データプライバシーソリューション：正しい選び方

データプライバシーソリューションは、プライバシー規制を遵守し、セキュリティを維持するために重要です。2019年の最初の9か月間に、データ侵害 が 5,183 件報告され、7.9 billion（79億）件のレコードが露出したと、Data Breach Quickview が伝えています。GDPR や CCPA のような現代的な規制では、企業に対して、消費者の個人情報を露出または喪失から守るための合理的なデータ保護対策を講じることが求められます。

これらのプライバシー保護要件を満たし、非遵守（不遵守）によるリスクを管理するために、企業は、個人データを収集・管理・保存するために使用している情報システム、データベース、データウェアハウス、およびデータ処理プラットフォームを改善するか、再設計しなければなりません。

そのためには、個人データのライフサイクル全体にわたって個人データを管理・制御できるようにする現代的な技術を導入し、さらにデータの終了（エンド・オブ・ライフ）のプロセスも含める必要があります。とはいえ、プライバシー規制 の違いは、コンプライアンスの達成における課題となります。

GDPR、CCPA およびその他のプライバシー規制

GDPR は欧州連合（EU）居住者の個人情報を規制する一方、CCPA はカリフォルニア州全域の居住者に適用されます。データのプライバシー を確保するという点では非常によく似ていますが、定義、罰則、その他の論点 では異なります。ここでは、知っておくべき重要なポイントを紹介します：

• GDPR では、顧客データを処理するための法的根拠を示すことが求められますが、CCPA ではそれがありません。
• GDPR には、健康データをどのように収集・保存できるかに関する具体的なルールがあります。また、健康データの種類を区別しています。CCPA はそれらをすべて「personal information（個人情報）」にまとめています。
• GDPR は、規制対象のデータを扱うすべての企業に適用されます。一方、CCPA は営利目的の企業にのみ適用されます。

多くの企業が遵守しなければならない他のプライバシー関連法にも、考慮すべき別のニュアンスがあります。さらに、個人データを扱う企業は、自社のデータ運用が法律で求められる水準を超えるものであることを確実にする必要がある場合が多いです。

適切なデータプライバシーソリューションを選ぶことは、投資に対して良いリターンを提供しつつ、コンプライアンス要件を満たすものを見つけることを意味します。

GDPR と CCPA が最初に施行されて以来、世界中で新しい規制が登場しています。カリフォルニア州は、California Privacy Rights Act（CPRA）によって枠組みを強化し、消費者の権利を拡大するとともに執行機関を設置しました。これと同様に、ブラジルの LGPD、インドの 2023 年 Digital Personal Data Protection (DPDP) Act、および他の地域法も、GDPR のモデルに沿いつつ現地の要件を追加しています。つまり、プライバシープログラムはもはや 1 つまたは 2 つの規制にだけ注目することはできず、複数の司法管轄に適応できる柔軟なソリューションが必要になります。

データ・プライバシー保護のために注目すべき主要機能

多くのデータ・プライバシー規制への準拠を達成し、維持するのに役立つ主要な技術的能力はいくつかあります。なお、これらの機能の一部は、すでに環境内で使用しているツールによって提供されている可能性があります。

データの発見と分類

データの発見とは、テクノロジープラットフォーム、システム、アーカイブ全体に存在する、すべての構造化データと非構造化データを特定することです。 データ分類 は、発見したデータを種類と処理目的に基づいて分類します。これらの機能を組み合わせることで、どのような機密データを保有しているのかを正確に把握し、データのセキュリティ の取り組みに優先順位を付けられるようになります。たとえば、「制限あり」と分類された文書だけを暗号化するように決めることができます。

シンプルな分類スキームから始めるのが最善です。米国政府はデータを3つのカテゴリに分けています：top-secret、secret、public。同様に、民間企業ではデータを restricted、private、public として分類することがよくあります。分類の中にあるすべてのデータに同じセキュリティ対策を適用できる場合もありますが、組織によってはさまざまなレベルのリスクに対応するために、非常にきめ細かい data classification システムを開発することもあります。

