練習問題の答えと理由
Practice Questions: Answers and Notes
本の各章の最後にある「答えと理由」と同じ内容です。
第1章：情報を守る三つの性質
自己チェック
1節
- 学校や会社の仕事に役立ち、守る必要がある情報、機器、サービス、記録などです。仕事や学習に必要なものが守る対象になります。
- なり得ます。活動を支えるサービスも情報資産として考えられます。
- いいえ。許可された人が必要な目的で使えるようにしながら、許可外の閲覧や不適切な変更を防ぎます。
2節
- 機密性です。見られる人の範囲が許可された人に限られているかを考えます。
- 完全性です。情報が不適切に変わっていないかを考えます。
- あります。閲覧範囲、内容の正しさ、必要なときの利用可能性が同時に問題になることがあります。
3節
- 脅威です。情報資産に望ましくない影響を起こす可能性がある出来事や状況を指します。
- 脆弱性です。影響を起こしやすくする、情報システムや人の行動・組織のルールの弱い点です。
- いいえ。弱い点があることは、必ず事故が起きたことを意味しません。原因や実際の状態を確かめます。
4節
- リスクは、結果の不確かさが、達成したい目的に与える影響です。よい影響も悪い影響もあります。
- 情報の状態、影響、分かっている事実、未確認のこと、組織の規程や担当者を確かめます。
- いいえ。記録を消したり共有設定を変えたりする前に、状態を記録し、担当者へ相談します。
確認問題
Q1 正答はCです。機密性は、情報を見られる人を許可された人に限る性質です。Aは情報の正確さに関わる完全性、Bは必要なときに使える可用性です。Dは保存の方法で、CIAの性質ではありません。
Q2 正答はDです。共有設定の誤りは、影響を起こりやすくする仕組みや手順の弱い点である脆弱性です。Aは望ましくない影響を起こす可能性がある脅威、Bはリスク対応、Cはリスクの説明です。共有設定の誤りそのものは、影響を起こりやすくする弱い点なので、リスクではなく脆弱性に当たります。
練習
P1-1 1は機密性です。許可された人以外も見られる状態だからです。2は完全性です。観察値が誤って変わったと示されているからです。3は可用性です。必要な調査日にサービスを使えないからです。3に1と2も同時に起きた場合は、三つすべてを選びます。
P1-2 情報資産は共同調査記録です。脅威は許可外の閲覧や不適切な変更が起きる可能性です。脆弱性は共有範囲の確認手順が不足している可能性ですが、確認はできていません。影響には記録が許可外の人へ広がることや、値の正しさを確かめられないことが考えられます。担当教員に閲覧範囲と記録の履歴を確認する理由は、現在の設定と値が変わった事情が未確認だからです。
考えよう・グループで話そう
答えは一つではありません。共有設定を見直す前に、担当教員と利用者、記録の値、発表に必要な日時、サービスの状態を確認する例があります。気づいた事実と予想を分け、確認先を書けているかを振り返ります。
調査チームは記録の入力と閲覧、担当学生は集計表の作成、教員は提出内容の確認をします。必要な範囲は役割によって異なる場合があります。誰がどの情報を使うか、どの設定や規程を確認するか、意見と理由を出せていればよいです。実際の個人情報を共有しないようにします。
ワークシート
ワークシート1-1はA＝機密性、B＝完全性、C＝可用性、D＝三つすべてです。理由には、閲覧する人、値の正しさ、必要な時に使えるかの対応を書くことを確認します。ワークシート1-2では、情報資産と脅威を記入したうえで、脆弱性を候補として示し、影響と次の確認を埋めます。正解例は、共有範囲の確認手順が不足している可能性を挙げつつ、設定と値の変化の理由を担当教員に確認するものです。
第2章：被害の型を知る
自己チェック
1節
- いいえ。学校名の表示だけでは、送り主を確認できません。別の公式経路から確かめます。
- 同じではありません。なりすましは別人や組織に見せること、不正ログインは許可のない人が他人のアカウントでサービスに入ることです。
