データコンプライアンスの重要な側面を理解する

データコンプライアンスは、組織の規模、業種、地理的な位置に関係なく、ビジネスの不可欠な部分となっています。

データコンプライアンスの出現にはいくつかの要因があります。最終的には、データ量の大幅な増加がサイバー脅威やサイバー攻撃の増加を引き起こし、その結果、顧客、構成員、患者のプライバシーを保護するための取り組みが必要となりました。データコンプライアンスは、効率性、透明性、プライバシーのために、組織が適切なデータ管理を実践することを要求します。

しかし、組織はどの基準や規制に従い、どのデータコンプライアンスプロセスを実施すべきかをどのように知るのでしょうか？この投稿では、データコンプライアンスとその現代ビジネスにおける役割を詳しく見ていき、これらの質問に答えることを目指します。

データコンプライアンスが重要な理由

データコンプライアンスは、組織とそのシステムが法的、規制的、運用的なデータ要件を満たしていることを確認するプロセスです。データのプライバシー、整合性、可用性を保護し、データの不正使用を防ぐためのコントロールを確立することを含みます。また、組織や個人がデータをどのように扱うかを管理するポリシーと手順の開発も含まれます。データコンプライアンスは、データ管理の効率的なシステムを作成し維持するのに役立つため、企業にとって利益となります。

企業は、顧客のデータを保護し、GDPRやHIPAAなどの業界規制を遵守し続けるために、データコンプライアンスに投資します。これらの規制は、顧客のプライバシー、セキュリティ、データの正確性を保護するために必要です。規制コンプライアンス、そしてより広義のデータコンプライアンスは、企業が顧客の個人データの良き管理者としての評判を築き、維持するのに役立ちます。データコンプライアンスが成功すれば、企業は顧客との信頼関係を築き、データ侵害やコンプライアンス違反から企業を守り、これには高額な罰金や罰則、ビジネスの評判への長期的な影響が含まれます。

データコンプライアンスには実用的な利点もあります。データコンプライアンスに投資することで、企業は効率と収益性を向上させることができます。良好なデータコンプライアンスの実践は、データが安全であるだけでなく、最新で正確であることを保証し、高額なエラーを最小限に抑えるのに役立ちます。さらに、効果的なデータコンプライアンスは、データの検索、修正、置換にかかる時間と費用を削減することができます。

データコンプライアンスの例としては、以下のようなものがあります：

• データの保存とメンテナンスに関するポリシーの実施
• データアクセスコントロールの作成
• 従業員へのデータプライバシーとセキュリティのトレーニング
• データ共有と転送の手順の確立
• データのアーカイブと廃棄のためのシステムの設定
• データを保護するための暗号化の利用
• セキュリティレビューと監査の確立

Kiteworksは、コンプライアンスと認証の達成において長いリストを誇ります。

データセキュリティコンプライアンス：概要

データセキュリティコンプライアンスとは、データを保護し、侵害、盗難、または損失から守るために組織が従わなければならない一連の基準と法律を指します。これには、機密データの暗号化、ユーザーアクセスコントロールの提供、信頼性のあるバックアップシステムの実装など、さまざまな実践と戦略が含まれます。これらの基準と法律は、しばしば業界特有のものです。たとえば、米国の医療機関は、保護された健康情報の使用と開示に関する規制を提供する医療保険の相互運用性と説明責任に関する法律（HIPAA）を遵守しなければなりません。同様に、金融機関は、電子記録の報告に関する規則を含むサーベンス・オックスリー法（SOX）を遵守する必要があるかもしれません。データセキュリティ法の遵守は通常必須であり、遵守しない場合は、財務的および評判的に深刻な罰則を受ける可能性があります。したがって、組織は、自分たちの業界における特定の法律と規制を理解し、それを維持するために必要なシステムとプロセスを備えていることを確認する必要があります。

データセキュリティコンプライアンスには、継続的な監視と管理も含まれます。これは、システムと実践を定期的に監査し、必要な基準にまだ合致しているかどうかを確認し、規制が変更された場合にはプロトコルを更新することを意味します。コンプライアンスを遵守しているからといって、必ずしも組織のデータが完全に安全であるとは限らないことに注意が必要です。コンプライアンス基準は最低限の要件を提供し、多くの組織はこれを超えてデータセキュリティをさらに強化することを選択します。

