最新の投稿の XNUMX つで、データ プライバシーの重要性と、機密情報の安全性とセキュリティを確保するために組織が採用すべきベスト プラクティスについて説明しました。 また、データのプライバシーを管理する原則と規制についても説明しました。 ここでは、データ コンプライアンスについて説明します。 データ コンプライアンスとは、組織が保有する機密データを確実に整理、保存、管理して、損失、破損、盗難、および誤用から保護するために、組織が規制に従うことを保証する慣行です。
データ コンプライアンスの規制、ソリューション、標準について学びましょう。
また、 データのプライバシー: 組織にとっての重要性とベスト プラクティス
データコンプライアンスとは?
前述のように、データ コンプライアンスとは、機密性の高いデジタル資産 (通常は個人を特定できる情報や財務情報) を紛失、盗難、悪用から保護するために企業が従わなければならない規制と基準を指します。 これらの規制にはいくつかの形式があります。 それらは、どのデータを保護する必要があるか、どのような慣行が受け入れられるか、および標準に従わない場合の罰則を指定します。
データ コンプライアンスとデータ セキュリティは似ているように聞こえるかもしれませんが、同じものではありません。 データ コンプライアンスとデータ セキュリティはどちらも、データの収集、保持、および処理に伴うリスクを軽減および管理することを目的としていますが、データ コンプライアンスは、最低限の法的義務を満たすことを保証するだけです。 一方、データ セキュリティには、ファイアウォール、暗号化、パスワード保護プロトコルなど、機密データを保護するために使用されるすべてのプロセスとテクノロジが含まれます。
データコンプライアンスの 3 つの状態とは?
彼らは以下のとおりです。
- 安静時のデータ
- モーションデータ
- 使用上のデータ
データ コンプライアンスの規制とソリューション
＃1。 HIPAA
1996 年の医療保険の携行性と説明責任に関する法律は、個人の健康管理および医療データを所有する米国内のエンティティが、これらの記録の安全性と機密性を維持する方法を指定しています。
これらはより機密性の高い記録の一部であることを考えると、それらを保持できなかった場合のペナルティは、組織にとって大きな負担となる可能性があります。 企業が数百万ドルの支払いを余儀なくされた例があります。 たとえば、2018 年には、ハッキングの試みによって 16 万人を超える顧客の健康情報が流出した後、ある保険会社が 79 万ドルの罰金を支払うことに同意しました。
さらに、HIPAA では、すべての電子医療記録に正当な理由のある人だけがアクセスできるようにする必要があるため、暗号化と強力なアクセス制限が不可欠です。 ルールはデータベース内のレコードだけでなく、共有されているレコードにも適用されるため、電子メールやファイル転送などのアクションが完全に監視、保護、および管理されることを保証するための手順を実行する必要があります。
＃2。 PCI DSS
PCI-DSS は、データ コンプライアンス ソリューションのリストの XNUMX 番目です。 Payment Card Industry Data Security Standard (PCI DSS) は、企業がクレジット カード番号などのカード所有者データを管理および保護する方法に関する規制を確立するため、消費者の財務情報を扱う組織にとってコンプライアンス プロセスの重要な側面です。
GDPR とは異なり、PCI DSS は政府規制ではなく業界標準です。 ただし、データコンプライアンス基準に違反していることが判明した企業は、厳しい罰金に直面したり、銀行や決済処理業者との関係を終了したりして、企業がカード決済を行うことを非常に困難にする可能性があるため、これはその重要性を損なうものではありません.
