空白を埋める
PIS
同社には、明確に定義され、効果的に実装されたセキュリティ ポリシーがあります。アクセス制御の場合と同様、セキュリティ制御はクライアントの要件に基づいてクライアントとの関係によって異なりますが、特定の基本的または衛生的なセキュリティ慣行/制御は組織全体で実装されます。コンサルタントは、情報セキュリティ部門に対し、プライバシーの側面を含めて会社のセキュリティ ポリシー、リスク評価、データ分類などを再調整するようアドバイスしました。しかし、コンサルタントは情報セキュリティ部門に正確にどのような変更を加える必要があるかを理解させるのに苦労しており、セキュリティ部門自体はそれを理解することができません。
(注: 候補者は、最終的な結論に達するために、必要に応じて仮定を立て、述べるように求められます。) はじめにと背景 XYZ は、インドを拠点とする大手 IT およびビジネス プロセス管理 (BPM) サービス プロバイダーで、BSE および NSE に上場されています。同社の従業員は 150 万人を超え、30 か国の 100 のオフィスで働いています。南北アメリカ、ヨーロッパ、アジア太平洋、中東、アフリカのBFSI、小売、政府、医療、電気通信など、業界全体で500以上のクライアントにサービスを提供しています。同社は、アプリケーションの開発と保守、IT インフラストラクチャの管理、コンサルティングなどの IT サービスを提供しています。また、主に BFSI 顧客向けに IT 製品も提供しています。
同社はここ数年、クレジットカード処理、給与処理、顧客サポート、法務プロセスアウトソーシングなどの財務会計を含むBPMサービスの驚異的な成長を目撃しており、プラットフォームベースのサービスを展開しています。同社の収益のほとんどは、BFSI 部門からの米国からのものです。ポートフォリオを多様化するため、同社はヨーロッパでの事業拡大を目指している。インドもまた、特に国内の IT 支出の驚異的な増加を考慮して企業の注目を集めています。政府によるさまざまな大規模 IT プロジェクトを通じて。同社はクラウドとモビリティの分野にも積極的に取り組んでおり、クラウド サービスの提供に重点を置いています。ヨーロッパでの事業拡大に関しては、
この市場へのアクセスを改善するために、同社はプライバシーに投資することを決定しました。これにより、EU 内の潜在的な顧客にさらなる保証を提供できるようになります。また、米国でもプライバシーに関する懸念が高まっているため、これは同社の米国事業にも利益をもたらします。また、企業が米国国民の機密医療記録の保護を伴う米国のヘルスケア分野でアウトソーシングの機会を活用するのにも役立ちます。
同社は、プライバシーも今後のクラウド ビジネスにおける重要な差別化要因になると考えています。つまり、プライバシーは 2011 年の初めに社内の戦略的取り組みとして取り上げられました。
XYZ は社内にコンサルティング部門を持っていたため、企業全体のプライバシー プログラムの設計と実装の責任をコンサルティング部門に割り当てました。このコンサルティング部門は、情報セキュリティ コンサルティングに関しては非常に優れた専門知識を持っていましたが、プライバシー領域に関する専門知識は限られていました。このプロジェクトは、企業情報セキュリティおよび法務部門と緊密に協議しながら、CIO オフィスによって推進される予定でした。
クライアントのセキュリティ要件は関係によって異なることを念頭に置き、プライバシー保護を含めるように会社のセキュリティへの取り組みを再調整するよう情報セキュリティ部門を指導していただけますか? (250～500ワード)

空白を埋める
PPP
コンサルタントは、可視性の実践に基づいて、すべての顧客関係とビジネス機能に適用できる単一のプライバシー ポリシーを作成しました。このポリシーには、PI 企業が何を扱うか、それがどのように使用されるか、保護のためにどのようなセキュリティ対策が導入されるか、誰と共有されるかなどが詳しく規定されていました。単一のポリシーを通じてすべての顧客関係とビジネス機能に対処する必要があることを考慮すると、プライバシー ポリシーは非常に長く複雑になりました。プライバシー ポリシーは会社のイントラネットで公開され、すべての関係部門および部門の責任者にも配布されました。一部の顧客関係に関しては、同社が BPM サービスの提供の一環として PI を直接収集しているため、プライバシー ポリシーを顧客の最終顧客に通知する必要があるかどうかについても混乱がありました。責任者は、ポリシー (ポリシーに直接関係できないため) と実行する必要があるアクションを理解するのが難しいと感じました。彼らの不安を解消するために、1 日間の研修ワークショップが実施されました。すべての関係部門および部門の責任者がトレーニングに参加しました。しかし、聴衆からの質問が多く、説明に時間がかかったために、研修は所定の時間内に完了することができませんでした。
