IT およびセキュリティチーム向け GDPR コンプライアンスガイド

累積した GDPR の制裁金が 71億ユーロ（2026年1月時点）に達しており、施行（執行）は金融サービス、エネルギー、ミッドマーケット企業へと広がっています。Netwrix 2025 Cybersecurity Trends Reportによると、サイバー攻撃を受けた組織の15%が、その結果としてコンプライアンス違反に伴う制裁金を受けていました。

CNIL が France Travail を調査し、500万ユーロの罰金を科した際、その判断では具体的な IT の不備が挙げられました。十分な強度のない認証手順と、異常な挙動を検知するには不十分だったロギング（ログ記録）対策です。

IT およびセキュリティチームにとって、GDPR 準拠（コンプライアンス）とは、実装し、かつ証跡を提示する責任がある一連の技術的なコントロール（controls）のことです。

このガイドでは、これらのコントロール（controls）が何であるか、どのように構築するか、そして監査に向けてどう準備するかを解説します。

GDPRとは？

一般データ保護規則（General Data Protection Regulation、GDPR）とは、EUおよび欧州経済領域（EEA）における個人の個人データを、組織がどのように収集・処理・保存・保護するかを定めるEUの規則です。

これは、EU/EEAの居住者の個人データを処理するあらゆる組織に適用されます。GDPRでは、処理の目的と手段を決定する管理者（controller）と、管理者の代わりにデータを処理する処理者（processor）を区別しています。どちらも、この規則に基づく直接的なセキュリティ上の義務を負います。

GDPRへのコンプライアンスとは？

GDPRへのコンプライアンスとは、規則の要件を満たすために適切なポリシー、技術的統制、ドキュメント、プロセスを継続的に整備し、それを実際に行っていることを示せる状態のことです。 第5条（2） は、単にコンプライアンスを求めるだけでなく、その証明を求めています。

ITおよびセキュリティチームにとって、これはGDPRへのコンプライアンスが、アクセス制御、データ発見、ログ記録、暗号化、侵害（ブリーチ）対応手順、そしてそれらを結び付ける監査の証拠として実現されることを意味します。

GDPR の主要原則

GDPR のすべての義務は、7つの原則に支えられています。各原則は IT 責任に直接対応しています：

• 適法性、公正性、透明性： すべての処理活動には、文書化された適法な根拠が必要であり、プライバシー通知は読みやすく最新の状態である必要があります。
• 目的の限定： データ分類 およびアクセス制御は、明示された目的の範囲内に限定されなければなりません。
• データ最小化： 必要なものだけを収集し、最小権限アクセス を保存するデータに適用します。
• 正確性： データ品質の管理と変更監査を実装し、不正確な点を検出して修正します。
• 保存の制限： 自動削除または匿名化を行うことで、保管（保持）ポリシーを定義し、徹底します。
• 完全性と機密性： 暗号化、アクセス制御、ログ記録、セキュリティ監視。
• 説明責任： 監査証跡、コンプライアンスレポート、そして管理策が存在し機能していることを示せる証拠。

IT チーム向け GDPR 準拠要件

GDPR の技術的義務は、IT とセキュリティ チームが日々担当する 4 つの作業分野に集約されます。

1. データの発見：保有している個人データが何か、そしてどこにあるかを把握する

データの可視性は、あらゆる GDPR の義務の土台です。自分が把握していないデータを保護することはできず、見つけられないデータについての情報主体のアクセス要求（DSAR）に対応することもできず、インベントリ化していない処理活動に対してリスクを評価することもできません。

• 実装すべき内容： すべての環境で、構造化されたデータの発見プロセスを実行します。オンプレミスのファイルサーバー、データベース、クラウドストレージ、SaaS アプリケーション、メール、およびエンドポイントを対象にしてください。見つかったデータをデータカテゴリ（識別子、金融、健康、特別カテゴリ）と機密性レベルで分類します。システム間のデータフロー、ならびに第三者の処理者へのデータフローをマッピングしてください。結果を Article 30 の記録に反映し、それを用いて DPIA のスコープを定めます。
• 理想の状態は： すべてのシステムにわたって、個人データの最新で検索可能なインベントリ（棚卸し情報）を保持し、処理目的とデータ所有者に紐づけます。データ主体がアクセス要求（DSAR）を行うとき、あなたのチームは手作業で探し回ることなく、その個人に関するデータを保持しているすべてのシステムを特定できます。新しい処理活動が提案された場合には、その活動がどのデータに触れるのか、また、その処理活動に Data Protection Impact Assessment (DPIA) が必要かどうかを評価できます。データの発見は一度きりのプロジェクトではありません。システム、データ、処理活動が変わるたびに、継続的に実行する必要があります。

2. アクセスガバナンス：誰が個人データに到達できるかを強制する

個人データへのアクセスを管理することは中核となる Article 32 の義務です。過剰な権限を持つアカウント、孤立した（オーファンの）アクセス、制御されていない権限の拡散といった執行上の不備は、GDPRの執行手続において最も頻繁に挙げられる指摘の一つです。

