GDPR と ISO 27001 の対応関係：ISO 27001 だけで GDPR コンプライアンスは十分ですか？

GDPR と ISO 27001 は、共通点が多い2つの重要なコンプライアンス規格です。どちらも データ・セキュリティ を強化し、データ侵害（データ漏えい） のリスクを軽減することを目指しており、さらに両方とも、機密性・完全性・可用性という観点で、機微なデータの保護を確実にするよう組織に求めています。 ISO 27001 は最も詳細なベストプラクティス規格の1つであり、実際に GDPR 第 24 条では、ISO 27001 のような行動規範や承認された認証への準拠が、コンプライアンスを示す要素として用いられることが規定されています。「すでに ISO 27001 の認証を取得していれば、GDPR に完全に準拠していることになりますか？」という質問をよく耳にするのも不思議ではありません。

しかし、GPDR は適用範囲がはるかに広く、データセキュリティとプライバシーに関するより根本的な理解が求められます。この記事では、ISO 27001 と GDPR に関するいくつかのよくある質問に答えます。これにより、これらの標準の類似点と相違点をよりよく理解し、ISO 27001 フレームワークをどう活用して GDPR compliance の監査を通過するかを判断できるようにします:

• GDPRとは？
• ISO 27001 とは？
• ISO 27001 と GDPR の共通点は何ですか？
• ISO 27001への準拠は、GDPRへの準拠を保証しますか？

GDPRとは何ですか？

General Data Protection Regulation (GDPR) は、データ保護を強化することを目的としたコンプライアンス基準です。これは、EU 圏内外を問わず、EU 居住者の個人データを保存または処理するすべての組織に適用されます。この基準は 2018 年 5 月 25 日に施行され、企業がデータ保護を扱う方法はすでに変化し始めています。GDPR は、個人の 尊重 つまり 個人データに関する権利を拡大し、（例：設計によるデータ保護およびデフォルトによるデータ保護）といった新しいアプローチを義務付け、違反には大きな罰則が科されます。

GDPR の最も重要な要件には、次のようなものがあります。

1. 保護が必要なデータの範囲がより広い

GDPRは、氏名、ID、Social Security numbers のような個人情報だけでなく、医療データ、生体データ、政治的意見など、幅広いデータを保護します（第5〜11条）。

2. データの利用には明示的な同意が必要

GDPRの第6条では、組織が個人のデータを収集・利用する際に、明示的な同意を取得することが求められています。この要件を満たすために、組織は同意が与えられたことを示す文書化された証拠を保管し、すべての同意要求が明確で簡潔であることを立証する必要があります。

3. データ主体の拡張された権利

第3章では、個人が自分のデータをより適切に管理できるようにするための、長いリストのルールが示されています。EU居住者には 情報を取得する権利 があり（第15条）、その個人データが処理されているかどうかを確認でき、サービスプロバイダー間でデータを簡単に移転でき（第20条）、さらに自分のデータの処理に異議を申し立てることができます（第21条）。GDPRで最も重要な要件の1つが、忘れられる権利” （第17条）で、これにより個人は企業に対して、自分のデータをあらゆるシステムから消去するよう強制できます。GDPRは、消費者の手に権力を与え、組織の利益よりも消費者の利益を優先させるという点で、おそらく唯一のコンプライアンス基準だと言えます。そして、GDPRへの準備を進めている企業はすでにその違いを見ています：

Kyle Reyes, インフラストラクチャ システム管理者, Midland Information Resources

4. 不遵守に対する巨額の罰金

罰金 は、コンプライアンス違反の場合、企業の年間の全世界売上高の2〜4%または1,000万〜2,000万ユーロのいずれか高い方です。最も重大な違反には、個人データの偶発的な破壊、紛失、変更、または伝送が含まれます。さらに、データ処理に対する明示的同意を示せないことも対象となります（第83〜84条）。

5. 厳格なデータ侵害の通知ルール

第33条によれば、データ管理者は データ侵害を 発見から72時間以内に監督当局へ報告しなければなりません。会社がこれを行わなかった場合、遅延について有効な理由を提示する必要があります。これは、米国のいかなるコンプライアンス基準（HIPAA や SOX など）で求められる時間よりも大幅に短いものです。

ISO 27001とは？

ISO 27001（正式には ISO/IEC 27001:2013 として知られています）は、情報セキュリティマネジメントシステム（ISMS）を導入、維持、改善するための要求事項を定めた国際的な情報セキュリティ規格です。ISMS とは、企業の IT リスク管理 プロセスに関わる、法的・技術的・物理的な統制を含む、方針と手順の枠組みです。ISMS の導入に影響する要素には、組織の目的、安全要件、規模、構造などがあります。

ISO 27001 のベストプラクティスに従うことで、組織はセキュリティリスクに対処し、機密データを保護し、自社のセキュリティプログラムの範囲と制限を特定できるようになります。この規格は、企業、政府機関、教育・研究機関、非営利団体など幅広い組織に適用されます。

