お問い合わせ
何をお探しですか？
What’s New
  • ニュースリリース、お知らせ等
  • セミナー＆イベント

2024年12月13日

コラム

Hyper-V ワークグループクラスター 2025

2024年12月2日

お知らせ

本社および品川オフィスの集約・移転、ならびに商号変更予定のお知らせ（2025年1月6日）

2024年11月13日

お知らせ

当社社員が翻訳協力した「原則から実践へ：ダイナミックな規制環境における責任あるAI」が公開されました
トピックス一覧へ

2024年12月12日 更新

2025年1月27日 開催

当社主催セミナー「生成AIビジネスの現状 ～最新の機能概要とビジネス化に向けた課題～」を開催

2024年12月10日 更新

2024年12月24日 開催

Hinemosでクラウド運用を実現するメリット （2024年12月24日）

2024年12月10日 更新

2025年1月28日 開催

当社主催セミナー「データ駆動型ビジネスの課題と解決法」を開催
セミナー＆イベント一覧へ

やってみよう！PIA（プライバシー影響評価）！（実施編）

セキュリティ
お問い合わせ
SHARE

2023.06.20

     

今回はPIA（プライバシー影響評価）を実際にどのようなやり方で進めるのかについて説明したいと思います。

ナンシー
ナンシー
元米海軍データアナリスト（自称）。口癖はジャスティス。コスプレが大好き。
タコちゃん
タコちゃん
元プロボクサー。現役時代は「ハンマー・タコ」の異名で恐れられた。お酒が大好き。
イカ君
イカ君
イロイロとこじらせたまま中年になってしまった謎のイカ。ゲームが大好き。
ナンシー

ブーニャ知ってる。
タコとイカうそつき。PIAやらない。

タコちゃん

……

イカ君

……あ、あれは？ナンシー？

タコちゃん

せ、せや……
ナンシーはコスプレ愛が強すぎて、たまにアッチの方に行って戻ってこられなくなるんや。

イカ君

ど　ど　ど　どうしよ？

タコちゃん

と、とりあえずPIAやって、キチンと動いていることをアッピールするんや！
今回はPIA実施の説明やしちょうどええ！手動かしながらサクッとやるで！

PIAの全体プロセス（おさらい）

PIA全体には、準備、実施、報告といった3つのプロセスがあることを前回の準備編で説明しました。今回は実施の部分にフォーカスして説明いたします。

表1：PIA全体プロセスの例[2]
プロセス 概要
準備
  • ・PIA必要性の検討（PII（個人識別可能情報）取り扱い状況、法令、規制等）
  • ・体制構築（責任者の任命、リスク基準の検討等）
  • ・計画作成およびリソースの決定（PIA実施に係るコスト、リソース、期間、能力等）
  • ・評価範囲の説明（PIA対象のプロセス、システム、プログラム等の説明）
  • ・ステークホルダーとの関わり（特定、協議計画策定、協議、フィードバック等）
実施
  • ・PII情報フロー（収集、保管、利用、提供、廃棄）の識別
  • ・ユースケースの内容分析（利用者のさまざまな行動に対する影響分析）
  • ・プライバシー安全対策要件のリスト（関連法令、規則、管理策、情報源等）
  • ・プライバシーリスクの特定（機密性、完全性、可用性の喪失等）
  • ・プライバシーリスク分析（脅威、脆弱性、影響、既存管理策等）
  • ・プライバシーリスク評価（プライバシーリスクマップ等）
  • ・プライバシーリスク対応措置（低減、保有、回避、移転等）
  • ・プライバシー管理策の決定（リスト化、適用宣言書等）
  • ・プライバシーリスク対応計画（管理計画、責任者承認、受容ステートメント等）
報告
  • ・PIA報告書作成（PIA報告書の作成、公表要素の決定等）
  • ・利害関係者へのPIA報告書の公表（PIA報告書登録簿の管理等）
  • ・プライバシーリスク対応計画の実施（実装の完了、推奨事項のモニタリング等）
  • ・PIAのレビューまたは監査（可能な限り第三者によるPIA報告書レビューまたは監査等）
  • ・プロセス変更の反映（プロセスもしくは情報システムに重大な変更があった場合）
イカ君

