コンプライアンスのための Data Classification：ニュアンスを読み解く

Data classification は、幅広い規制や標準へのコンプライアンスを達成し、維持し、そして証明するために不可欠です。たとえば PCI DSS, HIPAA, SOX および GDPR はいずれも目的や要件が異なりますが、 data classification はそれらすべてへのコンプライアンスに必要です。結局のところ、健康記録、カード保有者情報、財務書類、その他の規制対象データを正確に特定してタグ付けし、そのデータを適切に保護する必要があるためです。 

本ガイドでは、貴社に適用される規制や標準に基づいて、コンプライアンスのための Data classification への取り組み方を効果的に進める方法を紹介します。

なぜ企業は、異なるコンプライアンス規制に従ってデータを分類する必要があるのでしょうか？

データ分類に関するコンプライアンス規制は、業界や地域に固有のさまざまな法律や標準によって定められています。これらの法律や標準は、組織がプライバシー、安全、そして倫理的な利用が確保される形でデータを取り扱うことを目的としています。

これらの規制を遵守することで、組織は機密情報を保護し、data breachをはじめとする事故、法的な責任、そして高額な罰金を回避できます。コンプライアンスは、data privacy とセキュリティの維持に取り組む姿勢を示すことで、顧客や関係者からの信頼を高めることにもつながります。

データのコンプライアンスは企業にどのような影響を与えますか？

データセキュリティに関する要件を遵守し、data security プライバシーを守ることで、企業には次のような幅広いメリットがあります。 

• 金銭的な損害リスクの低減 — コンプライアンス規制を遵守しない場合、高額な罰金、ペナルティ、または法的措置につながる可能性があり、企業の財務や評判に大きな影響を与えます。 
• 評判と信頼の保護 — データに関するコンプライアンス規制を遵守することで、顧客、取引先、その他の関係者との信頼を築くことにつながります。
• セキュリティ侵害のリスク低減 — コンプライアンス規制に従うことで、データ侵害の可能性が低下し、業務運営の妨げや長期にわたるブランド毀損など、コストのかかるあらゆる影響を抑えられます。 
• 運用効率と透明性 — 合規を達成し維持するには、データ取り扱いをより構造化し、組織的に行うアプローチが必要になることが多く、その結果、業務プロセスにおける運用効率、データ管理、透明性を高められます。 
• グローバル市場へのアクセス — EUの GDPR のような国際的なデータ順守基準を遵守することで、企業はより広い市場で事業を展開し、顧客基盤を拡大できる可能性があります。 
• イノベーションと競争優位 — データ順守を優先する企業は、新しい技術や変化する規制に適応するうえで有利な立場にあることが多く、それにより市場での競争優位につながります。 
• 顧客ロイヤルティ — 順守は、顧客データとプライバシー権を保護する取り組みを示すものであり、強固な顧客関係を築き、維持するために不可欠です。 

コンプライアンスのためのデータ分類における主な課題は何ですか？

変化し続けるコンプライアンス要件の複雑さそのものが、多くの組織にとってつまずきの原因になります。実際に、コンプライアンス担当者は、コンプライアンスに関する重要な課題の1つが、規制変更のスピードと量であると報告しています。

もう一つの大きな課題は、スキルを持つリソースの不足です。実際に サイバーセキュリティの専門家の60% は、世界的なサイバーセキュリティ人材の不足により、自社がリスクにさらされていると報告しています。もう一つの重要な課題は「集中」です。95%の組織 が データプライバシー をビジネス上の必須事項として認識しているにもかかわらず、セキュリティ専門家のうち「データ保護とガバナンス」を最優先の職務責任として挙げているのは33%のみです。 

組織はどのようにして良いデータ分類モデルを構築できるのでしょうか？

組織は、遵守（コンプライアンス）を達成するために、自社独自のデータ分類モデルやカテゴリを自由に設計できます。これによりビジネスニーズに合った仕組みを作れる一方で、情報ライフサイクル全体を通じて機微データがリスクレベルに応じて取り扱われることを保証する データ分類ポリシー を確立するのは、場合によっては複雑です。

