弊社が提供するプリセットは以下の内容です。

• 管理策：14.3.1 試験データの保護
• 管理策詳細：試験データは、注意深く選定し、保護し、管理しなければならない。
• リスク：システム開発における一般的な原則が実施できていない
• リスク対応：システムのテストで用いるデータに、本番環境のデータを用いてはならない。やむを得ず利用する場合は、機密情報をマスキングした上で利用する。

リスクを「一般的な原則」と包括的に記載しているのと、管理策も「試験データ」と定義していますが、ここで危惧するのは「本番データの棄損」です。発生しうるケースは以下です。

• 検証として、本番に近しいデータを使った方が丁寧なため、本番データを使う
• 検証中、当然本番データ（のコピー）に対して何かしらの処理が入る
• 検証環境はセキュリティ対策を本番環境より簡易に設定されており、外部からの侵入により漏洩する
• また、検証環境をそのまま本番に昇格させ、検証で使った本番データ（既に検証で加工されている）をそのままアップしてしまう
• さらに、当時利用した本番データのバックアップを保持しておらず、結果誤ったデータのみが残ってしまい、リカバリができなくなってしまう

そのため、守るべきデータの種類としては利用者に影響するもの全てとなり、以下のような例があります。

• 個人情報、ノウハウなどの機密情報
• ユーザーのログイン情報（ユーザー一覧情報）
• ユーザーがシステムで設定した情報
• ユーザーがシステムで処理したトランザクション情報

これらが毀損しないように、試験、検証をおこなう際のリスク対応を設定しましょう（本番データの複製や、利用後の消去のタイミングで記録に残すなども対策の一つです）