- いいえ。通知内のリンクを使わず、既知の公式画面や組織の窓口で確認します。
2節
- いいえ。端末や設定など、ほかの原因もあり得ます。担当者へ報告し、原因は確認してもらいます。
- マルウェアは悪意あるソフトウェアの広い分類です。ランサムウェアは、情報を使えなくするなどして金銭を求めるマルウェアです。
- いいえ。端末の状態を記録して責任者や組織のIT担当に報告し、対応の指示を受けます。
3節
- はい。宛先違いで許可されていない人に情報が伝わった可能性があります。悪意の有無と情報漏えいの可能性は別のことです。
- いいえ。コメントに名前を再掲すると、情報がさらに広がる場合があります。投稿を共有せず、投稿者や担当者に相談します。
- 学校なら先生や学校の窓口、職場なら責任者や職場の担当窓口へ知らせます。所属先の手順を確かめます。
4節
- 違います。被害の型は出来事の種類、CIAは情報の守られ方への影響を整理する見方です。
- いいえ。誤送信は主に機密性に関わります。資料の内容が変わった事実がなければ、完全性の影響は確認できません。
- 見た事実、まだ確認できない原因・影響、自分が行った操作を分けて記録します。
確認問題
Q1 正答はAです。知らない送信元が学校を装うように見え、パスワード入力を急がせています。フィッシングを疑う手がかりですが、送り主の正体は未確認です。Bは許可のないログインが確認された事実ではありません。Cは不正ソフトの存在や動作が確認された事実ではありません。Dはファイルが使えないことや金銭要求が示されていません。
Q2 正答はDです。感染した端末でファイルが使えず、元に戻す代わりに金銭を求められる被害は、ランサムウェアに当たります。Aは情報漏えい、Bはなりすまし、Cは不正ログインを説明しています。
練習
P2-1
A フィッシングの可能性があります。学校名義の連絡が別画面で認証情報を求めています。表示だけでは送り主を確定せず、別の公式経路で確認します。
B ランサムウェアの可能性があります。ファイルが使えず、元へ戻す対価として金銭を要求する点が手がかりです。責任者や組織のIT担当へ報告し、学生だけで支払い・復旧を決めません。
C 情報漏えいと誤送信の可能性があります。名簿の宛先が違った可能性が手がかりです。再送や転送で相手を増やさず、責任者の指示を受けます。
P2-2 機密性と完全性への影響があります。氏名・学校名・顔写真が本人の望まない範囲に公開され、投稿文が事実と違う内容に変更されたためです。情報が広がる影響もあります。可用性は利用不能の記載がないため判断しません。投稿を再共有せず、本人と学校の窓口へ知らせます。「個人を特定する情報が広がる」など、別の影響も説明できるかを見ます。CIAとの混同がなく、初動が具体的であることも確認します。複数の被害型を挙げる場合は、投稿内容に基づく理由を求めます。
考えよう・グループで話そう
一つの正解に限りません。「共有範囲が予定より広く見えた」「知らない通知が出た」は見た事実です。「誰が見たか」「通知の意味」は未確認です。この区別を確認します。初動は時刻と画面を記録し、再共有せず先生へ報告することです。SNSの話し合いでは、写真や名前を再掲せず、投稿者・先生・学校担当者など場面に合う相談先を挙げているかを見ます。
ワークシート
ワークシート2-1：Aはフィッシングの可能性、確認先は学校の公式窓口です。Bはなりすましの可能性があり、本人へ別の経路で確かめるか学校の担当者へ相談します。Cはマルウェアの可能性ですが、ファイルが開かない原因は未確認です。端末の担当者へ知らせます。Dは誤送信による情報漏えいの可能性です。再送や追加連絡をせず、責任者へ報告します。見た事実と推測を分けていることを評価します。
ワークシート2-2：カードAは、予定より広い共有範囲から機密性への影響の可能性があり、資料を開けない学生がいるため可用性への影響があります。内容の変更は未確認です。カードBは、氏名等の望まない公開から機密性、投稿文の改変から完全性への影響があります。どの事実が根拠かを分け、再共有せず担当者へ報告する初動を確認します。
