コンプライアンス

法令や契約、業界の基準を守ることです。社内と社外への報告、守れなかったときの結果（罰金、制裁、評判の低下、許可の取り消し、契約の打ち切り）、守れているかの監視と、責任者による証明（アテステーション）が出ます。

プライバシーとデータの役割

データの対象になる本人（データ主体）、データの使い道を決める管理者（コントローラ）、管理者の指示で処理する処理者（プロセッサ）を見分けます。削除を求める権利（忘れられる権利）、持っているデータの一覧と保存期間も扱います。

監査と評価

社内の人が行う内部監査と、社外の人が行う外部監査があります。規制当局による調査や、第三者による評価もあります。

侵入テストの種類

• 知っている環境（Known environment） … 構成の情報をもらってテストする
• 一部を知っている環境（Partially known） … 一部の情報だけ
• 知らない環境（Unknown environment） … 情報なしで、外部の攻撃者と同じ立場

受け身で情報を集める偵察と、こちらから働きかける偵察も見分けます。

意識向上の教育

フィッシングの訓練メール、怪しいメールの見分け方、ふだんと違う行動に気づくこと、報告の仕方を教え、結果を測ってくり返します。

問題の読み方

「誰が決めるか」「誰が確かめるか」「どこまで知らされているか」を問題文から読み、役割や種類を見分けます。

• コンプライアンスの報告と、守れなかったときの結果
• データ主体・管理者・処理者の違い
• 内部監査・外部監査と、侵入テストの3つの環境
• フィッシングの訓練と、意識向上の教育の進め方