データマスキングに関する管理策 (8b-8.11)
令和7年8月29日|p.140
左の本文を選ぶと、右側の官報原文画像で該当箇所を照合できます。
8b-8.11データマスキング
管理策:データマスキングは、適用される法令を考慮して、組織のアクセス制御に関するトピッ
ク固有の方針及びその他の関連するトピック固有の方針、並びに事業上の要求事項に
従って利用する。
目的:PIIを含む、取扱いに慎重を要するデータの開示を制限し、法令、規制及び契約上
の要求事項を順守するため。
詳細管理策
-80-8.11.1取扱いに慎重を要するデータの保護が必要である場合、組織は仮名
化、匿名化などを含むデータマスキングの手法を利用してそのデー
タを隠すことを検討する。
(8b-8.11.1参考)仮名化又は匿名化の手法では、次のことが可能である。
a)PIIのデータを隠す。
b)PII主体の真のアイデンティティ又はその他の取扱いに慎
重を要する情報を偽装する。
c)PIIとPI主体のアイテンティティとの間のひも(紐)
付け又は他の取扱いに慎重を要する情報との間のひも(紐)
付けを切る.
8b-8.11.2
仮名化又は匿名化の手法を利用する場合、データが十分に仮名化又
は匿名化されていることを検証する。
8b-8.11.3
データの匿名化では、取扱いに慎重を要する情報の全ての要素に対
して有効とするように考慮する。
(8b-8.11.3参考)
データの匿名化が適切に考慮されていない場合、ある人物が直接識
別できるデータが匿名化されていても、間接的に識別を可能とする
別のデータが存在して、その人物が識別できる場合がある。
8b-8.11.4
データマスキング手法には、仮名化、匿名化のほかに、次を含む手
法を考慮する。
a)データを暗号化する。
b)文字をヌル化又は消去する。
c)数及び日付を変える.
d)取扱いに慎重を要するデータのうち特定の値を別の値に置き
換える。
e)値をそのハッシュ値に置き換える。
8b-8.11.5データマスキング手法を実装する場合、次の事項を考慮する.
a)利用者に必要最小限のデータだけを示すように問合せ(クエ
リ)及びマスクを設計する。
b)データセットの一部の記録に関して、利用者に一部のデータ
を見せないことが望ましい場合、データを難読化する仕組み
を設計し、実装する。
c)データを難読化する場合、データを難読化しているかどうか
を利用者が知ることができないことを、PII主体が要求で
きるようにする。
d)法令又は規制上の要求事項。