第3章：メール・SMS・電話を確かめる
自己チェック
4節
- 相手の正体が確かめられていない連絡を受けたら、何を記録しますか。
- 受け取った連絡への返信や転送は、いつ行いますか。
- 報告では、事実と何を分けて書きますか。
1節
- いったん止まり、連絡の内容を確かめます。急がされても、情報をすぐに渡しません。
- いいえ。表示名だけでは、本当にその人や組織からの連絡か分かりません。
- いいえ。事前に知っている公式サイトや社内名簿などから連絡先を探します。
2節
- 求められた具体的な行動です。例は、リンクを開く、一覧を送る、利用者情報を伝えることです。
- 推測です。見た事実と分けて記し、まだ分からないことは未確認とします。
- いいえ。送信元や必要な連絡かを別の経路で確かめる前に開きません。
3節
- 事前に確認した公式サイト、学校の窓口、社内名簿などから探します。
- いいえ。名前を知っているだけでは、本人確認ができたとは言えません。
- いいえ。パスワードや一時コードなど、秘密の認証情報は伝えません。
確認問題
Q1 正答はCです。SMS内のリンクや番号を使わず、事前に知っている経路から確認します。AはSMSへの返信に頼っています。Bは危険を同僚へ移しています。Dは表示名だけで相手を判断しています。
Q2 正答はBです。情報を伝える前に通話を終え、自分で確認した窓口から相手の所属と依頼を確かめます。Aは相手を確かめず情報を渡します。Cは他人の情報を使います。Dは検索表示だけで所属を確認したことになりません。
練習
P3-1 答えの例：メール＝差出人表示は学校の授業窓口だが、要求は職場の作業者一覧／学校と職場の既知の窓口で確認／添付を開かない。SMS＝当日中の提出を急がせ、ファイルを求める／既知の職場窓口で確認／ファイルを送らない。電話＝作業者一覧を別宛先へ求める／社内名簿の責任者へ確認／その場で一覧を答えない。
気づきたい点、独立した確認先、止める行動がそれぞれ対応していれば、別の書き方も認めます。
P3-2 答えの例：「納品先の担当者を名乗る電話で、搬入変更と、作業者一覧を別の宛先へ送る依頼がありました。一覧は送っていません。相手の所属と依頼の承認は未確認です。社内の承認経路と、正しい送付先を確認してください。」
受信経路、依頼、自分の対応、未確認事項、確認依頼が含まれ、相手の正体を断定していなければ十分です。
考えよう・グループで話そう
考えように一つの正解はありません。電話の時刻、名乗った所属、求められたことを記録します。送信していないことも書きます。社内名簿から小林課長へ確認する案が考えられます。「前にも頼んだ」という発言だけでは、今回の変更が承認済みか分からないためです。
グループでは、「確認してから回答します」「社内の担当に確認します」など、相手を責めずに行動を止める表現を考えます。実際の連絡や個人情報を話題にしていないことも確認します。
ワークシート
ワークシート3-1 メール＝表示は学校の授業窓口、要求は職場の作業者一覧／送信元は未確認／既知の学校窓口／学校の担当者／添付を開かない。SMS＝当日中の提出を求め、共有ファイルを要求／承認済みか未確認／既知の職場窓口／職場の担当者／ファイルを送らない。電話の行は、問題文の記入例を使います。
ワークシート3-2 記入例または成果物の完成例と同じ要素を含めます。相手を決めつけず、実際に送ったかどうかを正しく書いているか確認します。
第4章：アカウントと認証
自己チェック
1節：1. 人を区別するために使います。2. いいえ。IDは利用者を区別する情報で、それだけでは本人確認になりません。3. 誰の操作かを記録から確認しにくくなります。
2節：1. 利用者が主張する本人であることです。2. パスワードは知識、指紋は生体です。3. 種類の異なる認証要素を二つ以上使います。
3節：1. 認可です。2. いいえ。閲覧と変更は別の許可として設定できます。3. いいえ。認証は本人確認、認可は利用範囲の決定です。
