個人情報保護士認定試験 脅威と対策・組織的人的セキュリティ 練習問題 第19問: 通則編ガイドライン別添が、「重要である」とする事項ではなく、個人情報取扱事業者が講じなければならない措置として示しているものはどれか。

正解: 2. 個人データの漏えい等の防止その他の安全管理のために、具体的な取扱いに係る規律を整備すること

別添の「個人データの取扱いに係る規律の整備」は、個人データの漏えい等の防止その他の安全管理のために、個人データの具体的な取扱いに係る規律を整備しなければならないとしています（2が正しい）。これに対し、基本方針の策定は「重要である」とされています（1）。組織的安全管理措置（2）のなお書きは、規律に従った運用の状況を確認するために利用状況等を記録することも「重要である」としています（3）。取扱規程に組織的・人的・物理的安全管理措置（情報システムを使う場合は技術的安全管理措置も）の内容を織り込むことも「重要である」とされ、講じなければならない措置としては示されていません（4）。

根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

関連キーワード: 規律の整備・基本方針・取扱規程・講じなければならない措置