全体として、データセキュリティコンプライアンスは、リスクを最小限に抑え、機密データを保護し、特定の業界内で設定された規制基準を満たすことに関するものです。情報管理の重要な側面であり、組織の全体的なサイバーセキュリティ戦略において重要な役割を果たすことができます。

データセキュリティコンプライアンスとデータコンプライアンスの違い

似ているようで、データセキュリティコンプライアンスとデータコンプライアンスは異なる焦点と目的を持っています。たとえば、データセキュリティコンプライアンスは主にデータが侵害、損失、不正アクセスからどのように保護されるかに関係しています。データセキュリティコンプライアンスは、データが安全であることを保証するために組織が実施する措置と基準に対処します。

データセキュリティコンプライアンスは、再び、データの暗号化、ユーザーアクセスの制御、信頼性のあるバックアップシステムの確立を含むことが一般的です。データセキュリティコンプライアンスは、潜在的なサイバー脅威を回避し、データ保護法に準拠していることを示すために重要です。対照的に、データコンプライアンスは、データの収集、保存、処理、管理を規制する法律や規制の遵守を指します。これらの規則は、データセキュリティだけでなく、データプライバシー、データ主権、データ透明性などもカバーしています。たとえば、EUの一般データ保護規則（GDPR）は、個人データの収集に対する明示的な同意の取得、データの使用方法に関する明確な情報の提供、個人がデータにアクセスまたは削除する権利を持つことを含む、組織が個人データをどのように扱うべきかを規制しています。

したがって、データセキュリティコンプライアンスがデータを不正アクセスや侵害から保護する技術的および運用的側面に焦点を当てているのに対し、データコンプライアンスはより広範な範囲を持ち、データの管理と取り扱いに関する法的、倫理的、規制的な側面をカバーしています。基本的に、データセキュリティコンプライアンスは、データコンプライアンスという大きな傘の一部と見なすことができます。どちらも組織の全体的なデータガバナンス戦略を維持する上で同様に重要であり、相互に関連しています。

現代のビジネスにおけるデータセキュリティコンプライアンスの優先事項

データセキュリティコンプライアンスは、法的、評判的、運用的なビジネスのあらゆる側面に影響を与えます。したがって、企業の成功と長寿に大きな影響を与えるミッションクリティカルなビジネス義務です。以下は、データセキュリティコンプライアンスが組織にとってどれほど重要であるかを示すいくつかの例です：

1. 法的コンプライアンス：最初で最も明白な理由は法的コンプライアンスです。企業はデータ保護を義務付けるさまざまな法律や規制に従う必要があります。非遵守は、高額な罰金、訴訟、法的罰則を招く可能性があります。
2. 評判の保護：データ侵害は、企業の評判に取り返しのつかない損害を与える可能性があります。1つのインシデントが顧客の信頼を失墜させ、顧客と収益の損失につながる可能性があります。この情報時代では、データ侵害のニュースは迅速に広まり、失われた信頼を取り戻すのは困難で高額です。
3. サイバー脅威からの保護：サイバー犯罪の増加に伴い、データセキュリティの確保が必要不可欠になっています。データセキュリティコンプライアンスを通じて、企業は機密データを不正アクセス、盗難、侵害から保護し、サイバー攻撃のリスクを軽減します。
4. 経済的考慮：データ侵害は高額です。潜在的な罰金のほかに、企業は侵害の修正、影響を受けた顧客への補償、さらには潜在的な訴訟の費用を負担する可能性があります。データセキュリティコンプライアンスを遵守することで、企業はこれらの高額な費用を回避できます。
5. 競争優位性の維持：堅牢なデータセキュリティコンプライアンスを示すことができる企業は、顧客やパートナーからより信頼され、市場での競争優位性を得ることができます。
6. ビジネスの継続性：データセキュリティ侵害はビジネスの運営を中断させ、ビジネスの損失を引き起こす可能性があります。データセキュリティ基準の遵守は、スムーズなビジネス運営を保証します。
7. 規制要件：業界によっては、データセキュリティコンプライアンスが特定の認証、認定、または契約を取得するための前提条件である場合があります。特に政府機関や大企業と取引する場合において。

データコンプライアンスがビジネスに与える影響

再び、データコンプライアンスはデータセキュリティコンプライアンス以上のものを包含しています。データコンプライアンスは、ビジネス運営の一環として情報をどのように保存、送信、使用するかに影響を与えます。データコンプライアンスを、消費者/患者/クライアントのデータプライバシーと情報権利が、これらのデータプライバシー権利の下にあるかもしれない情報の適切なビジネス使用と交差する地点と考えてください。

