IT サービスマネジメントにおける個人情報の保護に関する次の記述を読んで，設問１，２に答えよ。

　Ｘ社では，約１万人の個人顧客向けに会員制の通信販売を行っている。注文はインターネットや 電話で販売部が受け付け，商品と請求書を宅配便で発送する。顧客からの問合せなども， 一括して販売部で受け付けている。顧客情報は，Ｘ社の基幹サーバで一括管理している。

　Ｘ社の顧客管理部では，次の業務�@〜�Bを行っている。業務�@は，顧客への定期的な取引状況の報告である。 業務�A及び�Bは，販売部での対応範囲を超えた問合せであり，顧客管理部に転送されてくる。

　業務�@の印刷・発送の作業で使っている機器が老朽化し，最近は故障が増えている。 Ｘ社の役員から“機器更新などの対応も含めて業務�@〜�Bの外部委託を検討するように" との指示を受けた顧客管理部長は，自身をリーダとして，顧客管理部，システム部及び リスク管理部の管理者からなる委託検討プロジェクト（以下，プロジェクトという）を発足させた。

設問１　プロジェクトでは，まず委託元であるＸ社内での対応を検討することにした。 次の記述中の に入れる正しい答えを，解答群の中から選べ.

　プロジェクトでは，“個人情報の保護に関する法律についての経済産業分野を 対象とするガイドライン"（以下，ガイドラインという）に沿った管理水準で検討を進めることにした。

　個人データの取扱いの委託に当たっては，法とガイドラインに基づく安全管理措置 （表にその概要を示す）を委託先に遵守させるために必要な し， 業務開始後は委託元が する必要がある。

　業務�@〜�Bについて，リスクに対する費用対効果の面から総合的に検討した。 その結果，業務�@については機器の買換えではなく外部委託とすることにした。

　一方，業務 �A及び�Bについては社内処理を継続することにした。 その理由として，例えば表の安全管理措置のうち技術的安全管理措置について， などの対応を考慮する必要があったことによる。

　プロジェクトとしてこのように結論を出し，役員に報告した。

a，b に関する解答群

c に関する解答群

設問２　プロジェクトでは，次に委託先での安全管理措置の現状を調査することにした。 次の記述中の に入れる正しい答えを，解答群の中から選べ。

　役員の承認を受けて業務�@の外部委託が決まり，委託先は印刷・発送業のＹ社に内定した。 また，Ｙ社での印刷・発送に必要なデータだけを，Ｘ社の基幹サーバから抽出してＹ社の ファイルサーバへネットワーク経由で暗号化して送信する方式とした。

　個人データの安全管理措置は，現在のＸ社での管理水準をＹ社においても維持する必要がある。 そこで，プロジェクトではＸ社における規程や手続の要件を文書にまとめてＹ社の運用管理者に提示した。 また，サービス開始前にＹ社の作業現場に行って現状調査を実施することで合意した。

　後日，プロジェクトのメンバがＹ社の作業現場を訪問し，Ｙ社の運用管理者と一緒に現状調査を実施した。 現状調査の結果，次の問題点�@〜�Cが発見された。

〔問題点〕

�@ 印字不良などで廃棄する，個人情報を含む印刷物は，鍵の付いた個人情報専用の廃棄箱に入れて保管し， 定期的に廃棄処分をしている。しかし，この廃棄箱の健の保管管理が十分でなく， 管理者の帰宅後はだれでも鍵を使用できる状態にある。

�A ファイルサーバに対する設定変更などの特権操作は，電算室内の運用管理者席にある システム保守用端末だけで実行できる。しかし，この端末で行われた特権操作の内容は記録していない。

�B ファイルサーバへのログインは利用者 ID とパスワードで認証しているが， 認証後は，サーバ内のどのファイルも参照が可能である。

�C ファイルサーバへのログインは，すべて記録されるが，個々のファイルヘのアクセスは， 機能上の理由で記録していない。

　プロジェクトのメンバとＹ社の運用管理者は，問題点について次のとおり確認した。

(1) 問題点�@〜�Cのうち，問題点 を除くほかの三つの問題点は， 技術的安全管理措置の問題である。

(2) 問題点�@について，この問題を放置しておくと というリスクがある。

(3) 問題点�A及び�Cについて，これらの問題を放置しておくと というリスクがある。

　Ｙ社では，この現状調査の結果をガイドラインに沿ってまとめて改善計画を作成すること， 及び改善計画の実施結果をＸ社に報告することを確約した。

d に関する解答群

e，f に関する解答群