セクション: 情報資産の保護

組織の中核的な活動は、組織が最も得意とすることであるため、通常はアウトソーシングすべきではありません。そのことに気付いた情報システム監査人は、懸念すべきです。情報システム監査人は、アウトソーシング契約で定期的な再交渉を規定することがベストプラクティスであるため、その他の条件については懸念すべきではありません。アウトソーシング契約では、関係者に期待されるすべてのアクションと詳細を網羅することは期待できませんが、マルチソーシングはリスクを軽減する許容可能な方法です。

正解は B です。データの最小化は、アプリケーション プログラミング インターフェイス (API) クエリを通じてデータが露出するリスクを軽減するための最も重要な設計上の考慮事項です。API は、さまざまなソフトウェア コンポーネントまたはシステムが通信してデータを交換できるようにする一連のルールとプロトコルです。API クエリは、ユーザーまたはアプリケーションが API に送信してデータを取得または操作する要求です。たとえば、ユーザーは API にクエリを実行して、製品、サービス、または場所に関する情報を取得することができます。
データ最小化とは、特定の目的のために必要な最小限のデータのみを収集、処理、保存するという原則です。データ最小化は、API を通じて利用可能またはアクセス可能なデータの量と種類を制限することで、API クエリを通じてデータが漏洩するリスクを軽減するのに役立ちます。また、データ最小化は、データ主体とデータ プロバイダーのプライバシーとセキュリティを保護し、関連する法律や規制に準拠するのにも役立ちます。
API 設計におけるデータ最小化の利点は次のとおりです。
* プライバシー: データ最小化により、API の目的に関連し不可欠なデータのみが収集および処理されるようになり、データ主体のプライバシーを強化できます。これにより、名前、住所、電話番号、電子メール アドレスなどの個人情報や機密データの不必要なまたは過剰な収集や開示を防ぐことができます。また、データ最小化は、GDPR (一般データ保護規則) や CCPA (カリフォルニア州消費者プライバシー法) など、設計およびデフォルトでデータ保護を要求するプライバシー法や規制に準拠するのにも役立ちます。
* セキュリティ: データの最小化により、攻撃対象領域とデータ侵害の潜在的な被害が軽減され、データ プロバイダーのセキュリティが向上します。API を通じて保存または送信されるデータが少なければ、攻撃者がデータにアクセスしたり、データを侵害したりする機会も少なくなります。データの最小化により、暗号化、アクセス制御、ログ記録などのセキュリティ制御をより効率的かつ効果的に実装することもできます。
* パフォーマンス: データの最小化により、リソースと帯域幅の使用が最適化され、API のパフォーマンスが向上します。API を介して保存または送信されるデータが少なければ、必要なストレージ スペースとネットワーク トラフィックも少なくなります。データの最小化は、API 応答の速度と信頼性の向上にも役立ちます。
API 設計におけるデータ最小化の手法には次のようなものがあります。
* API の明確かつ具体的な目的を定義し、API 仕様またはドキュメントに文書化します。
* それぞれの目的に必要なデータを識別して分類し、公開、内部、機密、制限など適切なラベルまたはレベルを割り当てます。
* API クエリにフィルターまたはパラメーターを実装して、ユーザーまたはアプリケーションが取得または操作するデータ フィールドまたは属性を指定または制限できるようにします。
* API 応答でページネーションまたはスロットリングを使用して、リクエストごとに返されるデータ項目の数またはサイズを制限します。
* API 経由でデータを送信する前に、データから識別情報を削除または置き換える匿名化または仮名化技術を使用します。
API 設計におけるデータの最小化について説明する Web リソースの例を以下に示します。
* Web API におけるデータの最小化 - World Wide Web Consortium (W3C)
* 安全なアプリケーション開発における設計によるプライバシーの追加
* Chung-ju/Data-Minimization: 関連論文のリポジトリ。 - GitHub