うわー。実施のフェーズやることありすぎでしょ。

タコちゃん

実施フェーズは基本的にリスクマネジメントなんでイロイロと応用できるんやで？
ISMSとかPマークのリスクアセスメントと似ているから流用できるし、不足分は他の要求事項等を適宜加えていけばええんやで。

PIAの実施（6.4.1　PII情報フロー（収集、保管、利用、提供、廃棄）の識別）

PIA実施の手始めは、個人識別可能情報（以下「PII」という）をどのように取り扱おうとしているのか、もしくはどのように取り扱っているのかを可視化することから始めます。
情報フロー（業務フロー）を作成し、PII取り扱いにおけるライフサイクル（収集、保管、利用、提供、廃棄）がどのように行われるかを確認します。

図1：PII情報フローの例

図1：PII情報フローの例[1]

PII情報フロー作成時に並行して実施しておくと効果的なのがデータマッピングになります。
内部統制における業務記述書やPマークにおける個人情報取扱台帳に似ています。
具体的にはデータマッピング表を作成し、PII取り扱いにおける管理主管、データ項目、件数、利用目的、本人同意状況などの、PII情報フローだけではわかりにくい情報を表形式でまとめておきます。そうすることで後述するPIIリスクコントロールがより適切に実施できるようになるため、併せて実施すると効果的です。また、このデータマッピング支援ツールも個人情報保護委員会から公開されておりますので[4]、参考にされると良いかと思います。

表2：データマッピングツールキット（別紙1：データマッピング表の項目例）[4]

表2：データマッピングツールキット（別紙1：データマッピング表の項目例）

PIAの実施（6.4.2　ユースケースの内容分析（利用者の様々な行動に対する影響分析））

ユースケースとは、利用者が実施する行動の想定と考えればイメージしやすいかと思います。利用者側が悪意を持っている場合の行動推測、利用者側に悪意の無い人為的ミス、意図しない偶発的な事象等、あらかじめリスクポイントを整理しておくと全体のリスクコントロールがやりやすいかと思います。
例えば以下のような例があります。

  • ・貸与された端末のセキュリティ設定を許可なく変更する
  • ・貸与されたICカードやスマートフォンを紛失してしまう
  • ・貸与された端末の誤操作やアプリケーションを間違った設定にしてしまう
  • ・悪意のある攻撃による意図しないマルウェア感染

PIAの実施（6.4.3　プライバシー安全対策要件のリスト（関連法令、規則、管理策、情報源等））

アセスメント中のプログラム、情報システムまたはプロセスの目的に関連するプライバシー安全対策要件を決定します。イメージがつかみづらいですが、以下のようにPIA範囲内の関連する法令、規則、管理策をまとめておき、違反が無いことを確実にするようリスト化しておくと良いでしょう。

  • ・PIA プロセスに適用される関連する法令、規制および契約を特定する
  • ・関連する一連の情報セキュリティ管理策（情報セキュリティ標準など）を特定する
  • ・関連するプライバシー要件を特定する
表3：安全対策要件リスト作成時の要因例[5]
法令および規制要因 契約要因 ビジネス要因 その他要因
例
  • ・国内、国際、地域の法令
  • ・規制
  • ・司法判断
  • ・労使協議会または労働者団体との協定
  • ・複数の利害関係者間の契約
  • ・企業方針および拘束的企業準則
  • ・想定される活用法、または利用の背景、状況の具体的特性
  • ・業界ガイドライン、行動規範、ベストプラクティスまたは標準
  • ・PII主体のプライバシー選好
  • ・内部統制制度
  • ・技術標準