4節：1. 仕事に必要な範囲だけです。2. 案件Aです。3. 申請者、承認者、実施日、理由、結果です。
5節：1. 同じパスワードを複数のサービスやアカウントで使うことです。2. 教えず、自分のアカウントを使うか担当者に相談します。3. いいえ。実際の秘密情報を教材に書きません。
確認問題
Q1 正答はDです。パスワードは知識、登録端末で受け取る一時コードは所持の要素です。異なる種類の要素を組み合わせています。Aの利用者IDは識別子で認証要素ではありません。Bの秘密の質問も知識です。Cは所持の要素を知識と取り違えています。
Q2 正答はAです。案件Bの一覧を参照する仕事に必要な閲覧だけを設定します。Bは案件Bの全資料まで閲覧でき、Cは案件Bの資料を変更する権限も付け、Dは案件Bの共有設定を変える権限まで付けています。いずれも必要な範囲を超えます。
練習
- P4-1：利用者IDは識別子です。パスワードは知識の認証要素、登録端末コードは所持の認証要素、指紋は生体の認証要素です。案件記録の閲覧許可は認可です。多要素認証の例は、パスワードと登録端末コードです。IDとパスワードは、二つの認証要素の組み合わせではありません。
- P4-2：変更前は案件A・Bの閲覧・変更ができ、変更後は案件Bだけを閲覧・変更できます。案件Aの閲覧・変更権限を削除します。本人が申請し、小林課長が承認します。会社IT担当は承認された変更を設定します。実施日は問題に示されていないため、実施後に担当者へ確認し、理由・依頼番号・変更結果とともに記録します。
考えよう・グループで話そう
考えよう：答えは一つではありません。本人のアカウントを使う方法、必要な権限を申請する方法、組織の担当者へ相談する方法などが考えられます。実際の認証情報を明かさず、誰に何を確かめるかが書けていれば合っています。
グループで話そう：担当外の情報を見たり変えたりする、誰が操作したか分かりにくくなる、といった困りごとが考えられます。必要な仕事の範囲を本人が申請し、責任者が承認し、設定担当者が変更と結果を記録する、という役割が話せていれば合っています。
ワークシート
- 4-1：利用者ID＝識別子。パスワード＝知識の認証要素。登録端末の一時コード＝所持の認証要素。指紋＝生体の認証要素。案件Bの記録の閲覧許可＝認可。
- 4-2：ラジャンは案件A・Bから案件Bだけへ変更します。本人が申請し、小林課長が承認し、会社IT担当が承認済みの設定を行って実施日・理由・結果を記録します。
- 4-3：一つ目は使い回しが問題で、各サービスに異なるものを使います。二つ目は秘密を人に渡すことが問題で、自分のアカウントを使います。三つ目は推測されやすいことが問題で、長く推測されにくいものを選びます。実際のパスワードを書かないことも確認します。
第5章：更新とバックアップ作成
自己チェック
1節
- ソフトウェアの問題を直し、安全に使うためです。
- 修正された問題が端末に残り、端末や情報へ望ましくない影響が起きる可能性があります。
- いいえ。表示名だけでは通知元を確かめられません。公式案内などを使います。
2節
- 通知の入手元、対象端末、担当者の手順と実施時期です。
- 学校の管理担当者が示す手順です。
- パスワードや一時コードなど、本人確認に使う秘密情報です。
3節
- 元のデータが失われたときに備えて、別に保存しておくデータのコピーです。
- 端末が故障したり使えなくなったりすると、元データとコピーを同時に失うおそれがあります。
- コピーからデータを使える状態に戻せるかの確認です。
4節
- コピーに必要な内容があり、実際に使える状態に戻せるかです。
- 担当者の許可を得た試験用コピーを使います。
- 試したコピーで確認した範囲までです。本番の全データが必ず戻るとはいえません。
確認問題
Q1 正答はAです。公式案内で通知元を確認し、対象端末・時期・担当者の手順を確かめます。Bは通知内リンクに依存します。Cは対象端末を確かめません。Dは画面の表示名だけで通知元を判断しています。