まずは、初期のデータ分類モデルを定義し、その後、収集するデータの種類や、固有のコンプライアンス上の義務に基づいて、よりきめ細かなレベルを追加していくのが良い出発点です。たとえば Restricted（制限）、Private（非公開）、Public（公開）の3つの基本カテゴリから始め、複数の管轄にまたがる課題に対応する場合や、社内外のデータリポジトリ全体でデータが散在（data sprawl）している場合には、追加のレベルを導入するとよいでしょう。

貴社の データ保護ポリシー には、拡張性（scalability）に関する規定も含めるべきです。組織が成長するにつれて、分類スキームは増え続けるデータ量と多様性に対応できるよう適応する必要があります。これは、構造化データ、半構造化データ、非構造化データといった、複雑で多様なコンテンツを扱う場合に特に重要です。これらのデータセットには複数のデータ種別が含まれていることがあり、きめ細かな分類が必要になる可能性があります。 

最後に、準拠していること（compliant）と準拠していることを証明すること（proving compliance）は別の問題です。したがって、データ分類モデルも監査対応を念頭に置いて設計する必要があります。適切な分類スキームをすでに用意していても、多くの組織は、求められる文書化や証拠のレベルの高さにより、コンプライアンス監査を通過するのが難しいと感じています。コンプライアンス監査に伴う締切が非常に厳しいため、特に日々の業務運用を維持している場合は、証拠やレポートを収集するための追加の時間がほとんど確保できません。

個人を特定できる情報（PII）を保護する規制のためのデータ分類

個人を特定できる情報（PII）とは、特定の個人を識別したり、連絡したり、所在を特定したり、ある人物を別の人物と区別したりするために使用され得るデータです。PII の例としては、次のようなものがあります：

• 氏名
• 生年月日
• 住所
• 社会保障番号
• 州発行の運転免許証番号
• 州発行の身分証明書番号、パスポート番号
• クレジットカード番号
• 口座へのアクセスを許可するコードまたはパスワードと組み合わせた金融口座番号
• 医療または健康保険の情報

これらの詳細を個別に考えると、その一部はそれほど機微ではないように見えるかもしれません。しかし、米国の一般会計検査院（United States General Accounting Office）は、性別、生年月日、郵便番号（ZIP code）の組み合わせによって、米国人の87%の身元を特定できると見積もっています。したがって、これら3つの要素の漏えいが、個人の氏名、自宅住所、SSN、またはその他の個人データも同時に損なう（侵害する）可能性が高い場合、これらの要素は機微情報として扱うべきです。

連邦の法令 PII を保護するもの に含まれます：

• Gramm-Leach-Bliley Act — 金融情報
• Health Insurance Portability and Accountability Act (HIPAA) — 医療情報 
• Family Educational Rights and Privacy Act (FERPA) — 学生の教育記録 
• Children’s Online Privacy Protection Act (COPPA) — 13歳未満の子どもの PII 

PII データ分類を効果的に実現するには、以下を判断する必要があります。

• データに必要な機密性のレベル
• 個人情報の侵害やデータの破損が、関係する個人に及ぼし得る潜在的な影響
• データ可用性の重要性

厳選した関連コンテンツ：

• 初心者のための正規表現：機密データを発見するための始め方

NIST 800-53 のためのデータ分類

米国国立標準技術研究所（National Institute of Standards and Technology、NIST）は、組織がデータセキュリティを改善できるように支援するガイダンスを提供しています。NIST Special Publication（SP）800-53 では、連邦の情報システムおよび組織に対するセキュリティとプライバシーの管理策を詳しく説明しており、機密性・完全性・可用性を確保するために、各機関がシステム、アプリケーション、ならびに統合（インテグレーション）をどのように維持すべきかも含まれています。