多くの企業がそうであるように、企業がサードパーティのサービスを使用してカード決済を処理している場合でも、収集、送信、または保持するクレジット カードまたはデビット カード データのセキュリティを確保することは企業の義務です。
組織がとらなければならない特定の手順は、処理するトランザクションの数によって異なります。大規模な顧客ベースを持つ組織は、より厳格なデータ コンプライアンス規制に直面することになります。しかし最終的に、PCI DSS 基準では、企業は特定のレベルのセキュリティを確保する必要があります。
Payment Card Industry Security Standards Council は、企業がこれらの標準に準拠するために講じなければならない一連の対策を概説していることに言及する価値があります。 これらの対策は、十分なファイアウォールのインストールから、カード会員データを保護するためのシステムとプロセスの定期的なテストにまで及びます。 明らかに、これらの基準を達成するための明確な計画が整っていないという言い訳はできません。
＃3。 GDPR
GDPR は、最新の包括的なデータ規制の 25 つです。 2018 年 XNUMX 月 XNUMX 日に制定されて以来、GDPR は、データ エンティティが保持しているデータを知る人々の権利、企業がこのデータを処理する方法、およびデータ侵害を報告するためのより厳格な法律に関する多くの解決策を確立してきました。
興味深いことに、これらの規制はヨーロッパに設立された企業だけに適用されるわけではありません。 EU の管轄下にある個人とビジネスを行う場合、GDPR の規則を遵守する必要があります。 法律には多くの要件が含まれていますが、その大部分は、同意の取得、保持されるデータの量の削減、およびデータ主体の権利の保護という XNUMX つの基本原則に絞り込むことができます。
小さなステップのように見えるかもしれませんが、すべての企業が GDPR の法律と基準に確実に準拠するために最初に行うべきことは、その活動を監督する人を任命することです。 データと呼ばれるこの人物 コンプライアンス・オフィサー、膨大な量のデータを使用する特定の企業で必要とされ、その義務は、データ保護戦略と実装を監督して、GDPR の要件と規制が確実に満たされるようにすることです。
＃4。 CCPA
これは、米国を拠点とする多くの企業が遭遇する最も厳格な消費者保護の XNUMX つです。 これはカリフォルニアの GDPR と呼ばれており、レポート要件などの分野では GDPR ほど厳格ではありませんが、いくつかの点でヨーロッパの GDPR よりもはるかに厳格です。
たとえば、個人データの定義において、個人の「好み、特徴、心理的傾向、素因、行動、態度、知性、能力、および適性」を反映する顧客プロファイルを作成するための推論を引き出すことができる情報が含まれます。
CCPA への準拠は、すべての企業に必要とされるわけではありません。 年間総収入が 25 万ドルを超える企業にのみ適用されます。 50,000 以上の個人、世帯、またはデバイスの個人情報を取得、受信、または販売するもの。 または、顧客の個人情報を販売することで年間収益の 50% 以上を生み出す企業。
これは多くの中小企業を除外していますが、カリフォルニアでクライアントと仕事をしている実質的にすべての中規模または大規模企業がカバーされることを意味します. これは、多くの米国企業にとって GDPR よりも関連性が高い可能性があります。一部の組織は、この規制を回避するためにヨーロッパでの事業を完全に停止することを選択しましたが、CCPA を回避することははるかに困難である可能性があります。カリフォルニアに本拠を置く、または州内に物理的に存在する場合でも、その規定の対象となります。
＃5。 SOX
エンロンを巻き込んだ企業会計スキャンダルの再発を防ぐために、2002 年のサーベンス オクスリー法 (SOX) が制定されました。 ワールドコム その他。 その結果、データ保護よりも財務報告に重点が置かれているため、IT プロフェッショナルは、準拠しなければならない他の標準よりも重要性が低いと考える可能性があります。 それどころか、そうではありません。 IT 部門には、これらのニーズを確実に満たすために果たすべき明確な義務があります。
まず、組織に関するリアルタイムの財務報告を確実に受け取れるようにすることで、CEO と CFO に従う必要があります。 これには、レポートを自動化するためのメカニズムを配置し、詳細な精査に値する重大なイベントが発生したときにアラートがトリガーされるように構成する必要があります。
さらに、IT 担当者は、すべての記録が適切に保管されていることを保証する必要もあります。 その結果、重要な情報とドキュメント管理システムの効果的かつタイムリーなバックアップは、これらの規則への準拠を維持するために不可欠です。 効果的であるためには、会社のデジタル資産のあらゆる側面を完全に可視化する必要もあります。 監査人が必要とする場合に備えて、インスタント メッセージ、電子メール、録音された通話、金融取引はすべて少なくとも XNUMX 年間保管する必要があるため、適切な管理システムを導入する必要があります。
最後に、IT プロフェッショナルは、SOX に準拠する際に、記録管理と監査が可能な限りスムーズに行われるようにする必要があります。 アクティビティの自動化、データ フローの管理と監視、情報の迅速なアーカイブと取得のためのツールはすべて、この点で重要な役割を果たします。
組織にとってのデータ コンプライアンスの利点
組織がデータ セキュリティとコンプライアンスを優先する場合、金銭的な見返りを期待する必要があります。 XNUMX つには、顧客が自分のデータをあなたに預けることができることを安心させることができます。 これは保証するのに大いに役立ちます 顧客維持 とポジティブなイメージ
さらに、企業が機密情報を管理し、個人のプライバシーを保護し、セキュリティ違反に対応する方法についてプロトコルを設計および記録する努力をすることで、環境が変化し、予期しないことが発生した場合でも、組織は回復力と適応性を維持できます。
最後に、セキュリティ コンプライアンス基準を徹底的に実装することで、企業はデータ侵害による評判や財務上の損害のリスクを軽減できます。
会社が特定の要件 (SOX、HIPAA、CCPA など) を満たしていることを監査人に示すことは重要ですが、データ保護コンプライアンス ポリシーを維持することは実際には会社の利益になることを覚えておく必要があります。 コンプライアンスへの体系的なアプローチは、顧客のデータ、企業の知的財産、および事業運営を公開する可能性を減らすのに役立ちます。
データのコンプライアンスをどのように維持していますか?