ISO 27001 の最も重要な要求事項には次が含まれます:

1. アセット管理

組織は、組織の資産を適切に保護することを達成し、維持する必要があります。つまり、自社の資産を特定し、情報の許容される使用に関するルールを文書化しなければなりません（Controls A.8）。さらに、すべての情報は、価値、法的要求事項、機密性、および組織にとっての重要度の観点で分類されなければなりません。

2. 運用セキュリティ

この一連の多数の管理策は、開発環境・テスト環境・運用環境の分離、変更管理、および運用手順の文書化（A.12）など、基本的な運用手順と責任を示しています。

3. アクセス制御

この一連の管理策（A.9）は、組織内におけるデータの使用を制御し、オペレーティングシステム、ネットワーク接続されたサービス、情報処理施設などへの不正なアクセスを防止するための指針を提供します。これには、ユーザーアクセス管理、特権アクセス権の管理、ユーザーの責任、ならびにシステムおよびアプリケーションへのアクセス制御に関するルールが含まれます。

4. 情報セキュリティインシデント管理

A.16 の管理策グループでは、IT セキュリティイベントや弱点の報告、IT セキュリティインシデントの管理、およびこれらのプロセスの改善に関するルールを示しています。組織は、セキュリティインシデントが、適時かつ効果的な対応を可能にする形で伝達されるようにしなければなりません。

5. 人的資源のセキュリティ

A.7 のコントロールファミリーでは、組織に対して、従業員および請負業者が情報セキュリティ上の責任を認識し、それを果たすようにすることを求めています。組織は、職員に対して意識向上（awareness）トレーニングを提供し、情報セキュリティ違反を犯した従業員に対して、正式な懲戒措置を取る必要があります。

6. 事業継続

この一連のコントロール（A.17）は、事業継続マネジメントにおける情報セキュリティの観点を示しています。組織は、不測の事態などの不利な状況において情報セキュリティマネジメントの継続性を維持するために必要な要件を定め、必要な継続性レベルを確保するためにセキュリティコントロールを文書化して維持し、これらのコントロールを定期的に検証する必要があります。

ISO 27001をGDPRにマッピングする：共通点は何ですか？

ISO 27001 と GDPR には多くの共通点があります。ほとんどは情報セキュリティに関連しています。ISO 27001 では、GDPR の第 5 条、第 24 条、第 25 条、第 28 条、第 30 条、第 32 条で示されているのと同様のデータ保護ルールが定められています。以下は、両方の標準で一致するポイントをいくつか挙げたものです：

データの機密性、可用性、完全性

GDPR 第 5 条では、「不正または違法な処理、偶発的な喪失、破壊または毀損」に対する保護など、データ処理に関する一般原則が定められています。より詳しいガイドラインは第 32 条に記載されており、組織は、暗号化、処理システムおよびサービスの復元力（レジリエンス）、個人データの利用可能性を適時に復旧できる能力など、データのセキュリティを確保するための適切な技術的および組織的措置を実施・運用・維持することが求められるとしています。

同様に、ISO 27001 には複数の統制（コントロール）があり、組織がデータの機密性、可用性、完全性を確実にできるよう支援することを目的としています。第 4 条から、ISO 27001 は、組織が自社のセキュリティプログラムに影響を与え得る内部・外部の課題を特定することを求めます。第 6 条では、IT セキュリティ目的を定め、それらの目標の達成に役立つセキュリティプログラムを作成することが求められます。第 8 条では、セキュリティプログラムを継続的に維持するための基準が定められており、規制遵守を示すために組織がセキュリティプログラムを文書化することが必要です。

リスク評価

ISO 27001 と GDPR の両方で、データセキュリティにはリスクベースのアプローチが求められます。GDPR 第 35 条では、企業に対し、データ保護影響評価を実施して個人のデータに対するリスクを評価し、特定することが要求されています。これは GDPR risk assessment 極めて機微なデータに対する体系的な監視などの高リスク処理に着手する前に必須です。

ISO 27001 では、組織に対して、自社の資産に影響を及ぼし得る脅威や脆弱性を特定するために徹底的なリスク評価を実施すること（6.1.2 条）、およびそのリスク評価の結果に基づいて適切な情報セキュリティ対策を選択すること（6.1.3 条）も推奨しています。

ベンダー管理

ISO 27001 の第 8 条では、組織に対して、どの処理アクションが外部委託されているかを特定し、そうしたアクションを管理下に保てることを確実にするよう求めています。A.15 条では、サプライヤー（供給者）との関係に関する具体的なガイダンスを示し、組織に対してサプライヤーのサービス提供を監視し、レビューすることを求めています。

同様の論点は GDPR 第 28 条でも扱われており、データ管理者に対して、処理者から契約条件と保証を確保し、「データ処理契約」を作成することが求められています。

