令和7年度秋期 システム監査技術者 午前Ⅱ 問14

検討対象と評価手順の切り分け

まず、評価の対象が何であり、どの時点・範囲で確認する作業なのかに注目しましょう。用語の説明だけでなく、手続の目的と位置づけを問題文の文脈から整理することが大切です。

この問題で問われていること

選択肢を比べるときは、対象そのものを説明しているのか、評価を進めるための行為や段階を説明しているのかという一点に絞って確認し、表現の細部より役割の違いを見てください。

視点

用語を単独で覚えるのではなく、評価の対象、関係者、実施する場面、前後のつながりを分けて捉え、説明がどの役割に対応するかを考える視点を持ちましょう。

確認ポイント

• 対象・行為・段階のどれを説明しているか確認する
• 評価の目的と、実施される場面の関係を整理する
• 前後の工程とのつながりが自然かを読み取る

正解

ウ

解説

JIS X 9251:2021で、個人識別可能情報の処理に関する潜在的なプライバシー影響を特定、分析、評価し、協議や伝達、対応計画まで行う全体的なプロセスはPIAです。

理由

PIAはPrivacy Impact Assessmentの略で、個人識別可能情報の処理に伴うプライバシー影響を、特定から分析、評価、協議、伝達、対応計画まで総合的に扱うプロセスを指します。したがって設問の定義に合致する。

比較

他の選択肢は、本人確認の仕組み、個人情報保護に関する法規制、または個人識別可能情報そのものを表す用語であり、設問が説明する一連の評価プロセスとは対象が異なる。

選択肢ア

これは不正解だよ。eKYCは電子的な本人確認を表す用語であり、オンライン上で顧客の本人確認を行う仕組みや手続を指す。個人識別可能情報の処理によるプライバシー影響を、特定から対応計画まで評価する全体的なプロセスの名称ではない。

選択肢イ

これは不正解だよ。GDPRは欧州連合における個人データ保護のための規則であり、個人データの取扱いに関する法的な枠組みを示す。設問が尋ねている、影響を特定・分析・評価し対応を計画するプロセスそのものを表す用語ではない。

選択肢ウ（正解）

これは正解だよ。PIAはPrivacy Impact Assessmentの略で、個人識別可能情報の処理に関する潜在的なプライバシー影響を特定、分析、評価し、協議、伝達及び対応の計画を立てる全体的なプロセスを表す。設問の定義と一致する。

選択肢エ

これは不正解だよ。PIIはPersonally Identifiable Informationの略で、個人を識別できる情報そのものを表す用語である。設問は情報の名称ではなく、その処理に伴う潜在的なプライバシー影響を評価し対応を計画する一連のプロセスを尋ねている。

学習のポイント

PIA、PII、GDPR、eKYCの役割と対象の違いを整理する。