Q2 正答はBです。対象・保存先・復元確認を計画に含めています。Aは復元確認がなく、Cは一度だけで継続する時期がなく、Dは元データと同じ端末に保存するため同時に失うおそれがあります。
練習
| 問 | 模範解答・採点の目安 | よくある誤りと理由 |
|---|---|---|
| P5-1 | 更新を放置すると、修正済みの問題が残る期間が長くなり、端末や情報への望ましくない影響を受ける可能性が続きます。学校の公式案内と担当者の手順で、通知元・対象端末・作業時期を確かめます。放置しない理由、公式な確認経路、対象、担当者、時期が分かる答えを認めます。 | 通知のリンクや表示名だけを信じる答えでは公式な確認経路がありません。担当者だけを挙げて対象端末や作業時期を書かない場合も、問いの条件を満たしません。 |
| P5-2 | 例：授業記録の必要な範囲を決め、学校指定の別保管先へ担当職員の手順で定めた間隔でコピーします。実施日と結果を記録し、学校の手順で決めた時期に、許可された保管済みコピーから授業記録の必要な範囲が戻るか担当者と確かめます。対象・保存先・継続する時期・担当・復元確認が書かれていればよい答えです。 | 同じ端末内だけにコピーを置くと、端末故障等で両方を失うおそれがあります。一度コピーするだけで次の時期を決めない答えは、後から加えた記録が残りません。別の試験ファイルを開いただけでは、授業記録を戻せるか分かりません。 |
考えよう・グループで話そう
- 考えよう：公式の案内、対象端末、担当者の手順と作業時期を確認してから進める答えを認めます。授業の作業を保存する、実施時期を相談するなど、作業を止めずに必要情報を確かめる説明があれば十分です。
- グループで話そう：対象・保存先・担当・実施記録・戻せるかの確認が話し合われていればよい答えです。学校の規程が分からない点は、担当者に確認するとまとめます。
ワークシート
| シート | 記入例・採点の目安 |
|---|---|
| 5-1 | 通知元＝学校の管理画面で、案内と照合済み。対象＝学校管理の演習室端末。相手＝学校のIT担当者。質問＝この端末が対象か、実施時期と手順は何か。作業後に実施日と結果を記録する。 |
| 5-2 | 対象＝授業記録の必要な範囲。保存先＝学校指定の別保管先。時期＝学校の規程で定める間隔。実施＝担当職員の手順。確認＝定めた時期に、許可された保管済みコピーから授業記録の必要な範囲が戻るか確認し、使用したコピーと結果を記録する。 |
第6章：職場の情報を扱う
自己チェック
1節
- 学校や会社など、情報を扱う組織が決めます。区分の名前や数は組織によって異なります。
- 章の練習のために作った架空規程です。すべての職場に共通する分類ではありません。
- 組織の規程と責任者に、区分や閲覧できる人を確認します。ファイル名だけで決めません。
2節
- 職場の情報を、決められた場所の外へ移すことに当たります。個人のメールへ送る前に許可された方法を確かめます。
- 架空規程では保存できません。私物端末と個人クラウドへの保存は禁止されています。
- 仕事の目的、許可された端末や保存先、必要な方法を職場の責任者に確認します。
3節
- 共有相手、閲覧・変更の権限、保存場所、共有が必要な期間を確認します。
- 「リンクを知る人全員」では指定外の人も見られる可能性があり、担当者だけの設定より範囲が広くなります。
- いいえ。共有を始めず、規程と担当者に適切な範囲を確認します。
4節
- 職場で決められた廃棄方法と、記録が必要かどうかを確かめます。
- 分かっている事実を整理し、職場の責任者へ伝えます。
- 誰が見たり聞いたりできるか、情報をどこに置き、どう処分するかを考えます。
確認問題
Q1 正答はBです。規程に従って指定担当者の範囲で扱い、禁止されている私物端末・個人クラウドへの保存をしません。Aは承認の有無にかかわらず禁止された私物端末保存をしています。Cは指定担当者でない人に閲覧を認めています。Dは社外共有に必要な責任者の承認がありません。