違反の通知

GDPR の第 33〜34 条によると、企業は個人データ侵害を発見した後 72 時間以内に、当局へ通知しなければなりません。データ主体にも、不当な遅延なく通知する必要がありますが、「データ主体の権利および自由に対して高いリスク」をもたらす場合に限られます。

情報セキュリティインシデントの管理のための統制を扱う ISO 27001 の A.16 条項では、データ侵害通知の正確な期限は示されていませんが、組織はセキュリティインシデントを速やかに報告し、「タイムリーに是正措置を講じられる」形でこれらの出来事を伝達しなければならない、としています。

設計時および初期設定によるデータ保護

GDPR 第 25 条では、企業はすべてのプロジェクトの設計段階において、技術的および組織的な措置を講じる必要があるとされています。これにより、最初からデータのプライバシーを確保できるようにする（「設計時によるデータ保護」）。さらに、組織は既定設定によってデータのプライバシーを保護し、処理の各具体的目的のために必要な情報のみが使用されるようにする必要があります（「既定設定によるデータ保護」）。

ISO 27001 では、同様の要件が第 4 条および第 6 条に示されています。第 4 条では、組織が収集および処理するデータの範囲と状況（コンテキスト）を理解することが求められます。一方、第 6 条では、セキュリティ管理プログラムの有効性を確保するために、定期的にセキュリティリスク評価を実施することが推奨されています。

記録の保管

GDPR 第 30 条では、組織に対して、データのカテゴリ、処理の目的、および関連する技術的・組織的なセキュリティ対策の一般的な説明を含む、処理活動の記録を保持することが求められています。

同様に、ISO 27001 では、組織はセキュリティプロセスだけでなく、セキュリティリスク評価とリスク対応（第 8 条）の結果も文書化する必要があるとされています。管理策 A.8 によれば、情報資産は棚卸しして分類し、資産の所有者を割り当て、許容されるデータ利用の手順を定義しなければなりません。

ISO 27001 に準拠していれば、GDPR への準拠が保証されますか？

ご覧のとおり、ISO 27001 の認証は GDPR 準拠 の達成プロセスを簡素化できます。とはいえ、これらの標準にはいくつかの違いがあります。GDPR は、データのプライバシーを確保するために組織がどのように対応する必要があるかという戦略的なビジョンを示すグローバルな標準です。ISO 27001 は、情報セキュリティに関して焦点を絞ったベストプラクティスの集合であり、情報を保護し、サイバー脅威を低減する方法について実践的な助言を提供します。GDPR とは異なり、GDPR 第 3 章で概説されているデータ・プライバシーに関連する次の課題を直接扱うものではありません（データ主体の権利）：

• 同意 — データ管理者は、データ主体が自己の個人データの処理に同意したことを（第 7 条および第 8 条）証明しなければなりません。 同意の要求は、データ処理の目的を添えた、容易に入手できる形式で提示される必要があります。データ主体には、いつでも同意を撤回する権利もあります。
• データポータビリティ — 個人には、異なるサービスにまたがって自らの目的のために個人データを取得し、再利用する権利、ならびにデータの利用可能性を損なうことなくそのデータを別の管理者へ送信する権利があります（第 20 条）。
• 忘れられる権利 — 個人には、自己の個人データを消去すること、またはそれ以上の拡散を遅滞なく停止することを求める権利があります（第 17 条）。
• 処理の制限を求める権利 — 個人は、データが違法に処理されている場合、または個人がデータの正確性に異議を申し立てている場合に限り、組織が自己の個人データをどのように利用するかを制限する権利を有します（第 18 条）。
• 異議を述べる権利 — データ主体には、ダイレクトマーケティング、法的事務の遂行、または研究目的および統計のためのデータ処理に対して異議を述べる権利があります（第21条）。
• 個人データの国際移転 — 組織は、国際的なデータ移転が欧州委員会によって承認された規則に従って実施されるようにしなければなりません（第46条）。

一言で言うと

ご覧のとおり、GDPR はデータのプライバシーと個人情報の保護に重点を置いています。データ収集に対する明確な同意を得るために組織がより多くの努力を行い、すべてのデータが適法に処理されることを徹底することを求めています。とはいえ、適切なレベルのデータセキュリティを維持する方法や、内部および外部の脅威を軽減する方法についての技術的な詳細は不足しています。この点で役立つのが ISO 27001 です。ISO 27001 は、セキュリティインシデントにつながり得るセキュリティリスクを最小化するために、明確で包括的なポリシーをどのように策定すべきかについての実践的な指針を提供します。

ISO 27001 に準拠していることは GDPR の適合を保証するものではありませんが、それでも価値ある一歩です。組織は、機微なデータを保護するのに十分な強度のセキュリティ対策が講じられていることを確認するため、ISO 27001 の認証取得を検討すべきです。