プライバシー影響評価のためのガイドライン（JIS X 9251）

プライバシー影響評価（PIA）を実施するための手順と、評価報告書の構成・内容を示した規格で、ISO/IEC 29134を基にJIS X 9251として制定された。PIAが必要かどうかの判断、PIIの流れの特定、プライバシーリスクの分析・評価、リスク対応の決定、報告書の作成と公表、評価結果の実施と見直しといった進め方を示している。

リスクの重大さを評価するための目安となる条件。組織の目的や利害関係者の要求を踏まえて定め、情報セキュリティでは、リスクを受容するかを決めるリスク受容基準と、リスクアセスメントを実施するための基準を含む。

組織が保有する情報資産を洗い出して一覧にした台帳。資産ごとに名称、管理責任者、保管場所、利用者の範囲、機密性・完全性・可用性から見た重要度などを記録し、リスクアセスメントや管理策の検討の基礎とする。

リスクアセスメントの最初のプロセスで、リスクを発見し、認識し、記述すること。情報資産ごとに脅威と脆弱性、起こり得る事象とその結果を洗い出す。続いてリスク分析、リスク評価を行う。

特定したリスクの性質を理解し、リスクレベルを決定するプロセス。事象の起こりやすさと結果の大きさを、損失額などの数値で表す定量的分析や、「高・中・低」などの段階で表す定性的分析によって見積もる。

リスク分析の結果をリスク基準と比べ、リスクを受容できるか、どのリスクから対応すべきかを判断するプロセス。リスクアセスメントの最後の段階にあたり、その結果をもとにリスク対応の選択肢を選ぶ。

マイナンバー法に基づき、行政機関や地方公共団体などが、マイナンバーを含む個人情報のファイル（特定個人情報ファイル）を保有する前に、漏えいなどのリスクを分析し、その対策を自ら評価して公表する制度。日本版のプライバシー影響評価（PIA）に当たる。対象となる人数などに応じて、基礎項目評価、重点項目評価、全項目評価のいずれかを行う。