3.3.3 リスクなどの認識、分析及び対策

会社（組織）は、特定した個人情報を利用の目的以外に使わないようにするために、対策を立てる必要があります。

立てる対策については、ルールを決め、運用し、状況などの変化に応じて、改訂します。

特定した個人情報のライフサイクルの各過程でのリスクを理解し、評価を行い、対策を立てます。

これらのことを、ルールを決め、運用し、状況などの変化に応じて、改訂します。

個人情報のライフサイクルとは、取得、授受（移動、輸送、送信）、利用・加工、保管、廃棄の各場面になります。

まず、各ライフサイクルにおいて個人情報のリスク（損失の危険性）を洗い出しを行います。

顕在化したリスクに対して、評価をします。

評価のレベルにより、相応な対策を立てます。

対策を実行します。

実行した対策の結果、残るリスクが残存リスクになります。

リスクは、全く無くなる事はありませんので、どうしても残存リスクが生じます。