Question 1

個人情報の保護に関する法律における「個人情報」に当たるものとして正しいものはどれか。

Accepted Answer

生存する個人を識別できる情報。個人情報の保護に関する法律は、個人情報を「生存する個人に関する情報であって、氏名・生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができるものを含む）」および個人識別符号が含まれるもの、と定めています。押さえるべき要点は三つです。第一に、対象は生存する個人であること。第二に、特定の個人が誰かを見分けられることが必要であること。第三に、他の情報と照らし合わせれば見分けられる場合も含むことです。したがって氏名だけでも個人情報に当たりますし、業務で受け取った名刺に載っている情報も対象になります。他の選択肢について：・法人の登記事項：法人そのものの情報は個人情報に当たりません（担当者個人の情報は別に判断します）。・統計として集計された数値：特定の個人を識別できない形にまとめられていれば、個人情報ではありません。・亡くなった方に関する情報：この法律の対象は生存する個人であり、故人の情報は個人情報に当たりません。

Question 2

個人情報の保護に関する法律において、取扱いに特に配慮を要する「要配慮個人情報」に当たるものはどれか。

Accepted Answer

本人の病歴。要配慮個人情報とは、それが知られることで不当な差別や偏見その他の不利益が生じないよう、特に配慮を要する情報のことです。法律と政令で対象が具体的に挙げられており、人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実、身体障害等の障害があること、健康診断等の結果などが含まれます。したがって本人の病歴が該当します。通常の個人情報より扱いが厳しく、取得する時点で原則として本人の同意が必要です。また、本人の同意を得ずに第三者へ提供するためのオプトアウトという手続も、要配慮個人情報には使えません。漏えいした場合は、人数にかかわらず個人情報保護委員会への報告が必要になります。他の選択肢について：・勤務先：個人情報ではありますが、要配慮個人情報として挙げられた事項には含まれません。・携帯番号：連絡先として個人情報に当たりますが、要配慮個人情報には該当しません。・最終学歴：経歴に関する情報ですが、要配慮個人情報として定められた事項ではありません。

Question 3

個人データの漏えいが発生し、個人情報の保護に関する法律に基づく報告が必要な事態に当たると判断された。報告先として正しいものはどれか。

Accepted Answer

個人情報保護委員会。個人データの漏えい等が一定の事態に当たるときは、個人情報保護委員会へ報告し、あわせて本人へも通知しなければなりません。報告先は同委員会であり、他の省庁ではありません。報告が必要になるのは、要配慮個人情報が含まれる場合、クレジットカード番号など財産的な被害が生じるおそれがある場合、不正アクセスなど不正の目的をもって行われたおそれがある場合、本人の数が1,000人を超える場合の四つです。報告は二段階で行い、まず速報を事態を知った後速やかに（おおむね3日から5日以内）、続いて確報を原則30日以内、不正の目的によるおそれがある場合は60日以内に提出します。他の選択肢について：・情報処理推進機構：情報処理技術者試験の実施やセキュリティに関する情報発信を担う機関です。・消費者庁：消費者行政を所管する省庁で、この漏えい報告を受け付ける窓口ではありません。・総務省：電気通信行政などを所管しますが、この報告先として法律に定められてはいません。

Question 4

同僚から聞き出した利用者IDとパスワードを使い、権限のない業務システムへ無断でログインした。この行為について、正しいものはどれか。

Accepted Answer

不正アクセス行為に当たり罰則もある。不正アクセス行為の禁止等に関する法律は、アクセス制御機能を備えたコンピュータに、電気通信回線を通じて他人の識別符号（ID・パスワード等）を入力し、本来は制限されている利用ができる状態にする行為を禁じています（第3条）。違反した者は、第11条により3年以下の拘禁刑又は100万円以下の罰金に処せられます。誤解しやすいのは、情報を実際に持ち出したかどうかは成立の要件ではない点です。ログインして使える状態にした時点で成立します。なお、アクセス管理者や、その識別符号の利用権者本人から承諾を得て利用する場合は除かれますが（第2条第4項第1号）、本問のように無断でログインした場合は当たりません。他の選択肢について：・持ち出していなければ問題ない：制限された利用ができる状態にした時点で成立し、被害の有無は要件ではありません。・承諾があったといえる：除外されるのは承諾を得て利用する場合であり、識別符号を聞き出して無断で使った本問は、これに当たりません。・社内のシステムは対象外：社内外の別ではなく、アクセス制御機能の有無と回線を通じた入力が要件です。

Question 5

不正アクセス行為の禁止等に関する法律において、不正アクセス行為そのものを行わなくても禁止されている行為はどれか。

Accepted Answer

正当な理由なく他人の識別符号を渡す。この法律は、不正アクセス行為そのものの禁止（第3条）に加えて、その前段や周辺に当たる行為も禁じています。業務その他正当な理由による場合を除いて、他人の識別符号を、アクセス管理者や利用権者以外の者に提供する行為は、第5条の助長行為として禁止されています。ほかに、不正アクセスに使う目的での識別符号の不正な取得（第4条）、同じ目的での不正な保管（第6条）、アクセス管理者になりすまして識別符号の入力を求める行為（第7条）も禁じられ、いずれも罰則が定められています。要するに、実際には侵入していなくても、他人のIDとパスワードを軽い気持ちで人に教えるだけで違反になり得るということです。他の選択肢について：・自分の識別符号を定期的に変更：自身の資格情報の管理であり、禁じられるものではありません。・許可を得た侵入の試験：管理者の承諾を得て行う脆弱性の検査であり、不正アクセス行為から除かれます。・退職者のアカウントの削除：適切なID管理の一環であり、むしろ行うべき運用です。

