Resources Blogs コンプライアンススペシャリストが読む 2019 年前半: 相次ぐ法改正・データガバナンス・大阪トラック

コンプライアンススペシャリストが読む 2019 年前半: 相次ぐ法改正・データガバナンス・大阪トラック

By AvePoint Japan

投稿日: 07/09/2019

日本の AvePoint ブログ読者の皆様、こんにちは。AvePoint オーストラリア支社でコンプライアンステクニカルスペシャリストを務めております Esad Ismailov です。

今回の記事では、2019 年に話題を呼んだセキュリティ・コンプライアンスに関するトピックから、GDPR 施行後のデータガバナンスがどのような様相を呈しているのかを解説したいと思います。

G20・大阪トラック

6 月 28 日・29 日に開催され、世界から大きな注目を集めた G20。中でも、「大阪トラック」と命名されたデータガバナンスルールに関するイニシアティブは、参加国のデータガバナンスに関する新たな重要指針・ルール整備という性格を持つものとして話題となりました。

データガバナンスに対するこのようなアプローチの採用は、匿名化されている・もしくは個人が特定されないデータである限り、医療・産業などをはじめとする有用なデータの自由な流れに、国境による制限を設けないという方針の中に位置づけられる、データ・フリー・フロー・ウィズ・トラスト (自由なデータ流通圏) の考え方に基づくものです。

高まるデータガバナンスへの関心と法改正

データガバナンス、プライバシー、サイバーセキュリティをはじめとするセキュリティに対し、組織がより重きを置く傾向が強まってきたのは、10 年ほど前からのことです。

GDPR を施行した EU は言うまでもなく、オーストラリアやシンガポール、中国、南アフリカなどの国家も、「データは 21 世紀の純金である」との考え方のもと、データ保護・サイバーセキュリティ関連法制度の整備を進めつつあります。

筆者が市民権を持つオーストラリアを例にとると、2018 年には改正個人情報保護法が施行され、対象となる企業・組織による、情報漏えい事故のオーストラリア情報委員会 (OAIC) に対する報告が必須となりました。

相次ぐ情報漏えい・不正利用インシデント: データセキュリティに欠かせないデータガバナンス

EU 一般データ規則 (GDPR) の導入から、多くの企業・組織が、このような枠組みがビジネスに与える悪影響、特に海外子会社・支社に対するデータ移転が不可能となる可能性に懸念を表明してきました。しかし同時に、データ流出・不正利用インシデントが増加傾向にある ことも見逃せません。

日本では、2018 年だけでも、少なくとも 268 万件の個人情報に対するデータへの不適切な開示が行われたとの報道がありました。

またここ数日では、キャッシュレス決済 7Pay の不正利用から不十分なセキュリティ対策が発覚し、経済産業省が決済事業者に対して不正利用防止のためのガイドライン遵守を求めるなどの動きがありました。

国外に目を向けてみると、以下のような報道がされています。

英国情報保護当局・情報コミッショナー事務局 (ICO)、2018 年 9 月の大規模情報漏えいインシデントを受け、ブリティッシュ・エアウェイズに約 250 億円の制裁金を検討
2014 年の情報漏えい事件に端を発する集団訴訟への和解金として、米国保険会社のプリメーラ・ブルー・クロス (Premera Blue Cross) 社が巨額賠償金の支払いに合意
医療未払金回収業者の Retrieval-Masters Creditors Bureau、連邦倒産法第 11 章 (日本の民事再生法に該当) を申し立て。2019 年 3 月に発覚した情報漏えい事件からの顧客喪失と関係費用が直接の原因

データの不適切な管理、データガバナンス対応の遅れが、そのまま企業・組織への金銭的なダメージ、最悪の場合は経営破綻にさえつながる という時代が到来していることの証左といえるでしょう。

おわりに: 求められる効果的なデータガバナンス対策

このような状況の中で、企業・組織はどのようにデータガバナンス対策を行っていくべきなのでしょうか。GDPRでは、ハイリスクなデータ処理を行う場合には必ず影響アセスメントを実施するなど、リスク管理に関する要件が複数提示されています。

中でも、プロジェクトの開始当初からの プライバシー & セキュリティバイデザイン 導入は、潜在的リスクのあぶり出しや、データ処理が発生するプロセスが実行される前からのシステム安全性の確保という点で有益といえます。

データガバナンス対策理解にまずはこの一冊!

AvePoint が制作した『GDPR/ 個人情報保護: 重要 IT キーワードの基礎知識』では、「プライバシー & セキュリティバイデザイン」をはじめとする重要キーワードを解説しています。また、特設キャンペーンページでは、他にも GDPR 対策に役立つ資料を揃えております。以下のバナーからダウンロードして是非ご覧ください。