個人情報保護士認定試験 オフィス・情報システムセキュリティ 練習問題 第2問: アクセス制御について、ガイドライン（通則編）別添上、正しいものはどれか。

正解: 3. 担当者及び取り扱う個人情報データベース等の範囲を限定するために、適切なアクセス制御を行わなければならない

ガイドライン別添の技術的安全管理措置（1）は「担当者及び取り扱う個人情報データベース等の範囲を限定するために、適切なアクセス制御を行わなければならない」と定めています。手法の例示として、個人情報データベース等を取り扱うことのできる情報システムを限定すること、ユーザーIDに付与するアクセス権により使用できる従業者を限定することが挙げられています。必要最小限の権限のみを与える考え方（最小権限の原則）に基づくものです。ICカード等による入退室管理は、物理的安全管理措置（個人データを取り扱う区域の管理）の手法の例示です。

根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

関連キーワード: アクセス制御・最小権限の原則・ユーザーID