NIST 800-53 は、すべての連邦機関およびその請負業者に対して必須です。民間企業の組織にとっても役立ちます。

NIST 800-53 は、データ分類に関して何を求めていますか？

NIST のデータ分類の基準には、3 つの区分（低影響、中程度の影響、高影響）があります。これらの区分は、悪意のある内部者または外部者によるデータの不正な開示によって生じうる、機関の業務、機関の資産、または個人への潜在的な損害に基づいて割り当てられます。

各セキュリティ目的（機密性・完全性・可用性）ごとに影響値が割り当てられ、それを用いて全体のセキュリティ影響レベルを決定します。NIST 800-53 データ分類ポリシー では「high watermark（ハイ・ウォーターマーク）」という考え方を採用しています。これは、最終的に割り当てられるレベルが、機密性・完全性・可用性の入力のうち最も高いものになることを意味します。したがって、3つの領域のいずれかが「高影響」と分類されている場合、全体の NIST データ分類 レベルも高影響になります。

NIST 800-53 では、どのようなデータが保護の対象ですか？

NIST には、他の一部の標準と同様の方法で明確なデータ分類レベルが定義されているわけではありません。 ただし、NIST Special Publication 800-53 Rev. 5 では、次のカテゴリが示されています。

• 機密情報 — NIST は、Confidential、Secret、Top Secret などの機密情報のレベルを具体的には定義していません。これらは一般的に、Executive Order 13526 にて示されているような別個の政府の標準やプロトコルによって規定されています。
• 管理対象の非機密情報（Controlled Unclassified Information (CUI)） — CUI は機密情報ではないものの、それでも保護が必要なデータです。たとえば、特定のデータは、不適切に開示されると国家の安全に対するリスクとなり得るため、正式には分類されていないとしても保護が必要であることから CUI とみなされる場合があります。
• 非機密情報 — これは、特別な保護措置が必要となるほどには機微性がない一般情報です。通常、公にアクセスできるように連絡（オープンアクセスのための連絡）に使用されます。
• 組織は、他のカテゴリを定義することもできます。たとえば NIST は、「Planning and Budgeting（計画と予算）」カテゴリには、予算の策定、資本計画、税制および財政政策に関する文書などの要素が含まれる可能性があると提案しています。これらの要素は一般に、機密性、完全性、可用性への影響度が低いとされています。しかし、組織は、予算案が公表されるのが早すぎるなど、影響度に影響し得る特別な要因を見直すことが推奨されます。

ISO 27001 におけるデータ分類

ISO/IEC 27001 は、情報セキュリティマネジメントシステム（ISMS）の確立、導入、維持、そして継続的改善のための国際規格です。この任意規格は、あらゆる業界の組織にとって有益です。ISO 27001 の監査の際、組織は、どのような資産を保有しているのか、それぞれの価値、データの所有権、ならびにデータを組織内部で使用するシナリオについて、十分に理解していることを示す必要があります。

ISO 27001 では、どのような種類のデータが保護されますか？

ISO/IEC 27001 では、規制対象となる情報の正確なリストは指定されていません。代わりに、各組織がデータ環境のスコープを決定し、スコープ内のすべてのデータを見直す（レビューする）必要があります。このスコープは、組織の内部および外部の脅威、利害関係者の要求事項、ならびに組織の活動間の依存関係を考慮しなければなりません。

ISO 27001 はデータ分類に関して何を求めていますか？

情報の分類 はISO 27001 の準拠において重要です。目的は、情報に対して適切な保護レベルが提供されることを保証するためです。ISO規格では、企業に対して情報資産の棚卸しと分類を実施し、情報の所有者を割り当て、許容されるデータ利用の手順を定義することを求めています。

分類済みデータに対して、どの security controls を適用すべきかを指定する、特定の ISO 27011 データ分類ポリシーはありません。むしろ、A.8.2 項では次の指示が示されています。

