個人情報保護の設計で予防の考え方を見分ける
基本情報技術者試験 令和元年度秋期 午前 問64 ／ システム企画 › 要件定義
過去問にチャレンジ
システム開発の上流工程において，システム稼働後に発生する可能性がある個人情報の漏えいや目的外利用などのリスクに対する予防的な機能を検討し，その機能をシステムに組み込むものはどれか。
- ア
情報セキュリティ方針
- イ
セキュリティレベル
- ウ
プライバシーバイデザイン
- エ
プライバシーマーク
会話形式の解説
講師稼働後の個人情報のリスクを、開発のどの段階でどう扱うかに注目します。
受験者上流工程で考えるなら、情報セキュリティ方針を定める話にも見えます。
講師方針を示すだけでしょうか。それとも、予防する機能をシステムに組み込むのでしょうか。
受験者機能を組み込むとあります。情報セキュリティ方針は組織の姿勢や目標を示す文書なので、違いますね。
講師そのとおりです。では、セキュリティレベルは何を表しますか。
受験者求められる保護の程度です。予防策を設計時に組み込む考え方とは違います。
講師個人情報の保護を設計段階から考え、侵害が起こる前に予防策を組み込む考え方が、プライバシーバイデザインです。
受験者プライバシーマークも個人情報に関係しますが、同じ考え方ですか。
講師プライバシーマークは事業者の個人情報保護体制を評価する制度です。システム設計の考え方を指す名称ではありません。
受験者稼働後のリスクを上流工程で見越し、予防機能を組み込む点から、プライバシーバイデザインを選ぶのですね。
講師はい。組織の方針、保護の程度、評価制度と、設計段階から予防する考え方を区別すると判断できます。
まとめ
この問題は、個人情報の漏えいや目的外利用を、システムの設計段階から予防する考え方を問います。上流工程で稼働後のリスクを見越し、予防機能を組み込むのはプライバシーバイデザインです。情報セキュリティ方針は組織の姿勢、セキュリティレベルは保護の程度を示します。プライバシーマークは事業者の個人情報保護体制を評価する制度です。
解答・解説
正解はウです
この問題のテーマ
システムの設計段階で、個人情報の漏えいや目的外利用を予防する考え方を問う問題です。
解き方の考え方
問題文の中心は、稼働後のリスクを上流工程で見越し、予防する機能をシステムに組み込む点です。各選択肢が、設計の考え方、組織の方針、保護の水準、評価制度のどれを指すかを見分けます。
選択肢ごとの解説
- ×ア 情報セキュリティ方針情報セキュリティ方針は、組織が情報を守るうえでの基本姿勢や目標を示す文書です。方針を定めることと、個人情報を守る機能を設計時に組み込むことは、指している内容が異なります。
- ×イ セキュリティレベルセキュリティレベルは、どの程度の保護が求められるかを表します。問題文が尋ねているのは保護の水準ではなく、リスクを予防する機能を開発段階から組み込む考え方です。
- ○ウ プライバシーバイデザインプライバシーバイデザインは、個人情報の保護を設計段階から考え、侵害が起きる前に予防策をシステムへ組み込む考え方です。上流工程で稼働後のリスクを検討するという問題文の条件に合います。
- ×エ プライバシーマークプライバシーマークは、事業者の個人情報保護体制を評価する制度です。システムに予防機能を組み込む設計上の考え方を表す名称ではありません。
POINT
- 「上流工程で予防策を組み込む」という条件に着目します。
- 方針は組織の姿勢、水準は求める保護の程度を表します。
- 事業者の体制を評価する制度と、システム設計の考え方を区別します。