GDPR、CCPA、HIPAA など、対象となる各コンプライアンス規制ごとに、事前に構築された分類タクソノミ（taxonomy）を備えたソリューションを探すとよいでしょう。このデータを迅速かつ正確に分類できれば、各規制の要件を満たすきめ細かな data security controls を適用できます。

データ分類ソリューションを比較する際は、以下の機能に注目してください。

• 複合語の処理 — 純粋な統計分析に基づいて複数語の概念を特定し、重み付けすることで、組織固有の情報パターンをより的確に理解でき、信頼できる結果を得られます。
• 再利用可能なインデックス — 新しいファイルが登場したり分類ルールが変更されたりするたびに、長時間のデータ再収集を行う必要をなくすことで、再利用可能なインデックスにより、コンテンツに関する最新情報を素早く取得できます。
• きめ細かなタクソノミー管理 — 分類ルールを簡単に作成し、カスタマイズできることを確認してください。たとえば、各 RegEx、キーワード、重要なフレーズに対して特定の重みを割り当てられる必要があります。そうすることで、これらの手がかりの適切な組み合わせだけがドキュメントを分類のしきい値を超えるようにできます。
• 透明性のある結果 — ファイルがどのような理由でそのように分類されたのかを正確に把握できる必要があります。そうすれば、ルールを分析して精度を高められます。
• 変更のシミュレーション — 実運用環境に実際の影響を与えることなく、分類ルールの変更をシミュレートし、すでに分類済みのファイルにどのような影響が出るのかを確認できることも重要です。
• あらゆるデータソースをサポート — ファイルサーバー、データベース、クラウドのいずれに保存されたデータであっても、それらを見つけて分類できるソリューションを探してください。

リスク評価と緩和

多くのデータのプライバシー保護に関する規制でも、データセキュリティに対するリスクを特定し、軽減することが求められています。そのため、定期的に IT risk assessmentを実施できる必要があります。

IT risk assessment では、データやアプリケーションに対する過剰なアクセス権を特定するとともに、基盤となるシステムの設定を確認して、セキュリティ上の不備（ギャップ）がないかをチェックします。リスクの緩和は、設定を既知の良好なベースラインにリセットしたり、不必要な権限を取り消したりすることから、セキュリティポリシーを調整することまで、さまざまな形をとりえます。

ユーザー アクティビティの監視

データが通常どのように、いつ、どこでアクセスされて使用されているのかを可視化できる必要があり、脅威を示唆し得る異常を素早く見つけられることが重要です。理想的には、ツールが重要なアクティビティを事前に通知してくれるため、侵害やコンプライアンス違反を避けるためにすぐに対応できます。

脆弱性管理

定期的なリスク評価によってセキュリティ防御上の脆弱性を探すだけでなく、定期的なペネトレーションテストのような手法を用いて、より複雑なギャップについても把握する必要があります。ペネトレーションテストを実施するには、別のソリューションが必要になる可能性が高いですし、経験豊富な第三者サービスが必要になる場合もあります。しかし、堅牢なプライバシーソリューションであれば、現在の設定状況を可視化して提供するはずです。

変更およびアクセスの監査

あなたの IT エコシステムは常に忙しい状態です。IT チームとビジネス ユーザーの両方が変更を行い、データにアクセスして変更するなど、さまざまな操作が日々行われています。望まない変更や不審なアクセスを迅速に見つけられることが不可欠です。たとえば、強力なセキュリティ グループへの変更は、正当でない特権の昇格を示している可能性があります。Group Policy への不適切な変更は、簡単にデータ侵害につながり得ます。また、大量のファイル変更は、ランサムウェアが実行されていることを示すサインになり得ます。

変更およびアクセスの監査 により、最小特権の徹底、適切な設定の維持、進行中の脅威の検知などが可能になります。この監査データを保持しておくことは、監査担当者に対して必要なプロセスが整備されており、インシデントを迅速に調査できることを証明する助けにもなります。

暗号化

ハッカーやネットワークスニファーは、一般的にパスワード、クレジットカード番号、その他の機密情報を盗みます。実際、クレジットカード情報の漏えいは、消費者向けに公に報告される問題の中でも特に多いものの一つです。暗号化によって盗まれたデータはハッカーにとって無意味になり、コンプライアンス違反によるペナルティを回避するのに役立ちます。