• 最小権限とロールベースのアクセス： すべてのアカウントには、その機能を果たすために必要な権限だけを付与する必要があります。処理目的に紐づけたロール定義から始め、文書化された必要性に対応しないアクセス権は削除してください。個人データへの暗黙のアクセスを可能にする共有アカウントや、幅広いグループメンバーシップには特に注意してください。
• アクセスレビューとプロビジョニング解除： 個人データを処理するシステムについて、定期的にアクセスレビューを実施してください。従業員が役割を変更したり、組織を離れたりする場合は、アクセス権を速やかに取り消します。有効な権限を持ったままの放置アカウントは、よくある監査指摘であり、現実の攻撃対象にもなり得ます。
• 権限のスプロール（拡散）： 時間が経つにつれて、権限はロールの変更、プロジェクトへのアクセス付与、そして後始末なしで蓄積されていくアドホックな要求によって積み上がっていきます。過度に公開されているデータを特定し、是正してください。具体的には、オープンなファイル共有、広く共有されたフォルダー、ならびに機密性の高いディレクトリにおける継承（inheritance）の破損です。組織内の誰もが個人データを含むフォルダーを閲覧できるなら、ポリシーに何と書かれていようと、アクセス制御は機能していません。

3. ログと監査のエビデンス：対策が機能していることを証明する

GDPR のアカウンタビリティ（説明責任）原則は、裏付け（エビデンス）を提示できない統制は、評価されない（信用されない）ということを意味します。ロギングは、セキュリティ運用を「立証可能なコンプライアンス」に変換するものです。

• ログに記録すべきもの： 少なくとも、データアクセスのイベント、データの変更、データの削除、権限の変更、認証イベント（成功・失敗）、同意の取得と撤回、DSAR の取り扱い手順、ならびに侵害の検知と対応アクションです。ログには「誰が」「何を」「どこで」「いつ」行ったかを記録し、調査や監査の際に出来事の時系列を再構成できるだけの十分な詳細が含まれている必要があります。
• 保管（Retention）の指針： GDPR は 監査ログ（audit logs） について、具体的な保管期間を定めていません。原則は、コンプライアンスを立証し、調査を支援するために必要な限りログを保持する一方で、データ最小化（data minimization）が要求する以上には保持しないことです。多くの管理者（controllers）は、保管期間を適用される法定の除斥期間（制限期間）に合わせています。選択した保管期間について、その妥当性を文書化してください。
• 監査人が実際に求めるもの： 監査人は、統制が機能していることの証拠を探します。証拠は、設定記録、アクセスレビューの出力、および取得（参照）可能なログとして文書化されている必要があります。たとえば、次のような質問が想定されます。過去 90 日間にこのデータセットにアクセスしたのは誰か；この権限変更の変更前と変更後の状態を示してほしい；最後のアクセスレビューと、その結果として実施されたアクションを示してほしい。ログでこれらの質問に答えられない場合、監査証跡にギャップ（不足）があることになります。ログとレポートは、プレッシャーの下で組み立てた生の運用データではなく、最初から監査アーティファクト（audit artifacts）として構造化してください。

4. 脆弱性（侵害）検知と対応：72時間の期限に間に合わせる

第33条 は、個人データの侵害（breach）を認識してから 72 時間以内に監督当局へ通知することを求めています。ただし、その侵害がデータ主体に対するリスクにつながる可能性が低い場合を除きます。

侵害によって高いリスクが生じる可能性がある場合、データ主体には不当な遅滞なく通知しなければなりません。通知には、侵害の性質、範囲、想定される影響、および軽減（緩和）措置を記載する必要があります。

• 検知インフラ： 72時間のタイマーは「封じ込め（containment）」ではなく「認識（awareness）」から始まります。検知が遅い場合、調査が始まる前に通知の猶予期間がすでに短くなってしまいます。個人データを処理するシステムに対して、リアルタイムの監視とアラートを導入してください。異常なアクセスパターン、大量のデータエクスポート、 privilege escalations および不正な設定変更。
• 調査能力： 侵害を検知したら、数時間以内に何が起きたのか、どのデータが影響を受けたのか、影響を受けるデータ主体が何人いるのか、そして考えられる結果は何かを特定する必要があります。これは、システム横断で検索可能かつ相関付けができるログがあることに依存します。ログが分断されていたり、ログの保持期間が短かったりすると、時間的な制約の中で効果的な調査ができなくなります。
• 通知フロー： 本当に必要になる前に、文書化された侵害対応プレイブックを作成し、事前にテストしてください。監督当局およびデータ主体への通知について、役割、エスカレーションの経路、判断基準を定義します。必要な通知内容のテンプレートも含めてください。72時間の期限を想定してテーブルトップ演習を実施し、プロセスの抜け漏れを見つけましょう。

GDPR コンプライアンス監査に備える方法

GDPR の監査では、管理策（コントロール）が存在するか、有効に機能しているか、そしてコンプライアンスを示すのに十分なレベルで文書化されているかが評価されます。準備とは、監査人が実際に見ているポイントに合わせて証拠を整理することを意味します。

