mcpField
A
audit-risk-assessment

audit-risk-assessment

github.com/mukul975セキュリティ32343 回インストール32 週間前に更新
リポジトリ

audit-risk-assessment について

プライバシー監査チーム向けに、処理、移転、セキュリティ、ベンダー、ガバナンスなどのリスク評価を解説します。スコアリングを残余リスクに基づく監査優先度や計画に結び付けます。

主な機能

  1. 01プライバシーリスク領域
  2. 02固有リスクの評価要因
  3. 03統制の有効性評価
  4. 04残余リスクと監査頻度
  5. 05リスクベースの監査計画要素

活用シーン

  1. 01プライバシー監査案件の優先順位付け
  2. 02残余リスクに応じた監査頻度の設定
  3. 03監査リソースの配分
  4. 04監査所見や法規制の変更に応じた計画調整

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/mukul975/privacy-data-protection-skills --skill audit-risk-assessment

インストール後、Claude Code で/audit-risk-assessmentを入力して読み込まれたか確認します。

同梱ファイル

SKILL.md と一緒にインストールされる参考資料やスクリプト。

assets/
template.md
references/
standards.md
workflows.md
scripts/
process.py

詳細

プライバシー監査のリスク評価

概要

プライバシー監査のリスク評価とは、監査範囲、頻度、リソース配分を決定するために、プライバシーリスクを体系的に特定、評価し、優先順位を付けるプロセスです。リスクベースのアプローチにより、監査の労力を最もリスクの高い領域に振り向け、GDPR 第 5 条第 2 項の説明責任の原則および ISO 19011:2018 の比例性要件に沿った対応を確保できます。

国際内部監査基準（IIA 基準 2010）では、内部監査活動の優先事項を決定するため、最高監査責任者がリスクベースの計画を策定することが求められています。プライバシーの領域では、コンプライアンス違反が最も大きな損害をもたらす可能性のある領域を特定するために、処理活動、データカテゴリー、移転メカニズム、規制上のリスクを評価することを意味します。

リスクユニバース

プライバシー監査のリスクユニバースには、組織のプライバシープログラムにおける監査可能なすべての対象が含まれます。

リスク領域監査可能な対象リスクの例
データ主体の権利DSAR の処理、同意管理、自動化された意思決定DSAR への回答の遅延、無効な同意、自動化された意思決定に対する人間による審査の欠如
データ処理処理記録、適法な根拠の文書化、目的の制限文書化されていない処理、不適切な適法な根拠、目的の逸脱
データ移転国際移転、SCC、BCR、十分性認定への依拠保護措置のない移転、古い SCC、Schrems II への不適合
データセキュリティ技術的管理策、アクセス管理、暗号化不正アクセス、暗号化されていない個人データ、過剰なアクセス権限
データ侵害管理検知、通知、文書化、是正通知の遅延（>72 時間）、不十分なフォレンジック、不適切な是正
ベンダー管理処理者との契約、再委託先の監督、デューデリジェンス第 28 条の条項の欠如、再委託先の承認なし、不十分な DPA
プライバシーガバナンスDPO の独立性、トレーニング、ポリシー、ROPADPO の利益相反、古いポリシー、不完全な ROPA
特別カテゴリー生体データ、健康データ、子どものデータDPIA の欠如、不十分な保護措置、明示的な同意なし

リスクスコアリングの方法論

固有リスク（管理策適用前）
要因重み尺度（1～5）説明
データ量20%1=<1K 件の記録、5=>1M 件の記録処理される個人データの量
データの機微性25%1=基本的な連絡先情報、5=特別カテゴリー／生体データ関連するデータカテゴリーの機微性
規制上のリスク25%1=単一の法域、5=複数の規制制度が適用される世界規模適用される規制の数と厳格さ
処理の複雑さ15%1=単純な保存、5=AI／自動化された意思決定処理業務の複雑さ
外部との共有15%1=社内のみ、5=複数の第三者への移転外部当事者とのデータ共有の範囲
管理策の有効性
評価スコア定義
有効1管理策が適切に設計され、効果的に運用されており、重大な不備がない
部分的に有効2管理策は存在するが、設計または運用に不備がある
無効3管理策が存在しない、設計が不十分、または意図どおりに運用されていない
残余リスク

残余リスクスコア = 固有リスクスコア x 管理策の有効性スコア

残余スコア評価監査の優先度
1.0 – 2.0低3 年ごとに監査
2.1 – 3.5中2 年ごとに監査
3.6 – 4.5高毎年監査
4.6 – 5.0重大半年ごとに監査。継続的なモニタリングを実施

リスク許容度との整合性

リスクカテゴリリスク許容度根拠
規制遵守非常に低いGDPR、CCPA、または業界固有の規制に対する重大な不遵守は一切許容しません
データ主体への被害非常に低い個人の保護はプライバシープログラムの主な目的です
業務の中断低いプライバシー管理によって業務運営が過度に妨げられてはなりません
評判低いプライバシーインシデントは顧客の信頼とブランド価値を損ないます
財務（制裁金）非常に低いGDPR における制裁金の上限：2,000 万ユーロまたは全世界の売上高の 4％

監査計画への統合

リスク評価は、年間のプライバシー監査計画に直接反映されます。

入力出力
監査可能なエンティティごとの残余リスクスコア優先順位付けされた監査案件の一覧
リスク許容度のしきい値エンティティごとの最低監査頻度
リソースの制約監査リソースの割り当てモデル
規制の動向新たなリスクに応じた調整（例：AI Act、新たな州法）
過去の監査指摘事項未解決の高リスク／重大な指摘事項があるエンティティの監査頻度を引き上げ
経営陣からの要請新たな処理活動やインシデントに対する臨時の監査案件

ヒートマップの解釈

発生可能性 ↓ / 影響度 →影響度：低影響度：中影響度：高影響度：重大
非常に高い中高重大重大
高い低中高重大
可能性あり低中高高
低い低低中高
まれ低低低中

コメント

Markdown 対応