暗号化やその他の難読化（オブフスケーション）手法を提供するソリューションを探してください。例：

• トークン化（Tokenization） — 機密データを、セキュリティを損なうことなく本質的な情報を保持する一意の識別記号に置き換えること
• 仮名化（Pseudonymization） — 記録中の個人を特定できる情報フィールドを、人工的な識別子（仮名）に置き換えること
• 動的マスキング（Dynamic masking） — データストリームを変更して、データ要求者が機密情報にアクセスできないようにしながら、元のデータには物理的な変更を加えないこと

プライバシー法をより積極的に施行する規制当局の動きと、消費者の権利に対する認知の高まりにより、データ主体のアクセス要求（DSARs）の需要は引き続き加速しています。さらに、生成AIツールによって個人データがより見つけやすくなったことで、組織が対応しなければならないアクセスおよび削除要求の数が増加しています。自動化がない場合、これらの要求に対応することは最もリソースを要するコンプライアンス業務の1つであり、スケーラブルな DSAR ソリューションが最優先事項となります。

DSAR 対応（履行）

プライバシー規制では、データ主体のアクセス要求（DSARs）に対して、迅速かつ効果的に対応することが求められます。これらの厳しい期限にもかかわらず、データ転送、データ破棄などに関してデータ主体の権利を守らなければなりません。個人の権利への関心が高まるにつれて、DSARの件数は急速に増加しています。費用はすでに最大74%まで増えており、これは Netwrix 2020 Data Risk and Security Report によるものです。

各 DSAR を満たすためにデータリポジトリを手作業でクロールするのは、遅すぎて手間もかかり、スケーラブルなアプローチとは言えません。自動化は、厳格なコンプライアンスの期限を守りながら DSAR 検索のコストを削減するための鍵です。DSAR 処理を非 IT チームに安全に委任できるソリューションを探し、人手不足の IT 部門からこの増え続ける負担を取り除きましょう。

さらなるデータ保護の手順

機密データを保護するための他の対策として、ファイアウォールやウイルス対策、マルウェア対策、スパイウェア対策ソフトウェアがあります。サーバールームに入室できる人を制限するなど、物理的なアクセス制御も重要です。

また、従業員に対してデータのプライバシーとセキュリティについて教育することも忘れないでください。従業員は、情報の作成、アクセス、利用の現場で最前線にいます。データのプライバシーをミッションステートメントの一部にし、顧客対応チームからビジネスユーザー、そしてシニアマネジメントまで、全員を定期的に教育して、 data privacy and data security の両方を確保する方法を理解させましょう。

Netwrix ができること

Netwrix は、GDPR、CPRA、LGPD、HIPAA など変化し続ける規制に対して、プライバシー リスクを低減し、コンプライアンスを証明できるよう支援します。Netwrix data security platform により、オンプレミス、クラウド、ハイブリッド環境全体で継続的なデータの発見と分類が可能になります。これにより、機密情報がどこに存在し、誰がアクセスできるのかを常に把握できます。

Data Security Posture Management (DSPM) により、Netwrix は過剰な権限、誤った設定、およびコンプライアンス上のギャップやセキュリティ上のリスクにつながり得る過度に露出したデータを可視化します。内蔵の監査・レポート機能により、規制当局のレビュー時にコンプライアンスを示すのが簡単になります。一方で、自動アラートが侵害に発展する前に不審なアクティビティを強調します。

最もリソースを要するコンプライアンス負担の一つを軽減するために、Netwrix は Data Subject Access Request (DSAR) への対応についても、検索と委任(デリゲーション)の機能により IT の作業負荷を削減しながら効率化します。さらに、アイデンティティに焦点を当てたセキュリティ制御、暗号化、モニタリングと組み合わせることで、Netwrix はプライバシーとコンプライアンスに対する実践的なアプローチを提供します——セキュリティ態勢を強化しつつ、投資が測定可能なビジネス価値につながることを確実にします。