PII コントローラーは、個人識別情報の処理目的と手段を決定するプライバシーの利害関係者です。つまり、コントローラーは、PII が処理される理由、必要な PII の種類、処理方法、保持期間、受領者、および必要な制御を決定します。オプション A は、PII の対象となる自然人である PII プリンシパルについて説明します。オプション C は、コントローラーの指示に従って PII を処理する PII プロセッサーについて説明します。ISO/IEC 27002 は、プライバシー義務が適用される場合の情報セキュリティ管理ガイダンスの一部として、プライバシーと PII の保護を含めています。コントローラーは、合法で安全かつ適切な処理について意思決定責任と説明責任を負っているため、この区別は重要です。プロセッサーは情報を保護する必要がありますが、処理目的を独自に決定することはできません。関連する制御には、プライバシーと PII の保護、アクセス制御、サプライヤーとの関係、情報の削除、データのマスキング、データ漏洩の防止、およびクラウド サービス制御が含まれます。したがって、検証済みの回答はオプションBです。参照/章: ISO/IEC 27002:2022、コントロール5.34 プライバシーと個人情報の保護、コントロール5.19 サプライヤー関係における情報セキュリティ、コントロール8.11 データマスキング。