セクション: ITのガバナンスと管理
説明/参照:

セクション: 情報資産の保護

説明
情報システム監査人が組織の新しいプライバシー法への対応をレビューする際に最初に評価すべきことは、プライバシーコンポーネントを含むシステムの分析です。プライバシーコンポーネントとは、プライバシー法の対象となる個人情報を収集、処理、保管、または送信するシステムの要素です。プライバシーコンポーネントを含むシステムの分析では、どのような種類の個人情報が関係し、どこに保管され、どのように使用され、誰がアクセスできるのか、そしてどのようなリスクや脅威に直面しているのかを特定する必要があります。プライバシーコンポーネントを含むシステムの分析は、新しいプライバシー法が組織のシステムとプロセスに及ぼす影響の範囲と影響を判断するために不可欠です。
他の選択肢は選択肢Dほど重要ではありません。個人情報の収集を制限するための実施計画は、組織の新しいプライバシー法への対応を検討する際に、実行可能な措置ではありますが、最初に評価すべき事項ではありません。個人情報の収集を制限するための実施計画とは、個人情報は特定の正当な目的のためにのみ、かつその目的に必要な範囲でのみ収集されるべきであるというデータ最小化の原則に組織がどのように準拠するかを概説した文書です。個人情報の収集を制限するための実施計画は、プライバシーコンポーネントを含むシステムの分析に基づいて作成する必要があります。
同様の要件を含む可能性のある他の国のプライバシー法は、新しいプライバシー法に対する組織の対応を検討する際の参考資料としては考えられますが、最初に評価するものではありません。
類似の要件を含む可能性のある他国のプライバシー法とは、新しいプライバシー法と同等または互換性のある基準や期待を持つ可能性のある他の法域における個人情報保護を規定する一連の法律または規制です。類似の要件を含む可能性のある他国のプライバシー法は、新しいプライバシー法への準拠に関するガイダンスやベストプラクティスを提供する場合があります。ただし、類似の要件を含む可能性のある他国のプライバシー法は、プライバシーコンポーネントを含むシステムの分析の代替として使用すべきではありません。法律への準拠を達成するための運用計画は、組織の新しいプライバシー法への対応を検討する際に、成果物として作成することは可能ですが、最初に評価すべきものではありません。法律への準拠を達成するための運用計画とは、組織が新しいプライバシー法に準拠するために必要なポリシー、手順、管理、および対策をどのように実装および維持するかを記述した文書です。法律への準拠を達成するための運用計画は、プライバシーコンポーネントを含むシステムの分析から導き出される必要があります。参考文献：プライバシー法 - Wikipedia、世界のデータ保護とプライバシー法 | UNCTAD、データ最小化 - Wikipedia

災害復旧計画（DRP）を機密情報として分類する最も重要な理由は、攻撃につながる可能性のあるデータ漏洩のリスクを軽減することです。DRPには、組織のITインフラストラクチャ、システム、プロセス、そして災害からの復旧手順に関する機密情報が含まれています。この情報が悪意のある人物の手に渡ると、標的型攻撃、復旧活動の妨害、身代金要求などに悪用される可能性があります。したがって、DRPは不正アクセス、開示、改ざん、破壊から保護する必要があります。
その他のオプションは、攻撃につながる可能性のあるデータ漏洩のリスクを軽減することほど重要ではありません。
* データ分類ポリシーの遵守を確保することは良い慣行ですが、DRPを機密情報として分類する十分な理由にはなりません。データ分類ポリシーは、各データの種類に関連するリスクと影響のレベルを反映する必要があり、DRPは侵害された場合の潜在的な損害に基づいて機密情報として分類する必要があります。
* 計画を不正な変更から保護することは当然の懸念事項ですが、DRPを機密情報として分類する主な理由ではありません。DRPは、アクセス制御、監査証跡、バージョン管理、および変更管理プロセスを実装することで、不正な変更から保護する必要があります。
DRP を機密として分類すると、不正な変更を阻止することはできますが、完全に防止できるわけではありません。
* 事業継続に関するベストプラクティスを遵守することは望ましい目標ですが、DRPを機密情報として分類する正当な理由にはなりません。事業継続に関するベストプラクティスでは、DRPを機密情報として分類することが推奨される場合がありますが、義務付けられるものではありません。DRPを機密情報として分類するかどうかの決定は、リスク評価と費用対効果分析に基づいて行う必要があります。