• データを分類する — 情報は、法的要件、価値、および不正な開示や改ざんに対する機密性（感度）に従って分類する必要があります。枠組みでは分類レベルの具体例は示されていないため、組織は独自の方式を策定できます。多くの場合、Restricted、Confidential、Public のように3つまたは4つの分類レベルが用いられます。
• データにラベルを付ける — 組織は、自社の分類スキームに従って情報にラベルを付けるための手順を作成する必要があります。このプロセスには、デジタル形式と物理形式の両方のデータへのラベリングが含まれます。ラベリングシステムは明確で、管理しやすいものである必要があります。
• データの取り扱いルールを確立する — 組織は、分類に基づいてアクセス制限や暗号化など、データを保護するためのルールを確立しなければなりません。 

GDPR のためのデータ分類

データインベントリと分類は、EUの 一般データ保護規則（GDPR）への準拠においても重要です。EUのGDPRの本文では「データインベントリ」や「マッピング（mapping）」という用語は使われていませんが、これらのプロセスは、個人データを保護し、 データセキュリティ を管理する に準拠したプログラムを運用するうえで不可欠です。 たとえば、データインベントリは、データのカテゴリ、処理の目的、および関連する技術的ソリューションと組織のセキュリティ対策についての一般的な説明を含め、処理活動の記録を管理するという要件を満たすための最初のステップです。 

組織は、個人データの収集、保管、利用、削除に関わるすべてのプロセスを対象にしたデータ保護影響評価（DPIA）を実施する必要があります。DPIA では、情報の価値または機密性に加え、セキュリティ侵害が発生した場合に個人が被り得るプライバシー権の侵害の可能性や、個人が受けるかもしれない精神的苦痛についても評価することが望まれます。

GDPR のもとで保護される個人データとは何ですか？

GDPR では、個人データを、自然人を直接または間接的に識別できるあらゆる情報（例：）として定義しています。

• 氏名
• 識別番号
• 位置情報
• オンライン識別子
• その人の身体的、生理的、遺伝的、精神的、経済的、文化的、または社会的アイデンティティに固有の1つまたは複数の要因

GDPRはデータ分類に関して何を求めていますか？

GDPRのデータ分類を適切に実施するには、組織はデータについて次の事実を考慮する必要がある場合があります。

• データの種類（財務情報、健康データなど）
• データ保護の根拠
• 関与する個人の区分（顧客、患者など）
• 受領者の区分（特に国際的な第三者ベンダー）

GDPR および ISO 27001 フレームワークのための記録管理

GDPR に準拠するための記録管理要件は、上で説明した ISO 27001 の準拠と非常によく似ています。そのため、ISO 27001 のアプローチに従うことで、企業は GDPR の要件も満たしやすくなります。

PCI DSS のためのデータ分類

Payment Card Industry Data Security Standard（PCI DSS）は、カード会員データを世界規模で保護するために開発されました。組織は、脆弱性を低減し、支払いカード取引を保護するために、技術的および運用上の対策を実装する必要があります。

支払いカード情報とは？

支払いカード情報は、クレジットカード番号（プライマリー・アカウント・ナンバーまたは PAN とも呼ばれます）に、次のデータ要素の 1 つ以上を組み合わせたものとして定義されます。

• カード名義人
• サービスコード
• 有効期限
• CVC2、CVV2 または CID の値
• PIN または PIN ブロック
• クレジットカードの磁気ストライプの内容

PCI DSS はデータ分類に関して何を求めていますか？

PCI のデータ分類では、カード会員データ要素を、その種類、保存の許可（アクセス権）および必要な保護レベルに応じて分類します。組織は、カード会員データのすべての実例を文書化し、定義されたカード会員環境の外側にそのようなデータが存在しないことを保証しなければなりません。

Netwrix 2020 Data Risk and Security Report によると、データを分類している金融機関の 75% はデータの誤用を数分で検出できる一方、分類していない機関は主に数日（43%）または数か月（29%）を要します。これは、PCI DSS のコンプライアンス目的においてデータ分類が重要であることを示しています。

