そのプライバシー対策、実は“時代遅れ”かも？　NISTが示す新基準：公開から5年後の改訂

　PFの改訂は、フレームワークの使いやすさを高めるとともに、2024年2月にNISTが公開した組織のサイバーセキュリティ対策に関するフレームワーク「NIST CFS」（NIST Cybersecurity Framework）との整合性を高めることを目的としている。

　改訂に当たってIPDは、NIST CFSのバージョン2.0（以下、CFS 2.0）の構成を採用。人工知能（AI）やプライバシーリスク管理に関する新たな項目を追加した。

　PF 1.1は、CSF 2.0と同様に以下の3つの要素で構成されている。

　NIST CSFとPFを併用することで、プライバシーやセキュリティ施策をより効果的に進めることが可能となる見通しだ。

　PFは、対象となる組織の業種や技術を限定していない。さまざまな組織が、自社のプライバシーポリシーの公開や、プライバシーを念頭に置いたシステム設計、社内外との連携を進めることで、プライバシーリスクを適切に管理できるようにするためのものだ。

　PF 1.1は、Coreの見直しを進めている。Coreは、プライバシーリスクに関する取り組み方や、目指すべき結果について組織で話し合うための土台となるものだ。IPDは、特にCSF 2.0の「統治」（Govern）、「防御」（Protect）との整合性の維持に重点を置いている。

　IPDには、AIとプライバシーリスクの関連性に焦点を当てた新たなセクションが追加された。PF 1.0が、AIチャットbotをはじめとしたAIツールの普及以前に公開されたためだ。PF 1.1には、PF 1.1を活用することでAI関連のリスクにどのように対処できるかも示される計画だ。

　NISTは、PF 1.1を文書ではなく専用のWebサイトで公開することを見込んでいる。これによって、文言を迅速に更新したり、エンドユーザーのニーズに速やかに対処したりしやすくなる。

　NISTは、IPDに対する意見を2025年6月13日（現地時間）まで受け付け、その後最終版の策定を進める。