システム監査技術者試験 令和4年度 秋期 午前II 問6

【正解】エ

個人情報管理台帳は、組織がどのような個人情報を保有し、どこで、どのように取り扱っているかを継続的に把握するためのものです。個人情報は、新規取得時だけでなく、利用目的、利用範囲、保管場所、委託先、保管期限、廃棄方法などが変更されることがあります。そのため、台帳を新たな個人情報の取得時にしか見直していないエの運用では、実態と台帳の内容が食い違うおそれがあり、指摘事項とすべきです。

アの概数による記載は誤りではありません。正確な件数の把握が困難な場合は、合理的に把握した概数を記録することで、管理対象の規模を明らかにできます。

イの保管場所、保管方法及び保管期限の記載は誤りではありません。これらは、個人情報の所在や管理方法を把握し、紛失、漏えい、不要な長期保有などを防ぐために有用な管理項目です。

ウの保護措置は誤りではありません。台帳自体にも個人情報の所在や内容など、漏えいすれば悪用され得る情報が含まれるため、アクセス制御などによって機密性を確保する必要があります。

【ポイント】 個人情報管理台帳は、作成するだけでなく、定期的な点検や取扱状況の変更に応じた更新が必要です。 監査では、台帳の記載項目だけでなく、現物との一致、更新手続、アクセス権限も確認します。