令和4年度秋期 システム監査技術者 午前Ⅱ 問14

プライバシー管理を考える視点

個人に関わる情報を扱う管理プロセスを検討するときは、目的と範囲を明確にし、関係者の役割、記録、見直しのつながりを一貫して確認しましょう。

この問題で問われていること

一つの観点として、情報を扱う各段階で、誰が何を判断し、その結果をどのように記録・点検し、必要な改善へ結び付ける流れになっているかを見比べてください。

視点

プライバシーに関する管理は、個別の対応だけでなく、目的の設定から運用、記録、評価、改善までを一続きの仕組みとして捉えると整理しやすくなります。

確認ポイント

• 担当や判断の所在が途中で曖昧になっていないか
• 実施した内容を後から確認できる形で残す視点があるか
• 状況の変化に応じて点検と改善につながる構成か

正解

ウ

解説

JIS X 9251:2021で、個人識別可能情報の処理に関する潜在的なプライバシー影響を特定、分析、評価し、協議・伝達・対応を計画する全体的なプロセスはPIAと定義される。したがって正答はウです。

理由

PIAはPrivacy Impact Assessmentの略で、個人識別可能情報の処理に伴う潜在的なプライバシー影響について、特定、分析、評価、協議、伝達、対応の計画を立てる全体的なプロセスを指します。設問の定義と一致する。

比較

eKYCは電子的な本人確認、GDPRは個人データ保護に関するEUの規則、PIIは個人を識別できる情報そのものを表します。いずれも、設問が説明するプライバシー影響評価のプロセス名ではありません。

選択肢ア

これは不正解だよ。eKYCは電子的な本人確認を意味する用語であり、オンラインで本人確認を行う仕組みや手続を表す。個人識別可能情報の処理に伴うプライバシー影響を特定・分析・評価し、対応を計画する全体的なプロセスの定義には該当しない。

選択肢イ

これは不正解だよ。GDPRは、EU域内などで適用される個人データ保護に関する規則である。個人データの保護に関係する制度ではあるが、設問にある潜在的なプライバシー影響を特定、分析、評価し、対応を計画するプロセスそのものを指す名称ではない。

選択肢ウ（正解）

これは正解だよ。PIAはPrivacy Impact Assessmentの略で、個人識別可能情報の処理に関する潜在的なプライバシー影響を、特定、分析、評価、協議、伝達し、対応を計画する全体的なプロセスを意味する。設問の定義と一致する。

選択肢エ

これは不正解だよ。PIIはPersonally Identifiable Informationの略で、個人を識別できる情報を表す用語である。情報の種類や対象を示す言葉であって、その処理に伴うプライバシー影響を評価し、対応を計画する全体的なプロセスの名称ではない。

学習のポイント

PIA、eKYC、GDPR、PIIの役割と意味を区別して覚える。