初級シスアド平成16年春期問53 | テクニカルエンジニア（情報セキュリティ）試験対策

　人事情報を含む社員情報データベースの維持に当たり、留意すべき
項目のうち、適切なものはどれか。


　ア　社員情報は常に最新の状態の維持が不可欠であるので、各部署
　　で管理者を決め、部員の項目の更新を一任する。

　イ　社員情報を人事判断に使う目的から、管理職であれば全社員の
　　すべての項目を参照できるようにする。

　ウ　社員のプライバシーにかかわる情報も含まれるので、権限を設
　　定して検索できる項目を限定する。

　エ　社内プロジェクトで社員情報を参照する場合には、関係する部
　　署の社員であればすべての社員情報を検索できるようにする。

解説

難易度　★
解答

　ウ　社員のプライバシーにかかわる情報も含まれるので、権限を設
　　定して検索できる項目を限定する。


>　ア　社員情報は常に最新の状態の維持が不可欠であるので、各部署
>　　で管理者を決め、部員の項目の更新を一任する。

　社員情報も個人情報ですので、「データ内容の原則」に従い、最新
　に保つ必要があります。

　◇データ内容の原則　とは。。。

　　OECD個人情報保護８原則の１つです。
　　個人データは、その利用目的に沿ったものであるべきであり、か
　　つ利用目的に必要な範囲内で正確、完全であり最新なものに保た
　　れなければならない。最新の状態に維持しておいたほうがいいです。

　更新処理に関しては、個人情報にアクセスできる者を最小限にしな
　ければなりません。

　ただし、１人で行うと更新ミスや不正行為を行う可能性があります
　ので、相互牽制が働くような仕組みが大切です。


>　イ　社員情報を人事判断に使う目的から、管理職であれば全社員の
>　　すべての項目を参照できるようにする。

　社員情報は必要な人のみがアクセス可能とすべきという
　「Need to Know の原則」に従う必要があります。

　管理職に対して特権を付与する際には厳しい審査が必要になります。


>　ウ　社員のプライバシーにかかわる情報も含まれるので、権限を設
>　　定して検索できる項目を限定する。

　社員情報データベースは、給与額などのプライバシーにかかわる
　情報が含まれますので、アクセス権限を設けて参照できる項目を限
　定する必要があります。


>　エ　社内プロジェクトで社員情報を参照する場合には、関係する部
>　　署の社員であればすべての社員情報を検索できるようにする。

　選択肢イと同様に「Need to Know の原則」に従う必要があります。

　社員情報に対して、業務上アクセスする必要性によって、最小限の
　アクセス権、アクセスレベルを設定します。


　セキュアド午後問題において、情報資産の適用範囲で注意しておき
　たいことを挙げておきます。

　個人情報には顧客情報などの社外情報と人事情報などの社内情報が
　あります。

　顧客情報は正しく管理されているが、従業員などの個人情報が管理
　外となっていないかチェックしましょう。