「データコンプライアンス」に関する組織の義務を決定するために、いくつかの重要な質問に答える必要があります：

1. データをどのように保護していますか：不正使用または開示から？
2. そのデータはどのように保護されなければなりませんか：技術的、管理的、または物理的な手段によって？
3. データはどのように使用されていますか？ビジネスまたは顧客/クライアント/患者サービスのために？

セキュリティはコンプライアンス体制の重要な要素です。さらに、多くの政府および業界の基準と規制は、データプライバシーと保護をその焦点としています（例：GDPR、PCI DSSなど）。組織は、監査人、取締役会、経営陣、規制およびコンプライアンス機関などに対して、サイバーリスク管理のガバナンスとコンプライアンスを示すことができなければなりません。

データコンプライアンスは、さまざまな理由で企業にとって重要です：

• 個人の権利のためのデータコンプライアンス：投稿の後半で取り上げるように、ビジネス目的の情報管理は、個人が自分の情報を管理、制御、アクセスする権利と交差します。異なる業界は、個人の権利の他の概念に基づいて追加の保護規制を求めます。
• 倫理とデータプライバシーのためのデータコンプライアンス：データコンプライアンスフレームワークの重要な側面の1つは、ユーザープライバシーを維持する倫理です。医療、小売、金融、その他の業界には、ユーザープライバシーを神聖で基礎的な要素として定義する規制があります。
• ビジネス用途のためのデータコンプライアンス：不正開示からのデータプライバシーの外側では、データコンプライアンスは適切なビジネス用途とも交差します。データ規制の中には、管轄地域によっては他よりも厳しいものがありますが、多くのフレームワークは、ビジネスが情報をどのように使用できるか、どのように使用できないかを強調しています。これらのフレームワークの中には、情報がどのくらいの期間使用できるか、どのような状況で使用できるかについて厳格なガイドラインを指定しているものもあります（例：一般データ保護規則[GDPR]）。
• 同意のためのデータコンプライアンス：前のリスト項目から続いて、同意はコンプライアンスの不可欠な部分です。いくつかのフレームワークは、マーケティングやビジネス用途のためにオプトアウト情報を提供することを要求し、さらに厳しいフレームワークは、企業が証明可能で文書化された同意を得ることを要求します。

異なる規制がデータコンプライアンスに与える影響

すべてのデータが同じように作成されているわけではなく、すべてのコンプライアンスフレームワークと規制が同じレベルのデータ保護を要求しているわけではありません。

ビジネスに影響を与える主要なコンプライアンス基準と規制のいくつかは次のとおりです：

• HIPAA：病院、保険会社、または医療提供に関連する誰かと協力する患者の医療情報をカバーするHIPAAコンプライアンス要件は、保護された健康情報（PHI）または患者のケアまたはケアに関連する支払い情報に関連する情報に関するコンプライアンスを厳密に定義しています。HIPAAの下では、企業は患者以外の第三者にPHIを開示してはならず、厳格で文書化された同意が必要です。これには、第三者リスク管理（TPRM）ポリシーと手順が必要です。同様に、その情報はデータベース、ワークステーション/モバイルデバイス、サーバー、さらには異なる当事者間の送信中であっても開示から保護されなければなりません。ほとんどのコンプライアント技術は、企業が暗号化されたメールや他の古い技術に頼ることなく、情報を使用するための方法を提供します。
• Payment Card Industry Data Security Standard (PCI DSS)： PCIコンプライアンスは基本的にクレジットカードの支払いと購入時の支払い情報の保護をカバーしています。HIPAAがPHIに関連するコンプライアンスを指定しているのに対し、PCI DSSは、クレジットカード番号、名前、住所、電話番号など、販売時点での支払い情報に特に焦点を当てています。HIPAAとは異なり、連邦および州政府が規制しているのに対し、PCIは主要なクレジットカードネットワーク（Visa、Mastercard、American Express）の発明であり、非準拠の商人または支払い処理業者に対する罰則を通じて施行されます。この場合の罰則は、非準拠の各インシデントに対する罰金の累積を求め、商人アカウントの喪失（クレジットカード取引の処理が困難または不可能になる）を招く可能性があります。
• 一般データ保護規則（GDPR）： GDPRは一般的に世界で最も厳しい情報プライバシー法の1つと考えられています。欧州連合全体およびいくつかの追加参加国に管轄権を持つGDPRは、企業がユーザーデータに対して厳格なコントロールを維持することを求めています。これには、その情報の適切な使用に関する報告要件（厳格なビジネスニーズに基づいて消費者データを使用することのみ）や、消費者が情報にアクセスし削除を要求するための簡単にアクセス可能な方法の提供、消費者が新しい消費者情報要求を提出するたびに文書化された同意が含まれます。この最後の要件は、企業がデータ収集の理由を顧客に詳細に説明することを求めています（分析、定期的な支払い、メールマーケティング、または他の多くの状況のため）。
• カリフォルニア州消費者プライバシー法（CCPA）： CCPAは多くの点でGDPRをモデルにしています。カリフォルニア州の住民と州でビジネスを行う企業を対象に、CCPAは個人情報を名前、住所、電話番号、メールアドレスなどの日常的な項目として定義しています。CCPAは、消費者がビジネス行動への参加を停止したり、その情報を第三者に販売することを停止するためのオプトアウト手段を提供するための要件を企業に定義しています。

