題集で、100問×2回分の計200問を収録。本試験は 100問150分でありながら公式が公開する参考問題は 24 問しかないため、本番と同じ分量を通しで解ける教材はここが中心になる。時間配分の練習に直結する。
公式が過去問を出さない試験で、出題の言い回しに触れられる 1 冊
改訂第6版個人情報保護士認定試験公式精選過去問題集
柴原健次 (監修: 一般財団法人全日本情報学習振興協会)・日本能率協会マネジメントセンター
公式が過去問を一般公開していない試験なので、市販の精選過去問題集が実際の出題の言い回しに触れられる数少ない手段になる。A5判492頁と演習量が多く、テキストと問題集を終えたあとの詰めに向く。

書籍情報の確認日: 2026-08-24（3 冊とも）

書籍情報の確認日は、Amazon評価の時点を示すものではありません。最新の評価・版・対応年度・価格は商品ページでご確認ください。

※ 本セクションは Amazon アソシエイト・プログラムに基づく紹介リンクを含みます。リンク経由で商品が購入された場合、当サイトは Amazon.co.jp から紹介料を受け取ります。価格・在庫状況は変動するため、最新情報は Amazon.co.jp のページでご確認ください。

脅威と対策・組織的人的セキュリティ — よくある質問

この科目の問題数・学習順序・出題比率・合格ラインの目安をまとめました

個人情報保護士認定試験の脅威と対策・組織的人的セキュリティは何問用意されていますか？: ぴよパスでは個人情報保護士認定試験の脅威と対策・組織的人的セキュリティに全75問のオリジナル練習問題を用意しています。個人情報保護士認定試験の収録全476問のうち約16%です。回答後に解説を確認できます。初級・中級・上級のバッジは問題の難易度の目安で、解いた人の習熟度を示すものではありません。
脅威と対策・組織的人的セキュリティはどんな順序で学習するのがおすすめですか？: テキストで学んだ範囲や、確認したい用語の問題から取り組めます。迷う場合は一覧の先頭から数問解き、解説を読んでも分からない箇所をテキストで確認してください。問題番号は一覧内の順番です。ぴよパスでは個人情報保護士認定試験の問題を7カテゴリ（脅威と対策・組織的人的セキュリティ / 個人情報保護法の総説と定義・個人情報に関する義務・個人データに関する義務・保有個人データ・仮名加工情報・匿名加工情報）に分けているので、関連する内容は別のカテゴリでも確認できます。
脅威と対策・組織的人的セキュリティの問題数は、通常演習と模試でどう違いますか？: 脅威と対策・組織的人的セキュリティは、ぴよパスで個人情報保護士認定試験の問題を分けている7カテゴリの一つです。ぴよパスに収録している脅威と対策・組織的人的セキュリティの問題数は75問 / 全476問で、収録全体の約16%にあたります。ぴよパスの模擬試験の基本設定では、脅威と対策・組織的人的セキュリティを全100問中25問（約25%）出題します。これは模試の配分であり、本試験の出題比率を示すものではありません。
脅威と対策・組織的人的セキュリティで合格ラインを割らないためのコツはありますか？: 個人情報保護士認定試験の合格基準は「課題Ⅰ・課題Ⅱそれぞれで正答率70%以上」です。科目別の条件は「片方の課題だけが高得点でも合格できません。問題の難易度により調整され、正答率70%以下でも合格となる場合があります。」です。サイト内のカテゴリ分けと本試験の科目区分は一致しない場合があります。脅威と対策・組織的人的セキュリティの正答率だけで合否を判断せず、間違えた問題の内容と、本試験で適用される基準を確認してください。