(注: 候補者は、最終的な結論に達するために、必要に応じて仮定を立て、述べるように求められます。) はじめにと背景 XYZ は、インドを拠点とする大手 IT およびビジネス プロセス管理 (BPM) サービス プロバイダーで、BSE および NSE に上場されています。同社の従業員は 150 万人を超え、30 か国の 100 のオフィスで働いています。南北アメリカ、ヨーロッパ、アジア太平洋、中東、アフリカのBFSI、小売、政府、医療、電気通信など、業界全体で500以上のクライアントにサービスを提供しています。同社は、アプリケーションの開発と保守、IT インフラストラクチャの管理、コンサルティングなどの IT サービスを提供しています。また、主に BFSI 顧客向けに IT 製品も提供しています。
同社はここ数年、クレジットカード処理、給与処理、顧客サポート、法務プロセスアウトソーシングなどの財務会計を含むBPMサービスの驚異的な成長を目撃しており、プラットフォームベースのサービスを展開しています。同社の収益のほとんどは、BFSI 部門からの米国からのものです。ポートフォリオを多様化するため、同社はヨーロッパでの事業拡大を目指している。インドもまた、特に国内の IT 支出の驚異的な増加を考慮して企業の注目を集めています。政府によるさまざまな大規模 IT プロジェクトを通じて。同社はクラウドとモビリティの分野にも積極的に取り組んでおり、クラウド サービスの提供に重点を置いています。ヨーロッパでの事業拡大に関しては、
この市場へのアクセスを改善するために、同社はプライバシーに投資することを決定しました。これにより、EU 内の潜在的な顧客にさらなる保証を提供できるようになります。また、米国でもプライバシーに関する懸念が高まっているため、これは同社の米国事業にも利益をもたらします。また、企業が米国国民の機密医療記録の保護を伴う米国のヘルスケア分野でアウトソーシングの機会を活用するのにも役立ちます。
同社は、プライバシーも今後のクラウド ビジネスにおける重要な差別化要因になると考えています。つまり、プライバシーは 2011 年の初めに社内の戦略的取り組みとして取り上げられました。
XYZ は社内にコンサルティング部門を持っていたため、企業全体のプライバシー プログラムの設計と実装の責任をコンサルティング部門に割り当てました。このコンサルティング部門は、情報セキュリティ コンサルティングに関しては非常に優れた専門知識を持っていましたが、プライバシー領域に関する専門知識は限られていました。このプロジェクトは、企業情報セキュリティおよび法務部門と緊密に協議しながら、CIO オフィスによって推進される予定でした。
関係部門や部門の責任者の間で混乱があることを考慮すると、どのように問題に対処し、ポリシーが十分に理解され、展開されるようにするつもりですか? (250～500ワード)

2008 年の ITAA セクション 43A に基づいて機密個人データまたは情報として分類されるものは次のうちどれですか? (該当するものをすべて選択してください。)

出発点として、コンサルタントは、組織内および第三者によって扱われる個人情報 (PI) の種類を理解するための可視化演習に取り組みました。範囲は、すべてのクライアント関係 (IT サービスと BPM の両方) をカバーすることでした。機能。彼らはこのデータを収集するために、顧客関係およびビジネス機能の責任者と会いました。コンサルタントは、企業が PI を直接収集するかどうか、PI がどのようにアクセス、送信、保管されるか、適用される規制要件や契約上の要件は何かなど、PI とそれに関連する属性を特定するためのマッピング作業を実施しました。演習の規模が膨大であること（全社規模）を考慮して、コンサルタントは PI を財務情報、健康関連情報、個人を特定できる情報などに分類しました。そして、この分類に対して残りの属性を収集しました。基礎となるテクノロジー環境を理解する際、コンサルタントは企業の所有権および敷地内にあるテクノロジー環境のみに限定し、クライアント側の環境についての演習を継続しませんでした。これは、関係所有者がそのようなクライアント固有の詳細を共有することに消極的であるように見えたため、行われました。関係責任者が積極的にクライアントにコンサルタントを紹介し、必要な情報を入手したのは 2 件の関係のみでした。これら 2 つの関係における環境を分析した結果、企業側では多くの制限が課せられているにもかかわらず、クライアント側では同じ制限が適用されていないことが明らかになりました。コンサルタントは、会社の所有権および敷地内にあるテクノロジー環境のみに限定し、クライアント側の環境については継続しませんでした。これは、関係所有者がそのようなクライアント固有の詳細を共有することに消極的であるように見えたため、行われました。関係責任者が積極的にクライアントにコンサルタントを紹介し、必要な情報を入手したのは 2 件の関係のみでした。これら 2 つの関係における環境を分析した結果、企業側では多くの制限が課せられているにもかかわらず、クライアント側では同じ制限が適用されていないことが明らかになりました。コンサルタントは、会社の所有権および敷地内にあるテクノロジー環境のみに限定し、クライアント側の環境については継続しませんでした。これは、関係所有者がそのようなクライアント固有の詳細を共有することに消極的であるように見えたため、行われました。関係責任者が積極的にクライアントにコンサルタントを紹介し、必要な情報を入手したのは 2 件の関係のみでした。これら 2 つの関係における環境を分析した結果、企業側では多くの制限が課せられているにもかかわらず、クライアント側では同じ制限が適用されていないことが明らかになりました。