附属書A解説

本番環境の実データをそのままテストに使用すると、機密情報や個人情報が開発担当者や委託先に不必要に渡ってしまう懸念があります。
可能な限りデータマスキングを施したデータや、架空のテスト用データを用意し、実データを使わざるを得ない場合は、取扱いに特に注意を払う必要があります。
実データの使用がどうしても必要な場合は、利用範囲を最小限にとどめ、使用後は確実に削除する、アクセスできる担当者を限定するといった追加の管理を行います。
契約上、委託先に実データを渡すことが禁止されている場合もあるため、契約内容の確認も必要です。
試験用データの管理についても、通常のデータと同様にアクセス制御や保管場所のルールを適用し、特別扱いにしないことが望まれます。