データプライバシーの新たなパラダイム~変化する脅威に対応するための持続的アプローチ

ビッグデータを使うことにより、企業はこれまでにない製品やサービスを開発し、競争優位性を生み出すことが出来るようになりました。しかしその一方で、機密性の高いデータの量も驚くほどに増加し、そのデータ保護と管理は複雑化の一途を辿っています。

また、データが社内外を移動するスピードがより一層速くなったことで、データ自体も進化し続けています。このように、データが加速度的なスピードで絶え間なく変化、増え続けることで、企業は次のようなリスクに脅かされているのです。

  • 従来のリレーショナルデータベースでは格納できないようなIoTやソーシャルメディアなどの非構造化データの爆発的な増加。さらには、データが従来の境界線から抜け出て、クラウドプロバイダー(AWS、Azureなど)やサードパーティSaaSアプリケーションにまで拡散。
    (例)多くの大企業では、毎月PB(ペタバイト)規模のデータを処理し、新しい情報がTB(テラバイト)規模で増加。これらの約30%が機密データです。
  • 社内外の脅威や悪意ある活動が巧妙化。個人を特定できる情報(PII)、クレジットカード会員情報(PCI)、個人健康情報(PHI)の漏洩よる高額な違反金の支払、訴訟の発生、企業イメージの低下。
    (例)2017年に公表されたデータ侵害事案で漏えいしたデータレコード数は、前年比88%増の25億件超でした。
  • データの民主化によって、データを利用する人が急増し、意図しないデータの使用や複製、結合が発生、契約および規制への違反リスクが増大
    (例)クリック/タップするだけで、異なるシステム間で大量のデータを簡単に共有できるようになり、さらにはソーシャルエンジニアリングを利用すれば、従来型のセキュリティ対策をかいくぐることが可能になります。
  • 顧客が取引相手を選ぶ際の判断基準として、データセキュリティと倫理的な取り扱いが重要視される
    (例)世界の消費者の69%が、データ保護を重視しない企業に対してボイコットしようと思っていると回答。また、62%が、データ侵害の最大の責任はハッカーよりも企業にあると回答しています。さらに、米国の消費者の83%が、データ侵害や重大なインシデントが発生した企業への支出を数か月は控えると答えています。
  • データプライバシーに関する規制が世界中で次々に施行され、違反金リスクが増大。
    (例)EU一般データ保護規則(GDPR)が施行され、多額の違反金と厳格な規則により、従来のビジネスのあり方が大きく変化。80か国以上でデータプライバシー法が施行。トルコ、インド、中国、ブラジル、シンガポールなどの国々が、データセキュリティ関連の違法行為を取り締まり、PII、PCI、PHIに関する国内法/地域法を厳格に適用。2018年には、米国の11州でプライバシー法が可決または改正。

持続可能で段階的なアプローチが必要

ほんの最近まで、データ保護とセキュリティは一度限りの作業で終わっていました。しかし、このアプローチではもはや通用しなくなっています。

従来の境界線を超えてデータが保管・利用され、驚異的なスピードで増加し続ける中、データ資産レベルでセキュリティ管理を適用して、継続的に管理することが必要となってきます。

そこで持続可能なデータセキュリティを構築するまでの6つのステップについてご紹介したいと思います!

1. 機密データ、ポリシー、ビジネスルールの定義

はじめに「機密データ」を定義します。データを日常的に使用するユーザーの協力を得ながら、データを利用する人やシステム、その利用目的と使用方法を洗い出します。例えば、アプリケーション所有者、セキュリティアナリスト、データベース管理者、業務アナリスト、現場スタッフなどを対象に聞き取り、アンケート、評価を実施して、データタイプを特定し、ユーザーの役割、データの所有者、業務上の使用状況を把握します。そして、その結果に基づいて、プライバシーポリシーを策定し、説明責任を割り当てます。

2. 機密データの探索と分類

オンプレミス、もしくはクラウドにある全ての機密データを探索し、社内ポリシーと外部の規制要件に従い、その機密度と重要度に応じてデータを分類します。保護すべきデータポイントは数百万にも及び、手作業では膨大な時間とコストになるため、この作業は、AI搭載のデータディスカバリツールやメタデータ管理ツールを使って自動化するのが得策です。

3. アイデンティティのマッピング

プライバシーの核は、アイデンティティ(データの主体)です。個人データを取り扱う全てのシステムにおいて、正確かつ総体的にデータを該当する個人に結び付ける必要があります。これによって、データ主体でアクセスを管理できるようにします。特にGDPRでは、顧客の要求に従って顧客データを削除、移動、修正できること、そして顧客の同意の撤回または付与の要求に対応できることが求められるため、個人情報の同意管理とデータ主体の権利要求を自動化できる仕組みは重要です。

4. リスクの分析

プライバシーリスクをモデル化して評価できるツールを使い、複数の部門、地域、事業にわたるリスクレベルを分析します。リスクを自動的にスコアリングできるフレームワークを活用すれば、機密データの構成条件となる一連の基準をもとに、データ資産にスコアを割り当て、データの機密性を詳細に把握することが可能となります。さらに、この結果をもとにデータの優先度を決定し、複数のビジネスプロセスや異なる地域、部門間でデータをマッピングして、潜在的なリスクを把握し、改善措置を計画します。

5. データの保護と対策

アクセス制御とセキュリティを管理するためのメカニズム(暗号化、匿名化、偽名化など)を導入して、データの使用と移動を追跡・監視します。AI駆動のインテリジェントなセキュリティ保護ツールを使えば、プライバシーポリシーをリアルタイムに適用し、データの侵害を未然に防ぐことができます。例えば、新規データと既存のデータを監視して、異常を検知すると適切な関係者(プライバシー担当チームなど)に通知します。また、不適切または不正なアクセスを行ったユーザーのアクセスパターンや行動パターンを検知し、脅威をブロックする措置を提案または実行することが可能です。

6. 測定と報告

プライバシー戦略と運用方法にもとづいて、コンプライアンスとリスクの指標を継続的に追跡管理します。プライバシー/セキュリティ担当者が、リスクと脅威を明確に把握して、自社のポリシーとガイドラインを一貫して適用できるような統合ビューを構築して、変更管理を簡素化します。また、ダッシュボードを活用すれば、部門間のコラボレーションを促進し、データの責任の所在を明らかにすることが可能です。

まとめ

データプライバシーを確保することは、途方もない作業のように思えるかもしれません。しかし、本記事で紹介した6つの手順を使えば、全体像を把握しながら、段階的なアプローチで小規模に開始し、迅速に拡張していくことが可能です。AIなどの新しいテクノロジーを活用しながら、膨大なタスクを自動化し、異なる部門間のコラボレーションとデータの透明性を継続的に改善できることが、絶えず変化するデータプライバシー環境に対応するために必要な能力です。

本記事は、電子ブック「データプライバシーの新たなパラダイム~アジャイルなアプローチでリスクを回避、顧客の信頼を得る」の要約です。全文は、こちらからダウンロードしてご覧ください。