PIAの実施（6.4.4.1　プライバシーリスクの特定（機密性、完全性、可用性の喪失等））

プライバシーリスクの特定では、リスクの抜け漏れが無いようにまずは洗い出しをしてみることが重要になってきます。前述の情報フロー（業務フロー）からプロセスごとにリスクの特定を実施することが一般的ですが、やり方はイロイロとありますので、組織に見合った形式で実施すると良いでしょう。また、洗い出したリスクを表として整理しておくことも有効です。

表4：プライバシーリスク特定実施のガイダンス[2]
プライバシーリスク特定の観点
PII への認可されていないアクセス（機密性の喪失）
PII の認可されていない変更（完全性の喪失）
PII の紛失、盗難または認可されていない持ち出し（可用性の喪失）
PII の過剰収集（運用管理の喪失）
PII の認可されていないまたは不適切なひも付け
PII の処理目的に関する情報が不十分（透明性の欠如）
PII 主体の権利への考慮の欠如（例えばアクセス権の喪失）
PII 主体の認識または同意なしに PII を処理すること（関連する法令または規則でそのような処理が規定されている場合を除く）
PII 主体の同意なしに第三者と PII を共有または目的を変更すること
PII の不必要な長期保有

表5：プライバシーリスク整理表のイメージサンプル[1]

表5：プライバシーリスク整理表のイメージサンプル

PIAの実施（6.4.4.2　プライバシーリスク分析（脅威、脆弱性、影響、既存管理策等））

プライバシーリスク分析では、特定したリスクについて、「影響度」および「発生可能性」の観点で評価を行うのが良いでしょう。
具体的には「影響度」および「発生可能性」の評価基準を策定し、特定したリスクの中で最も可能性が高いリスク源は何か？最も可能性が高い脅威は何か？などを特定することがポイントになります。

表6：プライバシーリスク影響度サンプル[2]
影響レベル PIIの性質
１ 無視できる：一般にアクセス可能な PII
（例えば、電話帳、住所録など）
2 限定的：アクセスに正当な利益を必要とする PII
（例えば、限定公開ファイル、配布リストのメンバーなど）
3 重大な：不正な開示が PII 主体の評判に影響を及ぼす可能性のある PII
（例えば、所得、社会福祉給付、固定資産税、罰金に関する情報など）
4 甚大な：不正な開示、変更、滅失または棄損が PII 主体の存在、健康、自由、生命に影響を及ぼす可能性がある PII
（例えば、誓約事項情報、刑罰、人事評価、健康データ、利用不能の債務、PII 主体が刑事事件で被害者になるリスクがある場合など）
表7：プライバシーリスク発生可能性サンプル[2]
発生可能性 説明
1 無視できる：選択されたリスク源では、サポートする資産の特性を利用して脅威が起こる可能性はない
（例えば、入館証読取機およびアクセスコードで保護された部屋に保管された紙文書の盗難）
2 限定的：サポートする資産の特性を利用して脅威が起こることは、選択されたリスク源にとっては困難であるようである
（例えば、入館証読取機によって保護された部屋に保管された紙文書の盗難）
3 重大な：選択されたリスク源では、サポートする資産の特性を利用して脅威が起こる可能性があると思われる
（例えば、受付で最初に入館手続をしなければアクセスすることができないオフィスに保管された紙文書の盗難）
4 甚大な：選択されたリスク源にとって、サポートする資産の特性を利用して脅威を実施することは極めて容易であるようである
（例えば、ロビーに保管された紙文書の盗難）

表8：プライバシーリスク評価表サンプル[1]

表8：プライバシーリスク評価表サンプル

PIAの実施（6.4.4.3　プライバシーリスク評価（プライバシーリスクマップ等））

プライバシーリスク評価は分析と並行して進めることが多いですが、リスク評価表に加えて余裕があればリスクマップを作成するとより分かりやすくなります。フォーマットは自由ですが、影響度と発生可能性の2軸でとりまとめ、より影響度が甚大で発生可能性の高いものからリスク対応を行う場合の優先順位をつける目安として活用すると良いかと思います。

図2：プライバシーリスクマップの例

図2：プライバシーリスクマップの例[1]

