【問308】個人情報保護士 練習問題｜第三者セキュリティ評価
情報セキュリティ 問128/130難易度B（標準）
問題文
組織が個人情報を扱う第三者事業者（委託先・ベンダー）を選定する際、セキュリティ評価として実施すべき項目として最も適切なものはどれか。
- 1.提示価格の安さだけを基準にして、委託先を決定してよい。
- 2.セキュリティ方針、保護体制、ISMS認証の有無を確認する。
- 3.委託先が大手企業であれば、個別のセキュリティ評価は不要である。
- 4.セキュリティ評価は、委託開始後に実施すれば十分である。
解説
正解
正解は選択肢2です。
各選択肢の解説
選択肢1 → ❌誤り
価格のみでの選定は、法第25条が求める適切な選定を果たしたことにならない。安全管理水準の低い委託先を選べば漏えい時に委託元の責任が問われる。
選択肢2 → ✅正解
個人情報保護法第25条は委託先への必要かつ適切な監督を義務づけ、ガイドライン(通則編)3-4-4は「適切な委託先の選定」を求めている。方針・体制・認証の確認は、その選定を裏づける具体的手段。
選択肢3 → ❌誤り
企業規模と実際の安全管理水準は別問題であり、大手でも侵害は起きる。法は規模による評価の免除を認めていない。
選択肢4 → ❌誤り
ガイドラインが求めるのは「適切な委託先の選定」であり、評価は選定時点、すなわち委託開始前に行う必要がある。リスクが高ければ委託自体を見送る判断もあり得る。
背景知識
個人情報保護法第25条は、個人データの取扱いを委託する場合に、委託先への必要かつ適切な監督を義務づけている。ガイドライン(通則編)3-4-4は、その内容として適切な委託先の選定、委託契約の締結、取扱状況の把握を挙げている。委託先で起きた漏えいは委託元の責任として問われる。
学習アドバイス
委託先評価は書類審査だけで終わらせず、セキュリティ質問票や実地監査を組み合わせると実効性が上がる。契約後も定期的に再評価し、水準の維持を確認する。
まとめ
- 委託先の監督は個人情報保護法第25条の義務である
- 方針・保護体制・認証の有無を選定時点で確認する
- 契約前の事前評価と契約後の定期的な把握が必要