  GDPRとCCPA（および多くの米国の規制）の重要な違いは、GDPRがデータに関して何かを行う前に企業が同意を得ることを要求する「オプトイン」法であるのに対し、CCPAおよびほとんどの他のビジネス規制は「オプトアウト」であり、特に停止を求められるまで消費者情報を使用できるということです。

• サーベンス・オックスリー法（SOX）： SOXは、消費者または患者向けの規制とは少し異なり、企業が実施するセキュリティ、リスク、監査に関する報告と文書化を提供することを要求します。特に、SOXは企業が財務および安全情報、特にセキュリティ計画、ポリシー、および実施を開示することを求めています。
• FedRAMP： 連邦リスク承認管理プログラム（FedRAMP）は、クラウドプロバイダーが連邦機関のサービスで作成または使用される情報をどのように保護するかを定義する一連の規制です。FedRAMP準拠の企業のデータ保護は、その情報の機密性に依存します。たとえば、機密性があるが公に利用可能な情報であっても、保存、共有、またはメール中に特定の保護措置が必要です。さらに、他のフレームワーク（PHIまたは支払い情報）で保護された情報は、FedRAMP要件をそれに応じて増加させます。

他のフレームワークは、通常、専門組織や企業自身によって開発された特定の企業や業界に適用されます。たとえば、米国国立標準技術研究所（NIST）は、連邦政府のさまざまな分野のためにいくつかのコンプライアンス文書を開発し、Adobeはガバナンス、リスク、およびコンプライアンス（GRC）をサポートするために共通コントロールフレームワーク（CCF）をリリースしました。さらに、国際標準化機構（ISO）は、セキュリティ、運用、相互運用性に関する数百の技術ガイドラインを提供しており、コンプライアンスフレームワークはそれらを借用または完全に構築することがあります。

すべてのフレームワークには特定の要件がありますが（上記にリストされています）、ほとんどの規制には共通のセキュリティとプライバシー対策が含まれています。これには次のものが含まれます：

• 暗号化：すべての消費者、患者、またはその他の保護されたデータタイプは、サーバーに保存される場合は（通常）AES-128またはAES-256アルゴリズムで、ファイル転送中に送信される場合はTLS 1.2+で暗号化されなければなりません。 
• メール保護：情報は暗号化されなければならないため、メールも同様に規制されることが一般的です。暗号化を通じてメールコンプライアンスを実施することは、ユーザーエクスペリエンスとビジネスの柔軟性において課題であるため、多くの企業は内部の保護されたサーバーへの安全なリンクを使用します。
• 監査ログ：データ保護にはほとんど常に、情報へのアクセスを制御し、システムおよびファイルアクセスイベントの記録を持つための要件が含まれています。ほとんどのコンプライアンスには、情報がどのように使用され、移動され、保存されるかに関する監査ログが含まれます。