データの棚卸し（データインベントリ）と処理記録を整理する

環境で実際に起きていることを反映するように、処理活動に関する Article 30 の記録を作成し、維持管理してください。記録には、処理する個人データの内容、目的と法的根拠、データの流れ、保管期間、そしてセキュリティ対策の説明を含める必要があります。記録と実際の処理状態との間にギャップがある場合、それは監査上の指摘事項となるため、1回限りの文書として扱うのではなく、常に最新の状態に保ちましょう。

運用実績の証拠とともにセキュリティ対策（コントロール）を文書化する

各技術的対策が「存在する」だけでなく「実際に運用されている」ことを示す証拠を集めてください。暗号化、アクセス制御（最小権限、MFA、およびプロビジョニング解除）、ネットワークセキュリティ、脆弱性管理、バックアップの暗号化については、設定記録、アクセスレビュー結果、スキャン出力を取得します。情報セキュリティポリシーが理想化されたものではなく、実際の環境を反映していることを確認してください。

ログ記録と監視の証拠を取り出す

適切なイベントをログに記録していること、紛争可能な（説明可能な）期間保管していること、必要なときに検索して取り出せることを確認してください。事前に、具体的なログ抜粋を準備しましょう。たとえば、誰がデータセットにアクセスしたか、システム上で何が変更されたか、セキュリティイベントがどのように検知され、どのように対応（処理）されたか。パスワードポリシーが文書化されているだけでなく、実際に強制（適用）されていることを示す記録を含めてください。

データ主体の権利の履行を確認する

8つのデータ主体の権利それぞれについて手順を文書化し、エンドツーエンドで機能することをテストしてください。30日間の対応期間内に、すべてのシステムにわたって個人データを特定、エクスポート、制限、削除できることを確認します。完了記録を伴う運用ワークフローは、手順書だけの場合よりも重要です。

侵害対応の準備状況をテストし、文書化する

incident response plan が、役割とエスカレーション経路を定義した形で文書化されており、かつテスト済みであることを確認してください。テーブルトップ演習の結果、過去のインシデントからの事後報告書、通知テンプレートはいずれも、この計画が理論だけでなく実運用可能であることを示す証拠です。

サードパーティおよびベンダー契約を見直す

すべての処理者（processor）に対して、現在の Data Processing Agreements が整備されていること、オンボーディング時に due diligence（デューデリジェンス）が実施されていること、そして継続的な監督（oversight）の記録を保持していることを確認してください。ベンダー一覧を Article 30 の記録と照合し、内容が一致していることを確認します。

研修の完了を記録する

従業員および請負業者（contractors）が、定期的なデータ保護およびセキュリティ意識に関する研修を受けていること、また修了記録が維持されていることを確認してください。スタッフは DSAR を認識でき、疑わしい侵害（breach）をどのように報告するかを理解している必要があります。研修記録は、その内容が共有されたことを示す証拠です。

Netwrix が GDPR 準拠をどのように支援するか

GDPR 準拠は、組織が決定するポリシー、プロセス、そして判断に左右されます。どの製品も、それ単体で準拠を成立させることはできません。

Netwrix が提供するのは、コンプライアンス プログラムが依存する可視性と制御です。つまり、個人データがどこに存在しているか、誰がアクセスできるか、何が変更されたか、そして監査人に対してそれを証明できるかを把握できます。

• データの発見と分類： Netwrix Access Analyzer は、オンプレミス環境とクラウド環境の両方にまたがって個人データがどこに存在するかを発見し、機密性（sensitivity）に基づいて分類し、アクセスできる人を表示します。これは Article 30 の記録、DPIA のスコーピング、および過度に公開されているデータや破損した権限（permissions）の是正を支援します。
• 変更とアクティビティの監査： Netwrix Auditor は、誰がいつどこで何を行ったのかを、検索可能な「変更前／変更後」の記録として提供します。対象は Active Directory、ファイル サーバー、Microsoft 365、その他のシステムです。リアルタイムのアラートにより、不審なアクセス パターンが早期に検知されるため、調査を迅速に進められます。これは Article 32 の証拠と、72 時間の侵害対応（ブリーチ）対応期間の両方を支援します。
• 特権アクセス制御： Netwrix Privilege Secure は zero standing privilege を、ジャストインタイムでのプロビジョニングとセッション記録によって強制し、個人データを扱うシステム上で行われるすべての特権アクティビティの監査可能な記録を作成します。
• コンプライアンス レポーティング： GDPR、PCI DSS、および SOX への事前に用意されたレポート マッピングにより、必要なときに構造化された監査証拠を提供し、各監査サイクルの前にコンプライアンス成果物を手作業で取りまとめる負担を軽減します。

この Netwrix 1Secure platform は、Microsoft を中心としたハイブリッド環境を運用する組織向けに、identity threat detection and response を統合して提供します。

Netwrix のデモを依頼する データの発見、アクセス・ガバナンス、監査エビデンスが、環境全体でどのように連携するかをご確認いただけます。