情報セキュリティ監査・法務・先端技術監査重要度:★★★出題: AM2・PM1・PM2

個人情報保護・プライバシーガバナンスの監査

こじんじょうほうほごぷらいばしーがばなんすのかんさ / Personal Data Protection and Privacy Governance Audit

個人情報保護法および社内規程に基づき、個人データの取得（利用目的の明示・同意）、保管（安全管理措置・アクセス制限）、利用・加工（仮名加工・匿名加工）、第三者提供、および保存期間経過後の消去が適切に行われているかを検証する監査です。

3行速習ポイント

個人情報保護法および社内規程に基づき、個人データの取得（利用目的の明示・同意）、保管（安全管理措置・アクセス制限）、利用・加工（仮名加工・匿名加工）、第三者提供、および保存期間経過後の消去が適切に行われているかを検証する監査です。
「取得から廃棄までのライフサイクル全体」で個人データの所在と取扱状況を追跡できる台帳管理と技術的保護措置が要となります。
試験対策：午前IIの法規問題および午後I（令和3年問2の顧客情報管理監査等）・午後IIの顧客データ活用案件で必須のテーマです。

図解

図個人データのライフサイクル（取得・保管・利活用・廃棄）における監査要点プロセス・手順フロー

個人情報保護法の安全管理措置とデータガバナンスの一貫検証

▶ 進行順序：1. 取得・台帳統制➔2. 安全管理措置➔3. 加工・提供統制➔4. 保存期限・消去

11. 取得・登録時の統制（利用目的の明示と本人同意）

取得・台帳統制

適法な取得手続と個人データ管理台帳への漏れなき登録

Web申込画面や規約を閲覧し、利用目的の明示や第三者提供同意が適法に行われているか、また取得したデータ項目が個人データ管理台帳に登録されているか確認する。

22. 保管・アクセス時の安全管理措置（暗号化・権限・ログ）

安全管理措置

最小権限の原則・大量ダウンロード制限・テストデータマスキング

DB暗号化、必要最小限の担当者へのアクセス制限、大量検索・CSV出力時の上長承認とアラート検知、およびテスト環境への本番データ流用禁止（マスキング）を確認する。

33. データ分析・外部連携時の加工・提供統制

加工・提供統制

同意なき目的外利用の防止と仮名加工・匿名加工基準の遵守

マーケティング分析やAI学習に利用する際、当初の利用目的の範囲内か、または法令基準に従った仮名加工・匿名加工処理および再識別禁止措置が講じられているか確認する。

44. 保存期間満了・契約終了時の確実な消去

保存期限・消去

不要な個人データを持ち続けない保持期間設定と自動削除検証

社内規程で定めた保存期間を経過した個人データが、本番DBおよびバックアップ・一時ファイルから定期的に消去されていることを削除ログ等で確かめる。

💡 特に「本番データを開発・テスト環境へ流用する際のマスキング処理の監査」や「コールセンター・委託先での画面キャプチャ・USB持ち出し制限の監査」がよく問われます。

概要と本質

個人情報保護法および社内規程に基づき、個人データの取得（利用目的の明示・同意）、保管（安全管理措置・アクセス制限）、利用・加工（仮名加工・匿名加工）、第三者提供、および保存期間経過後の消去が適切に行われているかを検証する監査です。「取得から廃棄までのライフサイクル全体」で個人データの所在と取扱状況を追跡できる台帳管理と技術的保護措置が要となります。

重要ポイント・コア概念

個人データ取扱台帳の整備、利用目的の範囲内での利用、アクセス権限の最小化、マイナンバー（特定個人情報）の厳格な分離保管、および外部委託先の監督状況の確認
分析活用時における仮名加工情報・匿名加工情報の法定作成基準の遵守確認、および不要となった個人データの保存期間経過後の確実な削除・消去ログの確認
定量的効果・監査目標例：顧客データ管理台帳とDBテーブル・外部出力ログの突合監査を実施し、保存期間を超過した休眠顧客データの自動削除バッチ実装と委託先点検率100%を達成