HIPAA のためのデータ分類

HIPAA の Security Rule（セキュリティ・ルール）は、保護された健康情報（PHI）の機密性、完全性、および可用性を確保するための、最低限の管理的、物理的、および技術的な保護策を定めています。電子 PHI（ePHI）とは、電子媒体に保存される、または電子媒体によって送信されるあらゆる PHI を指します。電子記憶媒体には、コンピューターのハードドライブに加え、光ディスクやメモリカードのような取り外し可能な媒体も含まれます。伝送媒体には、インターネットまたはプライベートネットワークが含まれます。

PHI のデータ分類には、患者に関する次の詳細が含まれます：

• 名前
• 住所
• 個人に直接関係するあらゆる日付（例：生年月日、入院日または退院日、死亡日）ならびに、89歳を超える個人の正確な年齢
• 電話番号またはファックス番号
• メールアドレス
• 社会保障番号
• 診療録番号
• 健康プランまたは健康保険の受益者番号
• 車両識別子、シリアル番号、またはナンバープレート番号
• Web URL または IP アドレス
• 指紋、声紋、または正面の写真などの生体識別子
• その他の固有の識別番号、特性、またはコード

HIPAAはデータ分類の観点で何を求めていますか？

HIPAAは、組織に対し、ePHIの完全性を確保し、権限のない方法で改ざんまたは破壊されないよう保護することを求めています。したがって、すべての対象事業体（covered entity）またはビジネスアソシエイトは、ePHIを棚卸しし、その機密性、可用性、完全性に対するリスクを特定しなければなりません。組織は、ePHIがどこに保存され、受信され、保守され、または送信されているかを特定する必要があります。組織は、過去のプロジェクトを見直し、インタビューを実施し、文書を確認することで、このデータを収集できます。

HIPAAのデータ分類ガイドラインでは、データをその機微性（感度）のレベルに応じてグループ化することが求められています。データを分類することで、データ保護のための基本的なセキュリティ対策（ベースラインのセキュリティコントロール）を決定しやすくなります。組織は、次のようなシンプルな3段階のデータ分類から始められます：

• Restricted/confidential data — 権限のない開示、改ざん、または破壊によって重大な損害を引き起こし得るデータです。このデータには、最小特権の原則に従った、最高レベルのセキュリティと制御されたアクセスが必要です。 
• Internal data — 権限のない開示、改ざん、または破壊によって、低度または中程度の損害を引き起こし得るデータです。このデータは公に公開するものではなく、合理的なセキュリティ対策が必要です。 
• 公開データ — 公開データは不正アクセスに対する保護を必ずしも必要としませんが、不正な改ざんや破壊に対しては保護が必要です。 

SOX のためのデータ分類

サーベインズ＝オクスリー法（SOX）はデータ分類を特に義務付けているわけではありませんが、堅牢なデータ分類の実践を導入することは、その目的に沿うための重要なステップです。機密性の高い財務データを分類し保護することで、企業は内部統制を強化し、不正なアクセスを防ぎ、財務情報の正確性と完全性を維持できます。これは SOX コンプライアンス の不可欠な要素です。

SOX はデータ分類に関して何を求めていますか？

適切なデータ分類により、SOX の次の条項への準拠が容易になります：

• 第302条：財務報告に関する企業の責任 — 最高経営責任者（CEO）および最高財務責任者（CFO）に、財務報告書の正確性を証明することを求めています。データ分類は、組織が財務情報の正確性と信頼性を確保するのに役立ちます。 
• 第404条：内部統制の評価 — 企業に対し、財務報告のための適切な内部統制を維持することを求めています。適切なデータ分類は、どのデータにどのレベルの保護が必要かを把握するために不可欠です。 
• 第802条：文書の改ざんに対する刑事罰 — 記録の改ざん、破棄、または隠匿を禁止しています。適切なデータ分類は、重要な記録を特定し、不正な改ざんや削除を防ぐための適切な統制を適用するのに役立ちます。 

