プロンプトとコンテキスト
取引記録が法的保持の対象であり、個人データがローリングバックアップに残っている場合、消去リクエストを1回のパスで完了することはできません。したがって、法的保持、本番システム、およびバックアップには、それぞれ個別のステータス、オーナー、有効期限ルール、および証跡が必要です。
面接官が評価するポイント
- 法的判断をパイプラインにハードコードするのではなく、権限を持つプロセスが有効性と免責事項を判断するようにしているか。
- 明記された目的のために必要なフィールドのみを、オーナー、根拠、有効期限とともに保持しているか。
- バックアップデータを使用不可能な状態（beyond use）に保ち、リストア後に消去を再適用しているか。
- 本番環境での消去と残りのバックアップライフサイクルを分離しているか。
回答前の確認事項
本人確認、サブジェクトキー、管轄区域、保持対象のデータセット、および有効期限を確認します。バックアップがレコード単位の削除をサポートしているか、その上書きスケジュール、リストアプロセス、およびサードパーティのコピーの有無を確定します。プライバシーまたは法務のオーナーが構造化された決定を提供し、エンジニアリングがそれを実行します。
30秒の回答フレームワーク
バージョン管理された適格性の判断を作成します。適格なデータは即座に冪等なワークフローに入り、保持対象データは最小限のフィールドと有効期限の見直しを伴って制限されたドメインに移動します。本番システムの消去後、保護された抑制マニフェスト（suppression manifest）がバックアップをカバーします。バックアップは通常の処理をサポートできず、すべてのリストアではアクセスの前にマニフェストが適用されます。証跡には、消去された範囲、保持された範囲と根拠、最新のバックアップの有効期限、およびリストア訓練の結果が個別に記録されます。
ステップごとの詳細解説
eligible、partial_hold、live_erased、backup_pending、complete などの明示的なステータスを使用します。コピーされた個人コンテンツではなく、カテゴリと期限を保存します。リクエストIDと不可逆な内部サブジェクト参照によってアクションにキーを設定します。
適格な本番コピーを削除する前に、再取り込みをブロックします。保持対象のレコードを最小権限のストレージに移動し、保持期間が終了したときに自動的にキューに入れます。個人に合理的に再紐付けできないことが証明された後にのみ、集計データを除外します。
ICOのガイダンスでは、影響を受けるデータが使用不可能な状態であることを要求しつつ、確立されたスケジュールでのバックアップの上書きを許可しています。リストアは隔離環境で開始し、暗号化された抑制マニフェストを適用し、一致件数がゼロであることを確認した後にのみ、ビジネストラフィックに開放します。証跡には、削除されたコンテンツではなく、システムカテゴリ、時間、結果、およびダイジェストを記録します。
優れた回答例
権限を持つオーナーが構造化された保持範囲と有効期限を提供します。パイプラインはそれ以外のすべてを消去し、最小限の保持レコードを隔離します。本番システムが完了すると、リクエストは完了ではなく backup_pending になります。
バックアップは35日間で段階的に破棄され、通常の処理を提供することはできません。すべてのリストアは、まず抑制マニフェストを再生します。証跡パッケージには、ドメインごとの結果、保持の根拠と有効期限ジョブ、およびリストア訓練が含まれます。すべての境界がクローズした後にのみ完了となります。
よくある間違い
- データエンジニアに法的な免責事項を判断させること。
- 1つのレコードが保持されているからといって、プロファイル全体を保持すること。
- 本番環境での削除直後に完了を主張すること。
- 抑制マニフェストを再生せずにバックアップをリストアすること。
- 監査証跡に個人データをコピーすること。
フォローアップの質問
バックアップが特定の1レコードを削除できない場合はどうしますか？
確立されたスケジュールで有効期限切れにし、データを使用不可能な状態に保ち、すべてのリストアにマニフェストを適用し、最終的な削除日を開示します。
期限切れの保持が放置されるのを防ぐにはどうすればよいですか？
有効期限、オーナー、および自動ジョブを必須にします。期限切れになると同じ冪等なワークフローに再投入され、失敗は照合プロセスに現れます。
リストア処理が機能することをどのように証明しますか？
代表的なバックアップを隔離環境でリストアし、マニフェストを適用し、内部サブジェクト参照を使用して一致件数ゼロのチェックを実行します。カウントとダイジェストのみを保持します。
サードパーティのプロセッサーはどのように含まれますか？
各プロセッサーにリクエストIDベースの指示を送信し、確認を収集します。確認応答が不足している場合、リクエスト全体は不完全なままとなります。