データコンプライアンスとは何か

データコンプライアンスとは何か

データコンプライアンスとは、個人情報や機密データの保存、取り扱い、処理に関する法律と業界標準に準拠する行為です。プライバシーを保護するために、現在、個人データおよび機密データに関してさまざまな種類の規制があります。これらの規制に従わない組織は、個人プライバシーを侵害する可能性があると見なされ、その結果、関連する管理機関から罰金またはその他の罰則を受ける可能性があります。

個人は、自身の個人データに関して、これらの規制の枠組みの下でさまざまな権利を有しています。権利およびその権利の表現方法は法域によって異なる可能性があり、万能の基準は存在しません。しかし、個人情報の取り扱いに関する典型的なベストプラクティス（例えば、公正な情報慣行など）に従うことで、組織はコンプライアンスを正しい方向に導くことができます。

データコンプライアンスが重要な理由とは？

個人のプライバシー保護：

容易に察しがつくと思いますが、データプライバシー規制の遵守は、個人データのプライバシー保護につながります。多くのプライバシー法の制定は、消費者が自身のデータを管理、編集、場合によっては削除することを可能にし、自分のデータを誰が見るのか、どのように使用するのかを知らせるよう、データ収集を行う組織に対し要求します。

多くの企業（Cloudflareを含む）は、プライバシー保護が望ましい目標であると考えています。しかし、プライバシーに関する個人の考えがどうであろうと、消費者のプライバシーを尊重する企業は、ユーザーや顧客から信頼される傾向にあります。

罰金などの罰則を回避する

さまざまな地域でビジネスを継続し、罰金などのビジネス上の悪影響を回避したい組織は、データコンプライアンスを高く評価する必要があります。多くの規制のフレームワークにより、違反に対して罰金、制裁、その他の罰則を課す強力な権限が地方裁判所に与えられています。

EU一般データ保護規則（GDPR）の罰金の具体例：

• 第一段階の違反の場合、最高で1,000万ユーロまたは当該企業の全世界における年間売上高の2％のいずれか高い方の制裁金が科せられます
• 第二段階の違反の場合、最高で2,000万ユーロまたは当該企業の全世界における年間売上高の4％のいずれか高い方の制裁金が科せられます
• 制裁金に加えて、企業がGDPRの権利を侵害した場合、個人は損害賠償を求めることができます

データ漏えいの回避

データ保護とは異なるとはいえデータコンプライアンスは、ほとんどのデータプライバシーのフレームワークで要求される管理により、通常、データの安全性を向上させます。これにより、データ漏えいの可能性を低減します。

データコンプライアンスとデータセキュリティは同じか？

コンプライアンスとセキュリティは、ある意味で相互に影響し合っています。たとえば、データコンプライアンスの一環として、権限のない人がデータを閲覧できないようにするための制御を整備することがありますが、これによりセキュリティも強化されます。

しかし、コンプライアンスとセキュリティは別個の取り組みであり、実際この2つは対立することもあります。たとえば、サードパーティマルウェア対策ツールがすべての人事ファイルをスキャンすれば、セキュリティは強化されるでしょう。しかし、サードパーティツールが適用される規制基準に準拠していなければ、企業はコンプライアンスから外れることにもなります。

組織のセキュリティとプライバシーの担当チームは、コンプライアンスとセキュリティという2つの取り組みが矛盾しないように、緊密に連携することが重要です。

従うべき主要なデータコンプライアンス基準とは？

通常、地域ごとに独自のデータ規制があり、さらに多くの規制が立法機関で可決されています。グローバルに事業を展開する企業の主要な共通事項：

• EU一般データ保護規則（GDPR）これは、個人データの収集、処理、保存、伝達のフレームワークを定めた包括的データプライバシー法です。GDPRは、EU域内の人々に商品やサービスを提供するあらゆる組織に適用されます。
• 医療保険の相互運用性と説明責任に関する法律（HIPAA）：これは、医療情報の取り扱い方法を規制する米国連邦法です。現在、米国には包括的なデータプライバシーのフレームワークは存在しませんが、HIPAAのような業界特有の規制があります。
• 決済カード業界データセキュリティStandard（PCI DSS）：このフレームワークは、複数のクレジットカード会社によって設立された民間の業界団体であるPCIセキュリティ基準協議会（PCI SSC）によって維持、実施されています。PCI DSSは、クレジットカードやデビットカードの取引を処理する企業に適用されます。