Q2 正答はCです。共有相手・権限・必要な期間を規程と担当者に確認します。Aは変更が不要な仕事に変更権限まで付けます。Bは共有期間を無期限にし、Dは相手をリンクを知る全員として範囲を広げています。
練習
P6-1 売上見込みは限られた担当者が扱う区分です。共有前に、相手が指定担当者か、閲覧だけでよいか・共有期間はどれだけか、指定保存先はどこか、確認担当者は誰かなどから三点を確かめます。リンクを知る人全員にはしません。
P6-2 例：名簿の内容を詳しく見たり写真に撮ったりせず、見つけた場所を責任者へ伝え、職場の手順に沿った保管・報告方法を確認します。
考えよう・グループで話そう
唯一の答えはありません。実際の規程、情報区分、責任者や担当窓口を確認する案が出ていれば適切です。紙の内容を不用意に見せたり、責任者の指示を待たずに廃棄したりしない理由も説明できるとよいでしょう。実在の個人情報は教材に書かないでください。
ワークシート
6-1 完成例は「成果物の完成例」を参照します。アでは顧客連絡先の区分、利用目的、職場で指定された保存場所、共有相手と閲覧範囲、責任者への確認がそろっているかを見ます。イでは紙の情報を確認し、保管・廃棄方法を規程に照らしていれば正解です。
6-2 確認すること、その理由、質問する相手、回答までにすることの四点を記録できているかを見ます。共有を止める、指定場所に保管するなど、確認前に範囲を広げない方法が書けていれば正解です。
第7章：個人情報と法律
自己チェック
1節
- 個人情報は、生きている人を見分ける情報です。名前、顔写真、住所、メールアドレスなどが例です。
- いいえ。ほかの情報と照らした識別や、個人識別符号も関係します。
- いいえ。写真を送らず、発見場所や時刻を責任者へ伝えて確認します。
2節
- 個人識別符号を含む情報です。
- 名簿のような個人情報データベース等があり、そのまとまりを構成する個人情報が個人データです。
- e-Govの条文や個人情報保護委員会の公式情報を使います。参照した日も確認します。
3節
- 要配慮個人情報は、不当な差別や偏見などの不利益が生じないよう、取扱いに特に配慮が必要なものとして、法律や政令などで定められた情報を含む個人情報です。病歴や医師等による健康診断の結果などが例です。
- 要配慮個人情報を取得するときは、原則として取得前に本人の同意を得ます。法律上の例外もあり、個別の条件は担当者が確認します。
- いいえ。取得時の例外に当たる場合でも、利用目的など別の規律を確認します。
4節
- 例：発見した時刻と場所、用紙の種類、自分が写真を撮っていないことです。
- いいえ。責任者や個人情報保護担当が、対象や必要な手続きを確認します。
- 責任者の指示を受けます。自分の判断で動かしたり捨てたりしません。
確認問題
Q1 正答はAです。法第2条は、生存する個人に関する情報で、記述等から識別できるもの（容易に照合できる場合を含む）または個人識別符号を含むものを個人情報とします。Bは紙の氏名だけに限定し、写真・番号・電子記録や他の情報との照合を含めていません。Cは会社の「公開」という情報区分と法律上の定義を混同しています。Dは本人の同意だけですべての取扱いが決まるとしており、利用目的などの確認も必要な点を見落としています。
Q2 正答はDです。取得前の本人同意が原則で、例外の条件と他の規律も確認します。Aは取得前に同意を得る原則を取得後にずらしています。Bは本人が公開した情報に関する例外を、条件確認も不要という意味に広げています。Cは同意の例外を、利用目的などの確認も不要という意味に広げています。
練習
P7-1 答えの例：個人情報の学習用の説明は、生きている人を見分ける情報です。法第2条では、生存する個人に関する情報について、記述等による識別、容易に照合して識別できる場合、または個人識別符号を含むことを定めています。要配慮個人情報は、不当な差別や偏見などの不利益が生じないよう、取扱いに特に配慮が必要なものとして、法律や政令などで定められた情報を含む個人情報です。病歴や医師等による健康診断の結果などが例です。
