高度なアクセス管理 (AM) 技術は、特定のデータに誰がどのような条件でアクセスできるかを制御することに重点を置いています。場所 (A)、ユーザー ロール (B)、デバイス タイプ (C) に基づいてアクセスを制限するなどの技術は、アクセス管理システムでよく使用されます。ただし、データが保護されていないストレージ (D) に配置されないようにすることは、アクセス管理というよりも、データ セキュリティと保護対策の範疇に入ります。AM は主に、誰がどのようにアクセスできるかという問題に対処しますが、データが安全に保存されることを保証するには、暗号化、安全なストレージ ソリューション、適切な構成管理が必要であり、これらは通常、AM システムの範囲外です。この区別は、IAPP や米国国立標準技術研究所 (NIST) が提供するものを含む、さまざまなセキュリティとプライバシーのガイドラインで明確にされています。

米国カリフォルニア州に拠点を置く組織の場合、顧客からの電話に最善の対応をするために個人データを取得することを考えると、オンライン ヘルプデスク ソリューションを実装する前に最も適切な手順は、正当な利益評価 (LIA) を実施することです。この評価により、個人データの処理が組織の正当な利益に必要であり、個人のプライバシー、権利、自由を侵害しないことが保証されます。LIA は、会社の利益と顧客のプライバシー権のバランスをとるのに役立ち、必要性、比例性、保護策の評価が含まれます。これは、IAPP の情報プライバシー技術者ガイドラインに概説されているプラ​​イバシー規制とベスト プラクティスと一致しています。

* オプション A: リスク移転には、保険などを通じてリスクを別の当事者に移すことが含まれます。顧客に通知するだけではリスクは移転されません。
* オプション B: リスク軽減には、リスクの重大性または発生可能性を軽減するための措置を講じることが含まれます。
通知して同意を得ることはリスクを軽減するのではなく、リスクを認めることです。
* オプション C: リスク回避には、リスクを完全に回避するために計画を変更することが含まれます。顧客にリスクを通知することは、リスクを回避することではなく、リスクを認めることです。
* オプション D: リスクの受容には、リスクを認識し、それに取り組むことを決定することが含まれます。顧客に通知して同意を得ることで、組織はリスクを認識し、それを業務の一部として受け入れます。
参考文献:
* IAPP CIPT 学習ガイド
* プライバシーに関するリスク管理のフレームワークと実践

説明/参考文献: https://link.springer.com/article/10.1007/s41403-017-0026-8