令和4年度 秋期 システム監査技術者試験 午前Ⅱ 問14
テクノロジ／セキュリティJIS X 9251:2021 において，個人識別可能情報の処理に関する潜在的なプライバシー影響の，特定，分析，評価，協議，伝達及び対応の計画を立てるための全体的なプロセスと定義されているものはどれか。
出典：令和4年度 秋期 システム監査技術者試験 午前Ⅱ 問14
- アeKYC
- イGDPR
- ウPIA
- エPII
正解：ウ
解説
JIS X 9251:2021（プライバシー影響評価のためのガイドライン）は，個人識別可能情報（PII）を取り扱う情報システムや業務プロセスがプライバシーに及ぼす潜在的な影響を，事前に特定，分析，評価し，関係者と協議した上で対応策を計画するための一連のプロセスを，PIA（Privacy Impact Assessment，プライバシー影響評価）として定義しています。PIAを実施することで，個人情報保護に関するリスクを早期に発見し，設計段階から対策を組み込むことが可能になります。eKYCはオンラインでの本人確認手法，GDPRはEUの一般データ保護規則，PIIは個人を識別できる情報そのものを指す用語であり，いずれもプロセスの名称ではありません。
選択肢ごとの解説
- ア誤り。eKYC（electronic Know Your Customer）は，オンラインで本人確認を完結させる手法であり，プライバシー影響評価のプロセスではありません。
- イ誤り。GDPR（General Data Protection Regulation）は，EUの一般データ保護規則という法令の名称であり，評価プロセスの名称ではありません。
- ウ正しい。特定，分析，評価，協議，伝達及び対応の計画を立てるための全体的なプロセスがPIA（プライバシー影響評価）です。
- エ誤り。PII（Personally Identifiable Information）は個人識別可能情報そのものを指す用語であり，評価プロセスの名称ではありません。