採点の目安：個人情報と要配慮個人情報の意味、配慮する理由と例、法第2条の条件を述べていればよいです。学習用の短い説明だけで個別の法律判断をしていないことも確認します。
P7-2 答えの例：「健康情報が見える書類を会議室で見つけました。発見場所と時刻を記録し、撮影・複製せず、職場の責任者へ保管方法を確認します。」
採点の目安：健康情報の書類を見つけた事実、発見場所と時刻、撮影・複製をしないこと、責任者へ保管方法を確認することが伝わればよいです。「違法な漏えいです」と決めつけず、確認先を示します。
考えよう・グループで話そう
考えようの答えの例：実際の書類を見つけた場面なら、「演習室の机で、健康情報が見える書類を見つけました。名前がないため、ほかの記録と照らして誰の情報か分かるかは未確認です」と田中先生に伝えます。法律上の扱いと必要な対応は担当窓口に確認します。教材の健康票自体は実在者情報を含みません。別の言い方でも事実と未確認事項を分けていればよいです。
グループでは、「演習室で健康票を見つけました。保管方法を教えてください」など、紙の内容を広めず、場所と確認依頼を伝える表現を考えます。実在者の情報を共有していないことも確認します。
ワークシート
ワークシート7-1 この教材用健康票は実在者の情報を含みません。健康診断結果は要配慮個人情報の例として学びます。実際の書類を見つけた場合は、誰の情報か、法律上どの分類や義務が当てはまるかを個人情報保護担当に確認します。個人情報の欄には「生きている人を見分ける情報。名前の有無だけでは法律上の結論を出せない」と書けます。
ワークシート7-2 答えの例：「演習室の机で、健康診断結果の欄がある教材用の健康票を見つけました。発見時刻はケースに示されていません。写真は撮らず、友人にも送っていません。保管方法と次にすることを確認してください。」発見場所・見た事実・自分の対応・確認依頼があり、時刻を作らず、違法だと断定していなければよいです。
第8章：組織で情報を守る
自己チェック
1節：1. 情報を守る方針や基本ルール。2. いいえ、役割で分けます。3. 責任者が見直します。
2節：1. 見たり変えたりできる範囲の許可。2. 今の担当に必要か、古い権限が残っていないか。3. 自分のアカウントです。
3節：1. いつ、誰が、何をしたか。2. いいえ。3. 事実・時刻・未確認事項を責任者へ伝えます。
4節：1. リスクを減らす組織のルール・手順・仕組み。2. 四種類から二つ。3. 許可と連絡方法です。
確認問題
Q1 正答はBです。担当の変更を確かめ、現在の仕事に必要な範囲と設定を照らして、不要な権限を見直します。Aは過去の記録まで消し、点検の手がかりをなくします。Cは一時的な権限の終了時期を記録せず、不要な許可が残るおそれがあります。Dは一人ひとりの役割を確かめず、一律に範囲を広げています。
Q2 正答はCです。不正アクセス禁止法は第3条で不正アクセス行為を禁止し、第4条でその目的を伴う他人の識別符号の取得も禁じています。Aは第4条の取得禁止を落としています。Bは第3条の禁止を落としています。Dは学校や会社の中だけで使うアカウントを対象外としていますが、そのような限定はありません。
練習
P8-1 異動時の見直しを定め、本人申請・小林課長の確認・管理担当の設定を行います。申請者・承認者・変更日・理由を残し、変更後を点検します。課題、担当、対策、記録がつながればよいです。
P8-2 同僚の依頼を断る返事と理由、自分のアカウントで申請する代案が必要です。法的な結論は求めません。
考えよう・グループで話そう
事実と未確認を分け、相談先・変更役割・確認方法などの組織の工夫を説明できればよいです。
ワークシート
8-1 1行目は責任者が必要性を確認し、管理担当が見直します。2行目は申請・承認の理由と変更日を残します。3行目は責任者や教育担当が案内し、理解を確かめます。担当と記録の対応を見ます。
8-2 同僚の依頼を断る返事と理由、自分のアカウントで申請する代案の両方を見ます。法律上の結論を求めません。
第9章：インシデントに気づいたら
