個人情報保護士認定試験 脅威と対策・組織的人的セキュリティ 練習問題 第57問: 個人データを取り扱う情報システムの変更管理について、最も適切なものはどれか。

正解: 1. 変更の影響を事前に評価し、承認を経たうえで実施し、記録を残す

情報システムの変更は、意図しない権限の付与や設定の後退を招き、個人データの漏えいにつながることがあります。事前の影響評価、承認、記録という統制は、ガイドライン別添の組織的安全管理措置（2）が求める規律に従った運用と、その検証を可能とする記録の整備に対応します。本番環境での直接試行は事故のリスクが高く不適切です。

根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

関連キーワード: 変更管理・承認・記録の整備