ビジネス オーナーとして、データ セキュリティの基準と規制への準拠を維持するために、次の管理手段に従ってください。
＃1。 データセキュリティ対策と監査手順の正確な記録を維持します。
次の理由から、すべてのデータ保護および監査手順の記録を保持することが重要です。
まず、この記録により、会社のコンプライアンス活動について詳細な知識を持つ人物が XNUMX 人もいないことが保証されます。 この記録がなければ、あなたの会社は暗闇の中にいる可能性があり、監査によってデータ セキュリティとコンプライアンス プログラムの明らかな弱点が明らかになる可能性があります。
さらに、このコンプライアンス活動の記録は、各要件セットに準拠するための組織の誠実な取り組みを示します。 多くの規制には、確固たるコンプライアンス プロセスを実施している、またはその策定に積極的に取り組んでいる組織に対する罰則を当局が軽減できるようにする誠実な例外があります。
最後に、監査に合格するには、データ セキュリティ基準を真剣に考えていることを監査人に示す必要があります。 監査人は、保存または処理しているデータを保護するために実施している手順が適切かどうかを判断するために、広範な記録を必要とします。 監査人の要件を念頭に置いて作業することで、これらの重要な項目に集中し続けることができます。
＃2。 CCF対策を採用。
Common Controls Framework (CCF) は、幅広い業界のデータ セキュリティおよびプライバシー基準から派生した完全な制御基準のセットです。 CCF を使用することで、企業はセキュリティ、プライバシー、およびその他のコンプライアンス手順の基準を満たすことができると同時に、「過度に管理される」リスクを抑えることができます。
＃3。 データのプライバシーに関する予防措置が最新であることを確認してください。
これらの標準では、データ セキュリティが重視されます。 そのため、強力なセキュリティ コンプライアンス手順を実施するだけでなく、最新のデータ コンプライアンス ソリューションも実施する必要があります。 これらのデータ コンプライアンス ソリューションは、組織内のデータ侵害の可能性を減らすために不可欠です。
会社のデータ管理と保護対策が脆弱である場合、今日のテクノロジを念頭に置いて設計されたデータ セキュリティとコンプライアンスの基準を満たすことはかなり困難になります。
＃4。 データ セキュリティとコンプライアンス基準の責任者を指定します。
前述の要因を念頭に置いて、誰がデータ コンプライアンスを担当しているのか疑問に思われるかもしれません。 データのセキュリティとコンプライアンスのプロセスは、他のプロセスと同様に、単一の連絡先、つまり可動部分をすべて処理する担当者が必要です。 この個人は、経営陣に直接アクセスでき、データ セキュリティとコンプライアンスの基準を満たすように組織全体の他の人を説得する信頼性と権限を持っている必要があります。
データ コンプライアンス オフィサーの役割とは?
データ コンプライアンス オフィサーの主な責任は、適用されるデータ保護要件に従って、組織がその従業員、顧客、プロバイダー、またはその他の個人の個人データを確実に処理することです。
アップラッピング
罰金や評判の低下を避けるために、組織は強力なコンプライアンス プログラムとデータ保護ポリシーを整備する必要があります。 そうしないと、顧客を失うか、さらに悪いことに、多額の罰金を支払うリスクがあります。
関連記事
- コンプライアンス管理システム: 定義、例、およびソフトウェア オプション
- 最高のポリシー管理ソフトウェア: 2023 レビュー
- HR コンプライアンス: 概要、ソフトウェア、トレーニング、および重要性
参照
- IPF