それでも、コンプライアンス監査の準備をする際にゼロから始める必要はありません。いくつかの準備ステップには次のものが含まれます：

1. 事前に準備する：定期的に監査を受けることがわかっている場合は、事前に準備する必要があります。これには、文書、技術的措置、および管理報告を整えることが含まれます。たとえ100％準拠していなくても、監査の準備をすることで、インフラストラクチャをどこに整合させる必要があるかを示します。 
2. データ主体アクセス要求の準備： GDPRの下では、消費者は企業が保存および使用しているすべての情報のコピーを要求する権利があります。さらに、通常30日から45日の間に、この情報を合理的な期間内に提供しなければなりません。このプロセスを事前に標準化することで、迅速に対応するだけでなく、一貫してコンプライアンスを維持することができます。
3. 自動化の使用：デジタル収集と処理の現代の世界では、企業は監査とデータ要求の応答を文書化、カタログ化、合理化するために自動化を使用する必要があります。
4. 準拠した技術の実装：この時点での基本的な事実は、企業が運営を強化するためにクラウドサービスを使用していることです。コンプライアンス要件がある場合、実装するサービスがそれらの要件をサポートする必要があります。
   
5. トレーニングと継続教育：チームは、特定のインフラストラクチャ内でコンプライアンスコントロールを実施し、必要に応じて監査を実施するための適切なトレーニングを常に受けている必要があります。同様に、コンプライアンスや技術の変更に常に対応できるように、継続的なトレーニングをサポートする必要があります。これには、堅牢なTPRMプログラムが含まれます。

Kiteworksがデータコンプライアンスの達成を支援

Kiteworksのプライベートコンテンツネットワークは、機密コンテンツ通信を統合、追跡、制御、保護します。コンプライアンスとセキュリティガバナンスを通じて包括的なデータコンプライアンスを提供します。組織内外で送信、共有、または転送されるすべての機密ファイルは追跡され、制御されます。

Kiteworksプラットフォームの主な機能には次のものがあります：

• セキュリティとコンプライアンス： Kiteworksは、データの保存時にAES-256暗号化を、転送時にTLS 1.2+を利用します。その強化された仮想アプライアンス、詳細なコントロール、認証およびその他のセキュリティスタック統合、ならびに包括的なログと監査報告により、組織はセキュリティ基準に準拠していることを簡単かつ迅速に示すことができます。HIPAA、PCI DSS、SOC 2、GDPRなどの業界および政府の規制と基準に対する即時のコンプライアンス報告は非常に重要です。さらに、Kiteworksは、FedRAMP、FIPS（連邦情報処理基準）、FISMA（連邦情報セキュリティ管理法）、CMMC（サイバーセキュリティ成熟度モデル認証）、およびIRAP（情報セキュリティ登録評価者プログラム）を含むがこれに限定されないさまざまな基準に対する認証とコンプライアンスを誇ります。
• 監査ログ： Kiteworksプラットフォームの不変の監査ログにより、組織は攻撃が早期に検出され、証拠の連鎖を正しく維持してフォレンジックスを実行できることを信頼できます。システムがすべてのコンポーネントからエントリを統合し標準化するため、その統一されたsyslogとアラートは、セキュリティオペレーションセンター（SOC）チームの貴重な時間を節約し、コンプライアンスチームが監査の準備をするのを支援します。
• 同意文書化： GDPRのような多くのフレームワークが収集とデータ主体アクセス要求のための文書化された同意を求めているため、組織はそのプロセスを自動化するプラットフォームが必要です。Kiteworksは、すべての同意フォームとデータ要求の広範な報告とログを提供し、組織が一貫してデータコンプライアンスを示すことができるようにします。 
• シングルテナントクラウド環境：ファイル転送、ファイルストレージ、ユーザーアクセスは、オンプレミス、組織のインフラストラクチャ・アズ・ア・サービス（IaaS）リソースに展開された専用のKiteworksインスタンス、またはKiteworksクラウドサーバーによってクラウドでホストされるプライベートなシングルテナントインスタンスで発生します。これにより、共有ランタイム、共有データベースまたはリポジトリ、共有リソース、またはクロスクラウドの侵害や攻撃の可能性はありません。
• シームレスな自動化とMFT： Kiteworksプラットフォームは、MFT（マネージドファイル転送）自動化をサポートし、セキュアなファイル転送やファイル共有、AWS S3などの他のリポジトリへのコンテンツ転送を促進します。
• 可視性と管理： KiteworksのCISOダッシュボードは、組織に情報の概要を提供します：どこにあるのか、誰がアクセスしているのか、どのように使用されているのか、データの送信、共有、転送が規制と基準に準拠しているかどうか。CISOダッシュボードは、ビジネスリーダーが情報に基づいた意思決定を行うことを可能にし、コンプライアンスの詳細なビューを提供します。

Kiteworksプライベートコンテンツネットワークとその包括的なデータコンプライアンス機能の提供方法について詳しく知るには、カスタムデモをスケジュールしてください。