その他に知っておくべきことは、カリフォルニア州消費者プライバシー法（CCPA）、ePrivacy指令、非承諾ポルノグラフィと営業の規制（CAN-SPAM）、サーベンス・オクスリー法（SOX）などです。

データコンプライアンスに向けた取り組み

データコンプライアンスは常に努力しなければならないものであり、組織が完全にコンプライアンスを確保する完全な保証はありません。しかし、特定のプラクティスを実施することで、データコンプライアンスがさらに可能性が高くなります。

• データインベントリ：組織は、どのデータをどこに持っているか、把握する必要があります。ここでは、包括的なデータガバナンス戦略が役立ちます。
• アクセス制御：データの可用性を、データの漏洩を減らし、攻撃者のラテラルムーブメントを防ぎ、データの安全性を保つために必要な人物とサービスのみに制限します。誤った人物が個人データを閲覧してしまうと、場合によっては組織がコンプライアンスから逸脱する可能性があるため、アクセス制御は非常に重要です。
• 保存時および転送時のデータの暗号化：暗号化はデータをスクランブルし、データを復号化できる能力を持つユーザーまたはサービスのみがデータを閲覧または変更できるようにします。
• 従業員および請負業者の教育：訓練と教育は、偶発的なコンプライアンス違反や違反を防ぐために非常に重要です。
• データ使用状況記録と監査の実施：ログに記録することで、外部当局に対してコンプライアンスを実証し、適切なデータポリシーに従っていることを確認することができます。
• 適用される規制の把握と検討：事業展開場所、顧客の所在地、業種によって、異なるデータ規制の枠組みが適用される場合があります。企業は、適用される規制に関する専門知識を持ち、データガバナンスおよびコンプライアンスを支援できる人材を採用する必要があります。これは実際、いくつかの規制上の要件です。GDPR、特定の規模の組織が「データ保護担当者」を雇用することを義務付けています。

Cloudflareはコンプライアンスのために構築されており、コンプライアンスを維持するために必要な機能とソリューションを組織に提供するよう設計されています。Cloudflareのコネクティビティクラウドは、単一のプラットフォームでコンポーザブルな制御を提供し、コンプライアンスを簡素化します。Cloudflareがデータコンプライアンスをどのように簡素化するかをご覧ください。

よくある質問

データコンプライアンスとは何か

データコンプライアンスとは、デジタル情報の管理と保護に関する法的および規制要件に従うための取り組みです。さまざまな規制や法的枠組みにより、組織はセキュリティを維持し、ユーザーのプライバシーを尊重するために特定のルールに従ってデータを処理することが要求されています。

現在の事業運営においてデータコンプライアンスが重要な理由とは？

コンプライアンスを維持することは、組織は機密情報を不正アクセスや潜在的なデータ漏洩から保護できるほか、顧客からの信頼を高め、規制違反による高額な罰金や法的リスクを避けることにもつながります。

データコンプライアンス規制にはどのようなものがあるか？

世界中でデータを取り扱うために適用される主要な規制枠組みには、いくつかのものがあります。主な例としては、GDPR（EU一般データ保護規則）、CCPA（カリフォルニア州消費者プライバシー法）、HIPAA（医療保険の相互運用性と説明責任に関する法律）などがあります。

地域によって、データコンプライアンス要件はどのように変化するか？

要件は、事業拠点やユーザーの所在地によって大きく異なります。多くの地域では、収集した特定の種類のデータをその国の物理的な国境内に留めることを義務付けるデータ居住法が適用されています。

データコンプライアンスを達成するために、組織は何をすべきか？

特定のデータにどの規制が適用されるかを特定し、データを保護するための技術的な制御（暗号化、アクセス許可の管理）を実装し、定期的に監査を実施してすべての内部プロセスが必要な法的基準を満たしているかを確認します。

データコンプライアンスとデータセキュリティは同じか？

関連性はありますが、目的は異なります。データセキュリティは、情報を脅威から保護するために使用されるツールや実践そのものを指すのに対し、データコンプライアンスは、特定の規制基準を満たすための法的義務を満たすことを意味します。セキュリティ対策があっても必ずしもコンプライアンスを満たすとは限りませんが、コンプライアンスを守るには強固なセキュリティが必要です。