これは、関係所有者がそのようなクライアント固有の詳細を共有することに消極的であるように見えたため、行われました。関係責任者が積極的にクライアントにコンサルタントを紹介し、必要な情報を入手したのは 2 件の関係のみでした。これら 2 つの関係における環境を分析した結果、企業側では多くの制限が課せられているにもかかわらず、クライアント側では同じ制限が適用されていないことが明らかになりました。これは、関係所有者がそのようなクライアント固有の詳細を共有することに消極的であるように見えたため、行われました。関係責任者が積極的にクライアントにコンサルタントを紹介し、必要な情報を入手したのは 2 件の関係のみでした。これら 2 つの関係における環境を分析した結果、企業側では多くの制限が課せられているにもかかわらず、クライアント側では同じ制限が適用されていないことが明らかになりました。
多くのビジネス機能もサードパーティのサービスプロバイダーのサービスを利用していました。これらの部門は、サードパーティによって扱われる PI の種類を認識していましたが、サードパーティのテクノロジー環境については認識していませんでした。奇妙なケースでは、ある企業従業員の個人情報が、第三者の従業員によってソーシャル ネットワーキング サイトを通じて誤って漏洩されました。コンサルタントは、第三者機関から提供されるあらゆる情報に依存しました。データ収集が完了した後、コンサルタントはその情報を使用して、社内に展開されているシステム間の情報の流れを強調した情報フロー マップを作成しました。この作業は、会社が扱う PI について概要を把握するのに役立ちました。データ収集演習はコンサルタントによって 1 回だけ実施されました。可視化の実践により、経営陣は PI とそれが組織全体にどのように流れているかを全社的に把握できるようになりました。この情報は、PI のリスク姿勢を導き出すために、関係レベルまたは職務レベルで導入されたセキュリティ管理/実践と結びつけられました。
(注: 候補者は、最終的な結論に達するために、必要に応じて仮定を立て、述べるように求められます。) はじめにと背景 XYZ は、インドを拠点とする大手 IT およびビジネス プロセス管理 (BPM) サービス プロバイダーで、BSE および NSE に上場されています。同社の従業員は 150 万人を超え、30 か国の 100 のオフィスで働いています。南北アメリカ、ヨーロッパ、アジア太平洋、中東、アフリカのBFSI、小売、政府、医療、電気通信など、業界全体で500以上のクライアントにサービスを提供しています。同社は、アプリケーションの開発と保守、IT インフラストラクチャの管理、コンサルティングなどの IT サービスを提供しています。また、主に BFSI 顧客向けに IT 製品も提供しています。
同社はここ数年、クレジットカード処理、給与処理、顧客サポート、法務プロセスアウトソーシングなどの財務会計を含むBPMサービスの驚異的な成長を目撃しており、プラットフォームベースのサービスを展開しています。同社の収益のほとんどは、BFSI 部門からの米国からのものです。ポートフォリオを多様化するため、同社はヨーロッパでの事業拡大を目指している。インドもまた、特に国内の IT 支出の驚異的な増加を考慮して企業の注目を集めています。政府によるさまざまな大規模 IT プロジェクトを通じて。
同社はクラウドとモビリティの分野にも積極的に取り組んでおり、クラウド サービスの提供に重点を置いています。欧州での事業拡大に関して同社は、EU一般データ保護規則（EU GDPR）に基づく厳しい規制要件から生じるクライアントのプライバシー関連の懸念により、市場の可能性を最大限に引き出すことが困難に直面している。
この市場へのアクセスを改善するために、同社はプライバシーに投資することを決定しました。これにより、EU 内の潜在的な顧客にさらなる保証を提供できるようになります。また、米国でもプライバシーに関する懸念が高まっているため、これは同社の米国事業にも利益をもたらします。また、企業が米国国民の機密医療記録の保護を伴う米国のヘルスケア分野でアウトソーシングの機会を活用するのにも役立ちます。
同社は、プライバシーも今後のクラウド ビジネスにおける重要な差別化要因になると考えています。つまり、プライバシーは 2011 年の初めに社内の戦略的取り組みとして取り上げられました。
XYZ は社内にコンサルティング部門を持っていたため、企業全体のプライバシー プログラムの設計と実装の責任をコンサルティング部門に割り当てました。このコンサルティング部門は、情報セキュリティ コンサルティングに関しては非常に優れた専門知識を持っていましたが、プライバシー領域に関する専門知識は限られていました。このプロジェクトは、企業情報セキュリティおよび法務部門と緊密に協議しながら、CIO オフィスによって推進される予定でした。
可視化訓練は適切に実施されましたか? どのようなギャップに気づきましたか？(250～500ワード)

あなたは、DSCI のプライバシー認証の準備を進めている IT 企業の新しく任命されたデータ保護責任者として、各ビジネス プロセス、機能にどのようなデータ要素が関与しているのか、またこれらのデータ要素が機密個人情報として分類できるかどうかを理解しようとしています。この取り組みによって何が達成されるのでしょうか?