PIAの実施（6.4.5.1　プライバシーリスク対応措置（低減、保有、回避、移転等））

プライバシーリスク対応措置には、主に4つの選択肢（低減、保有、回避、移転）によって概ねの対応方針を定め、組織のリソース状況（ヒト・モノ・カネ）や利害関係者の要求等を鑑みて対応すると良いでしょう。基本的な考え方は、可能な限り全体的にリスクレベルを低減させることです。

表9：プライバシーリスク対応措置サンプル[3]
対応措置 説明
リスク低減 特定されたリスクを適切な対策を実施することでリスクを低減する。管理策の選択後に残留リスクが残っている場合、組織は残留リスクが受容できないかどうかを決定、もしくは追加の管理策の選択によってさらに対処する。
リスク保有 特定されたリスクが一定水準を超えていない場合、追加の管理策を実施する必要がなく、リスクを保有することができる。
リスク回避 特定されたリスクが高すぎるとみなされた場合、組織はその活動から撤退するか、活動条件を変更することによって回避することができる。
リスク移転 特定のリスクを外部委託するなどで移転することができる。ただし、リスク移転は新たなリスクを生み出す可能性があることに注意する。
また、一般的に影響の責任を移転することは不可能であり、利害関係者は悪影響を組織の過失であるとみなす。

図3：プライバシーリスク対応措置の例

図3：プライバシーリスク対応措置の例

PIAの実施（6.4.5.2　プライバシー管理策の決定（リスト化、適用宣言書等））

プライバシー管理策の決定では、リスクに対して最終的にどのようなセキュリティ管理策を適用するのかをリスト化してまとめるプロセスになります。
イメージとしてはISMS適用宣言書に似ていますが、ISMSで求められる管理策でなくても構いません。組織の状況に応じて必要とされる管理策を選定すると良いでしょう。

表10：プライバシーリスク管理策サンプル[1]

表10：プライバシーリスク管理策サンプル

表11：プライバシーリスク管理策の参考[2]
リスク管理策の例
JIS Q 27001:2014 の附属書 A の管理策
ISO/IEC 29151 の管理策
国内規格を含む、任意のプライバシー保護に関する一連の管理策
外部要因からの管理策
内部要因からの管理策

PIAの実施（6.4.5.3　プライバシーリスク対応計画（管理計画、責任者承認、受容ステートメント等））

プライバシーリスク対応計画では、優先順位に基づき計画的にリスク対応を行うために、年間計画書のようなものを作成し、進捗管理を行うのが良いでしょう。
計画書に含めるべき推奨事項としては以下のようなものがあります。

表12：プライバシーリスク対応計画に含めるべき事項の参考[2]
リスク対応計画に含めるべき事項の例
どのような管理策を実施するのか
管理策実現のためにリソースはどの程度必要なのか
担当者および責任者は誰か
達成目標はいつ頃でどのように評価するか
利害関係者との協議や要望が含まれているか
全体スケジュール感はどのようなものか
イカ君

いやー疲れた。。

タコちゃん

お疲れ様やで。今回紹介したのはリスクマネジメントのほんの一部なんで、もっと詳しく知りたければJIS Q 31010:2022（リスクマネジメント―リスクアセスメント技法）なんかも参考にするとええで。

次回はPIAの報告について説明する予定です。

参考文献

  • [1]個人情報保護委員会（2021）：「PIA の取組の促進について―PIA の意義と実施⼿順に沿った留意点―」
  • [2]ISO：ISO/IEC 29134:2017 “Guidelines for privacy impact assessment”
  • [3]日本情報経済社会推進協会（2021）：「PIA（プライバシー影響評価）の進め方」
  • [4]個人情報保護委員会：民間の自主的取組（PIA・データマッピング等）
    https://www.ppc.go.jp/personalinfo/independent_effort/
  • [5]ISO：ISO/IEC 29100:2011 “Information technology-Security techniques-Privacy framework”
  • ※文中の商品名、会社名、団体名は、一般に各社の商標または登録商標です。

やってみよう！PIA（プライバシー影響評価）！（実施編）