令和7年度 秋期 システム監査技術者試験 午前Ⅱ 問14
テクノロジ／セキュリティJIS X 9251:2021（プライバシー影響評価のためのガイドライン）において，個人識別可能情報の処理に関する潜在的なプライバシー影響の，特定，分析，評価，協議，伝達及び対応の計画を立てるための全体的なプロセスと定義されているものはどれか。
出典：令和7年度 秋期 システム監査技術者試験 午前Ⅱ 問14
- アeKYC
- イGDPR
- ウPIA
- エPII
正解：ウ
解説
PIA（Privacy Impact Assessment：プライバシー影響評価）は，個人識別可能情報（PII）を扱うシステムやサービスの導入・変更に際して，プライバシーに与える潜在的な影響を事前に特定・分析・評価し，関係者との協議や伝達，対応策の計画を立てるための一連のプロセスです。JIS X 9251:2021は，このPIAの実施に関する指針を定めた規格です。
選択肢ごとの解説
- ア誤り。eKYCは，オンラインで本人確認（Know Your Customer）を完結させる仕組みであり，PIAの説明ではありません。
- イ誤り。GDPRは，EUの一般データ保護規則という法令の名称であり，プロセスの定義ではありません。
- ウ正しい。個人識別可能情報の処理に関する潜在的なプライバシー影響の特定，分析，評価，協議，伝達及び対応の計画を立てるための全体的なプロセスは，PIA（プライバシー影響評価）の定義です。
- エ誤り。PII（個人識別可能情報）は，評価の対象となる情報そのものを指す用語であり，プロセスを指す用語ではありません。