California Consumer Protection Act（CCPA）に向けたデータ分類

The California Consumer Protection Act (CCPA)は、企業が収集する個人情報について、消費者がより多くのコントロールを持てるようにすることを目的とした、堅牢なプライバシー法です。CCPAはデータ分類の手法を明確に規定しているわけではありませんが、消費者データの保護と分類を強く重視しています。CCPAにおけるデータ分類は、企業が収集した個人情報を効果的に管理し、保護できるようにするため、コンプライアンスにとって不可欠です。データをその機微性（センシティビティ）に基づいて分類することで、企業はCCPAが求めるとおりに個人情報をより容易に特定し、管理し、保護できるようになります。

CCPAはデータ分類に関して何を求めていますか？

CCPAのもとでは、組織は、消費者の情報の保護とプライバシーを確実にする形で、個人データの分類と取り扱いに関わる対策を実施することが求められます。なお、CCPAはデータ分類の方法論を明示的に定めてはいないものの、企業にはいくつかの行動を取ることが必要です。

• 個人情報を特定し、分類する — 企業は、自社が収集・処理・保存している個人情報の種類を特定し、分類しなければなりません。これには、次のようなものが含まれますが、これに限定されません：
  • 氏名
  • 住所
  • 社会保障番号
  • 生体データ
  • 位置情報
  • オンライン識別子
• セキュリティ対策を実施する — 法律では、組織が個人データを保護するために堅牢なセキュリティ対策を確立することが求められています。暗号化、アクセス制御、その他のセキュリティ手法は、機微なデータを保護するために一般的に使用されます。 
• 消費者の権利を尊重する — CCPA は、消費者に対して個人情報に関する権利を付与します。これには、どのデータが収集されているかを知る権利、データの削除を請求する権利、そして自分のデータの販売に対してオプトアウトする権利が含まれます。データ分類は、これらの権利の対象となるデータを特定し管理するのに役立ち、組織が消費者の要請に適切に対応できるようにします。 
• 透明性と説明責任を確保する — 企業は、データ取扱いに関する実務について透明性を持ち、消費者情報をどのように扱うかについて説明責任を負う必要があります。データ分類は、組織がデータの取扱いプロセスやコンプライアンスへの取り組みを文書化し、示すことを可能にすることで、これらの要件を支援します。 

Cybersecurity Maturity Model Certification のためのデータ分類

The Cybersecurity Maturity Model Certification（CMMC）は、米国国防総省（DoD）が、防衛請負業者および下請け業者のサイバーセキュリティ態勢を強化するために開発した枠組みです。CMMC の主要な要素の1つは、機微情報（sensitive information）の保護と分類を重視していることです。データ分類により、組織は CMMC の枠組みで示されたセキュリティ目標に合わせて、機微データを体系的に分類し保護できます。 

CMMC はデータ分類に関して何を求めていますか？

CMMCはサイバーセキュリティの成熟度を5つのレベルで定義しており、レベルが高いほど、機密情報を保護するためのより厳格な管理を求めます：

• Level 1: Basic Cyber Hygiene — このレベルは、アンチウイルスソフトウェアの維持、基本的なパスワード要件の設定、従業員へのサイバーセキュリティ研修の実施など、基本的なサイバーセキュリティの管理と実践に焦点を当てます。 
• Level 2: Intermediate Cyber Hygiene — レベル 2 では、文書化されたポリシーの確立と、サイバーセキュリティに対するより構造化されたアプローチを確実にするための統制されたプロセスの実装が含まれます。 
• Level 3: Good Cyber Hygiene — レベル 3 は、組織のサイバーセキュリティ実践における大きな前進を表します。包括的で十分に文書化された一連のセキュリティポリシーと実践の導入が含まれます。このレベルは、先に定義した CUI の保護に対応しています。 
• Level 4: Proactive — レベル 4 では、組織はサイバーセキュリティに対して先を見据えた（プロアクティブな）アプローチを示す必要があります。具体的には、高度な持続的脅威（Advanced Persistent Threats（APTs））のように、より複雑で進化し続ける脅威に対処するために、サイバーセキュリティの実践を定期的に見直し、適応させることが含まれます。 
• レベル 5：高度/漸進的 — このレベルの組織は、サイバーセキュリティに対して高度で非常に適応的なアプローチを示しています。これには、洗練されたサイバー脅威を迅速に検知し、被害を軽減するために、サイバーセキュリティのプロセスや実践を継続的に監視・見直し・改善することが含まれます。