自己チェック
1節：1. いつもの状態との差に気づいたときです。被害確定を待ちません。2. 分からないことは「未確認」とします。
2節：1. 操作を止めて責任者へ報告します。2. 組織が案内する上司や担当窓口を確かめます。
3節：1. 原因や影響範囲などです。2. 組織担当者が調べます。
4節：1. 責任者・担当者が決めます。2. 組織内報告と法令上の報告は別です。
確認問題
Q1 正答はAです。事実・時刻・自分の操作を記録し、責任者へ知らせます。Bは報告前に調査を始め、Cは確認前に情報を広げ、Dは指示を受ける前に設定を変えます。
Q2 正答はCです。組織内へ報告し、担当者が事実と影響を確かめて必要な手続きを判断します。Aは事実確認の後の報告期限を一律とし、個別の状況に応じた手続きの確認を落としています。Bは学生に法的判断を求め、Dは本人の同意で事実確認を置き換えています。
練習
P9-1 発見者は時刻・事実・操作・未確認・報告先を、担当者は必要な拡大防止・確認事項・影響範囲・担当・次の報告先を記録します。原因を推測せず、担当者の対応と確認が状況により並行できることを見ます。
P9-2 ファイルを動かすと状態や記録が変わり、他の人が使えない場合があります。責任者へ連絡して手順を聞きます。影響と指示の必要性など二点を説明できれば認めます。
考えよう・グループで話そう
事実・操作・未確認を分け、責任者や確認先を示します。原因や漏えいを断定せず、実在情報を使わない発表を認めます。
ワークシート
9-1 14時10分、広い共有範囲の表示、設定を変えていないこと、閲覧者数と開始時刻の未確認、小林課長への報告を記します。担当者は共有範囲・履歴を調べ、必要な対応と影響範囲、次の報告を記録します。
9-2 例：共有範囲と履歴／会社IT担当／影響の可能性を調べるため。担当と理由が合っていれば認めます。
第10章：相談先と総合演習
自己チェック
1節：1. いいえ、内容ごとに窓口が異なります。2. 学校の情報担当者です。3. いいえ、表示と未確認を分けます。
2節：1. 一般的な情報セキュリティの技術相談です。2. 端末・OS・サービス・時系列から二つ。3. 公式案内です。
3節：1. 警察の通報・相談・情報提供窓口です。2. 地域の消費生活相談窓口です。3. いいえ、役割に応じて複数を考えます。
4節：1. 予防・発見・報告・復旧・再発防止。2. 危険な操作を止め、担当者へ報告します。3. 学校や職場の担当者です。
確認問題
Q1 正答はDです。IPAは一般的な技術相談、警察はサイバー事案の相談、188は地域の消費生活相談窓口への案内を担います。学校や職場にも報告します。Aは金銭相談をIPAに集めています。BとCは三つの窓口の役割を入れ替えています。
Q2 正答はBです。事実と時刻を記録して報告し、担当者の確認後に復旧し、共有範囲を点検します。Aは記録や報告を遅らせ、Cは原因を断定し、Dは影響範囲を確かめる前に漏えいが確定したとしています。
練習
P10-1 模範表は本文の「成果物の完成例」の五段階の表を参照します。採点では五段階の全てに行動と担当・確認先が対応することを求めます。役割が未確定なら確認先を示せばよく、原因や被害を断定しない回答を認めます。
P10-2 学校の情報担当者へ報告し、技術はIPA、犯罪被害の疑いは警察、金銭・契約は188が案内する地域窓口へ相談します。組織内報告と三窓口の役割を区別できているかを見ます。
考えよう・グループで話そう
例：「通知を見た時刻はケースに示されていないため未確認です。誰がログインしたか、何が見られたかも不明です。操作について思い出せる範囲を学校へ伝え、時刻を確認できれば記録します。」グループでは相談先の役割を分け、実在情報を使わないことを見ます。
ワークシート
10-1 本文の完成表を参照します。五段階すべてで行動・担当・確認先が対応し、未提示の原因や被害を足していないことを見ます。
10-2 相談目的・伝える事実・組織への連絡が窓口の役割に合うかを見ます。188は地域の消費生活相談窓口を案内します。