EUの新しいデータプライバシー法に準拠するためのGDPRコンプライアンスの達成

GDPRコンプライアンスは、世界中のIT組織にとって継続的な課題となるでしょう。GDPRとは何か、そしてなぜGDPRコンプライアンスがそれほど重要なのか？

私たちは、ますます多くのアプリケーション、システム、デバイスとの相互作用によって、極端なデータ生成と蓄積の世界に生きています。モノのインターネット（IoT）は、このデータ生成と蓄積をさらに指数関数的に推進することが予想されています。

機密データが収集、分析、共有されるたびに、特に共有データが組織の境界を越える場合、セキュリティとコンプライアンスの課題が生じます。金融サービスやヘルスケアなどの業界では、グラム・リーチ・ブライリー法やHIPAAなどの業界特有の規制により、顧客データが組織内に留まるか外部に共有されるかにかかわらず、プライバシーと改ざんや不正アクセスからの保護が義務付けられています。

しかし、すべてのデータプライバシー規制が特定の業界に限定されているわけではありません。いくつかの法律や規制は、業界に関係なくすべての顧客データを保護することを要求しています。

GDPRコンプライアンスの説明

これらの業界非特定のデータプライバシー規制の中で最も広範で重要なものは、欧州連合の新しい一般データ保護規則（GDPR）です。GDPRは、2016年4月14日にEU議会の市民自由委員会によって可決され、2018年5月25日に発効し、EU加盟29カ国すべてで法律となります。

EUデータ保護指令（95/46/ec）を基に、GDPRは、ソーシャルメディア、地理的に分散したクラウドコンピューティングサービス、広範な政府監視の時代におけるデータプライバシーを保護するための強力な法的枠組みを作成する大胆な試みです。これは、すべてのEU市民にプライバシーの権利を認め、EU市民の個人識別情報（PII）を収集または処理する組織に対して厳しい要件を設けています。

GDPRコンプライアンスのための個人識別情報の保護

PIIの概念は、データ保護指令とGDPRの両方において中心的なものです。以下は、GDPRがこの重要な用語をどのように定義しているかです：

特定された、または特定可能な自然人（「データ主体」）に関連する情報。特定可能な自然人とは、名前、識別番号、位置データ、オンライン識別子、またはその自然人の身体的、生理的、遺伝的、精神的、経済的、文化的、社会的アイデンティティに特有の一つ以上の要素を参照することによって、直接または間接的に特定され得る者を指します。

PIIの例には以下が含まれます：

• 顧客の名前、住所、電話番号を含むCRMデータベースの記録。
• 市民のスマートフォン、タブレット、またはラップトップのIPアドレスまたはMACアドレス。
• パスポート番号。
• 顔認識に使用できる写真。
• 政治、宗教、健康状態についてのFacebookなどのソーシャルメディアプラットフォームへの市民の投稿。
• 指紋、署名、音声録音、さらにはキーストロークのパターンを含む、個人を一意に識別できる遺伝的または生体認証データ。
• 「パリ地域の会社の営業担当者」のように、個人を間接的に特定する説明。

すべての加盟国でデータ保護を標準化することにより、GDPRは、EU市民が他の当事者によって収集されているPIIを知る権利を認めています。市民は、PIIがなぜ収集されているのか、PIIがどのように使用されているのか、その使用目的を知る権利を持っています。ほとんどの場合、この規制は市民が自分のPIIを修正または削除する権利も認めています。

GDPRコンプライアンスを達成するためには、EU市民のPIIを収集または処理する企業は、PIIの取り扱いに関するGDPRガイドラインに従っていることを示す必要があります。GDPRコンプライアンスは、PIIを収集または処理する企業がEUに所在するかどうかに関係なく必要です。GDPRコンプライアンスは、管理されている市民の国籍に基づいてのみ義務付けられています。

取締役会、IT組織、セキュリティチーム、コンプライアンスチームは、今すぐにでもGDPRコンプライアンスを達成するための準備を進めるべきです。GDPRコンプライアンスを達成できない場合、組織の年間収益の最大4%に達する厳しい財務的罰金や、ブランドの評判に対する持続的なダメージが生じる可能性があります。

セキュアなファイル共有とデータガバナンスでGDPRコンプライアンスを達成

GDPRコンプライアンスを達成するためには、企業は顧客データのプライバシー、データセキュリティ、PIIの共有に関する包括的なソリューションが必要です。コンプライアンスを怠ると、重大な罰金だけでなく、顧客の流出やブランドの侵食を招く可能性があります。幸いなことに、Kiteworksのセキュアなファイル共有プラットフォームは、組織がGDPRコンプライアンスを達成するのを支援します。

Kiteworksプラットフォームは、企業内のすべてのオンプレミスおよびクラウドベースのコンテンツシステム（Microsoft SharePointやOpenTextなど）およびBox、Dropbox、Google Driveなどのクラウドベースのサービスに対して、データセキュリティと制御の企業全体のレイヤーを提供し、セキュリティポリシーを統合し、強制します。

セキュリティ機能には、保存中および転送中のデータの暗号化、役割ベースのアクセス制御、モバイルデバイス上のPIIのようなプライベートデータを不正アクセスやマルウェア感染から保護するセキュアコンテナ、機密コンテンツを機密のままに保つためのビュー専用コンテンツなどの特別な制御が含まれます。さらに、Kiteworksプラットフォームでのすべてのコンテンツ共有はログに記録され、監視されます。CISOやIT管理者は、PIIが規制に準拠していることを確認するために、ユーザーの活動をレビューすることができます。

Kiteworksプラットフォームは、企業グレードのスケーラビリティと柔軟性を備えて設計されているため、オンプレミス、IaaSクラウド、Kiteworksによるプライベートホスティング、または任意のハイブリッドシナリオなど、あらゆるインフラストラクチャ戦略に対応できます。ノードは、リモートオフィスに到達し、パフォーマンスを確保し、データ主権規制を遵守するために、世界中に分散させることができます。IT組織は、データを保護し、規制コンプライアンスを確保するためのポリシーを管理および強制することができ、信頼できるビジネスユーザーは、生産性を促進し、適切なレベルの信頼を確保するために、選択されたコンテンツとコンテンツ共有を管理することができます。

Kiteworksプラットフォームと、Kiteworksがどのようにして組織がGDPRやその他のデータプライバシー規制に準拠するのを支援できるかについて詳しく知るには、Kiteworksのカスタムデモを今すぐスケジュールしてください。