データ分類は、各 CMMC レベルの要件を満たすために不可欠です。データにラベルを付与し、その後、そのデータを適切に保護するためにアクセス制御、暗号化、その他のセキュリティ対策を実装します。さらに、データを効果的に分類することは、今日の変化の大きい脅威環境において防衛請負業者のサイバーレジリエンスを強化することにもつながります。

連邦情報セキュリティ管理法（FISMA）におけるデータ分類

連邦情報セキュリティ管理法（FISMA）は、一連のガイドラインとセキュリティ標準を提供しています。 FISMA 準拠 は、米国の連邦政府機関、Medicare のような連邦プログラムを運用する州の機関、および米国政府と契約関係にある民間企業に対して求められます。

FISMA はデータ分類に関して何を求めていますか？

FISMA のデータ分類要件では、各機関が取り扱うさまざまな種類の情報を特定し、分類することが義務付けられています。これには、PII や知的財産（IP）など、異なるデータごとに感度レベルの違いを区別するための詳細な評価が含まれます。

その他の重要な FISMA 要件には、次のものがあります。

• データ取り扱いのポリシーと手順 — 連邦政府機関は、異なるカテゴリのデータを取り扱うための具体的なポリシーと手順を定めることが求められます。これには、アクセス制御、暗号化、 データ損失防止 の仕組み、および情報のカテゴリごとに適したセキュリティ・プロトコルを実装することが含まれる場合があります。たとえば、ポリシーによって PII は転送中および保管中の両方で暗号化することが求められ、また機密文書は、アクセスを制限し、厳格な管理措置を講じる必要があるかもしれません。 
• リスク評価と管理 — FISMA では、包括的なリスク管理のアプローチが義務付けられています。各機関は、さまざまなデータカテゴリについて詳細な リスク評価 を実施し、それぞれのカテゴリに関連するリスクの大きさに見合った統制を導入する必要があります。 
• 監査と報告 — FISMA 規格の遵守には、定期的な監査と報告が含まれます。データ分類により、各機関は、異なるカテゴリのデータを保護するために適切なセキュリティ統制が適用されていること、そしてそれらが定期的な評価や監査を受けていることを示すことで、遵守を効果的に証明できます。 
• インシデント対応計画: 効果的なデータ分類は、インシデント対応を支援します。各機関は、データのさまざまなカテゴリに合わせた正確な対応計画を策定できるため、セキュリティ侵害やインシデントが発生した際に、迅速かつ適切な対応を行えます。

概要

データ分類に関しては、主要なコンプライアンス規制に多くの共通点があります。一般的に、組織は次のプロセスに従う必要があります。

1. データ分類の目的を次のように定義します。
   1. 不正な開示やアクセスに関連するリスクを軽減するため（例：PCI DSS）
   2. 情報の分類を求める業界標準に準拠するため information classification（例：ISO 27001）
   3. データ主体の権利を尊重し、一定の期間内に特定の情報を取得するため（例：GDPR）
2. データ環境のスコープを定義し、その後、スコープ内のすべてのデータをレビューします。
3. データの機密性レベルを定義し、データを分類します。プロセスを過度に複雑にしないように、最小限のレベルから始めましょう。
4. データの各カテゴリのセキュリティを確保するために、データ取り扱いガイドラインを策定します。