Question 6

金融機関のWebサイトを装ったページを公開し、閲覧者に利用者IDとパスワードの入力を求めた。この行為について、正しいものはどれか。

Accepted Answer

不正アクセス禁止法が禁じる行為に当たる。不正アクセス行為の禁止等に関する法律の第7条は、アクセス管理者になりすまし、又はアクセス管理者であると誤認させて、利用者に識別符号の入力を求める情報を、公衆が閲覧できる状態に置いたり、電子メールで送信したりする行為を禁じています。金融機関を装った偽のページを公開してIDとパスワードの入力を求める行為は、まさにこれに当たります。罰則は第12条第4号により、1年以下の拘禁刑又は50万円以下の罰金です。ここで重要なのは、誰かが実際に入力してしまうのを待つまでもなく、入力を求める情報を閲覧できる状態に置いた時点で規制の対象になるという点です。他の選択肢について：・入力させるまでは対象外：閲覧できる状態に置いた時点で対象となり、被害の発生は要件ではありません。・誤解を招く表示がなければ問題ない：管理者と誤認させることが要件であり、装った時点で該当し得ます。・無償なら責任を問われない：対価の有無は要件ではなく、無償であっても規制の対象です。

Question 7

業務で使うために購入したソフトウェアの取扱いとして、最も適切なものはどれか。

Accepted Answer

使用許諾で認められた範囲で利用する。ソフトウェアはプログラムの著作物として著作権法の保護を受けており、購入して手に入るのは通常、所有権ではなく「定められた条件のもとで使用してよい」という許諾です。したがって、まず使用許諾契約（ライセンス）で認められた範囲を確認し、その範囲内で使うことが基本になります。導入してよい台数、使える人の範囲、仮想環境での利用の可否などは契約ごとに異なります。社内での利用であっても、契約の範囲を超えて複製すれば著作権の侵害となり得ます。組織としては、保有しているライセンスの数と実際の導入数を突き合わせて管理すること（ソフトウェア資産管理）が求められます。他の選択肢について：・同僚の端末から複製して導入：許諾の範囲を超えた複製に当たり、著作権の侵害となるおそれがあります。・社内なら自由に複製できる：社内利用であることを理由に、複製が当然に認められるわけではありません。・本人が使うなら台数無制限：導入できる台数は使用許諾契約で定められており、無制限とは限りません。

Question 8

不正競争防止法により保護される「営業秘密」に該当するための要件の組合せとして、正しいものはどれか。

Accepted Answer

秘密管理性・有用性・非公知性。不正競争防止法にいう営業秘密とは、秘密として管理されていること（秘密管理性）、生産方法や販売方法その他の事業活動に有用な技術上又は営業上の情報であること（有用性）、公然と知られていないこと（非公知性）という三つの要件を、すべて満たすものをいいます。実務で特に問題になりやすいのが秘密管理性です。会社が「これは秘密だ」と考えているだけでは足りず、アクセスできる者を限定する、書類やファイルに社外秘と表示する、持ち出しの手順を定めるなど、従業員から見て秘密として扱われていると分かる管理の実態が必要です。これを整えていないと、いざ持ち出されたときに法律の保護を受けられません。他の選択肢について：・新規性・進歩性：これらは特許を受けるための要件であり、営業秘密の要件ではありません。・希少性・独創性：営業秘密の要件として法律に定められた用語ではありません。・公益性・永続性：いずれも営業秘密の要件とは関係のない概念です。

Question 9

退職する従業員に対して、在職中に知り得た会社の秘密情報の取扱いについて説明する内容として正しいものはどれか。

Accepted Answer

退職後も守秘の義務は残り続ける。在職中に業務で知り得た秘密情報を守る義務は、退職した日で当然に消えるものではありません。就業規則や、入社時あるいは退職時に取り交わす秘密保持契約によって、退職後も一定の期間続くのが一般的です。加えて、その情報が不正競争防止法上の営業秘密に当たる場合は、法律による保護も及びます。不正の利益を得る目的や会社に損害を加える目的で営業秘密を使用したり開示したりする行為は不正競争に当たり、差止めや損害賠償の請求のほか、刑事罰の対象にもなり得ます。退職の際には、貸与された機器や資料を確実に返却し、アカウントを速やかに無効化することも欠かせません。他の選択肢について：・退職日で義務が消滅する：契約や規程により退職後も義務が続くのが通例で、当然に消滅するわけではありません。・自分で作成した資料は私物：業務として作成した資料は通常は会社に帰属し、持ち出しは認められません。・口頭で伝える限り制限はない：伝える手段を問わず、秘密情報を開示すること自体が問題となります。

Question 10

職場における「クリアデスク・クリアスクリーン」の実践として正しいものはどれか。

Accepted Answer

離席時は書類を施錠し画面をロック。クリアデスクとは、離席するときや退社するときに、机の上に書類やUSBメモリなどを放置せず、施錠できる場所に片付けることをいいます。クリアスクリーンとは、離席するときに画面をロックし、表示されている内容を他人に見られないようにすることです。この二つが重視されるのは、情報漏えいが必ずしも高度な攻撃によって起こるわけではないからです。来訪者、清掃や設備の業者、たまたま通りかかった他部署の社員など、権限のない人が目にする機会は日常の中にたくさんあります。費用をかけずに今日から実践でき、しかも効果が確実な数少ない対策なので、習慣として身につけることが大切です。他の選択肢について：・机上に書類を広げたまま：作業の再開は速い反面、通りかかった第三者に内容を見られる危険があります。・画面を表示したままにする：進捗の共有は別の手段で行うべきで、放置は情報漏えいや不正な操作を招きます。・誰でも取り出せる状態を保つ：必要な者だけが取り扱うという原則に反し、持ち出しや紛失の原因となります。

基礎-5 情報の取扱いルールと法律の基礎の一問一答