コンプライアンスとガバナンス
コンプライアンスとガバナンスは、組織が 法的・規制上の要件およびセキュリティのベストプラクティスの範囲内で運営されることを保証するためのフレームワークを確立します。
GRC とは？
Governance, Risk, and Compliance (GRC) とは、 ガバナンス、リスク管理、規制コンプライアンスを管理するための統合的なアプローチです。
LGPD - 一般データ保護法
基本原則
- 目的、適合性、必要性
- 自由なアクセスと透明性
- セキュリティと予防
- 非差別
- 説明責任と報告
法的根拠
- データ主体の同意
- 法的義務の遵守
- 契約の履行
- 正当な利益
- 生命または身体の安全の保護
データ主体の権利
- データの存在確認とアクセス
- 不完全または不正確なデータの訂正
- 匿名化、ブロック、または削除
- データポータビリティ
- 同意の撤回
GDPR - General Data Protection Regulation
域外適用
GDPR は以下の組織に適用されます：
- EU 居住者のデータを処理する
- EU 域内の行動を監視する
- EU で商品・サービスを提供する
罰則
- Tier 1：最大 €10M または年間グローバル収益の 2%
- Tier 2：最大 €20M または年間グローバル収益の 4%
ISO 27001
情報セキュリティマネジメントシステム（ISMS）の国際規格。
構造
- 箇条 4-10： ISMS の要求事項
- 附属書 A： 4 つのカテゴリに整理された 93 の管理策
管理策のカテゴリ
- Organizational（37 の管理策）
- People（8 の管理策）
- Physical（14 の管理策）
- Technological（34 の管理策）
PDCA サイクル
- Plan： ISMS を確立する
- Do： 導入し運用する
- Check： 監視しレビューする
- Act： 維持し改善する
SOC 2
service organizations におけるサービス管理策について報告するためのフレームワーク。
Trust Service Criteria
- Security： 不正アクセスからの保護
- Availability： コミットされたとおりに利用可能なシステム
- Processing Integrity： 完全かつ正確な処理
- Confidentiality： 機密情報の保護
- Privacy： 個人情報がコミットメントに従って収集、使用、保持される
Type I vs Type II
- Type I： ある時点における管理策の設計
- Type II： 一定期間にわたる運用上の有効性（通常 6-12 か月）
PCI-DSS
カードを処理する組織向けの Payment Card Industry Data Security Standard。
12 の要件
- firewall configuration を導入し維持する
- パスワードに vendor のデフォルト値を使用しない
- 保存された cardholder データを保護する
- cardholder データの伝送を暗号化する
- システムを malware から保護する
- セキュアなシステムを開発し維持する
- business need-to-know に基づきデータへのアクセスを制限する
- コンポーネントへのアクセスを識別し認証する
- cardholder データへの物理的アクセスを制限する
- ネットワークリソースへのアクセスを追跡し監視する
- システムとプロセスを定期的にテストする
- 情報セキュリティポリシーを維持する
NIST Cybersecurity Framework
標準、ガイドライン、プラクティスで構成される任意のフレームワーク。
5 つの Core 機能
- Identify： 組織的な理解を深める
- Protect： 保護対策を策定し導入する
- Detect： 検知活動を策定し導入する
- Respond： 対応活動を策定し導入する
- Recover： 復旧計画を策定し導入する
CIS Controls
cyber defense のための、優先順位付けされ実行可能な 18 の管理策。
Implementation Groups
- IG1： 小規模組織、限られたリソース
- IG2： 中規模組織、より多くのリソース
- IG3： 大規模組織、専任の専門家
リスク管理
プロセス
- 識別： 資産と脅威を目録化する
- 分析： 発生可能性と影響を評価する
- 評価： リスクの優先順位を付ける
- 対応： 受容、軽減、移転、または回避する
- 監視： 継続的にレビューする
方法論
- ISO 31000 - Risk Management
- NIST 800-30 - Risk Assessment
- FAIR (Factor Analysis of Information Risk)
監査とアセスメント
種類
- Internal Audit： 組織自身が実施する
- External Audit： 独立した第三者
- Certification Audit： 認証のため（ISO 27001）
- Compliance Audit： 規制への準拠を検証する
GRC プラットフォーム
- ServiceNow GRC： ITSM と統合
- RSA Archer： Enterprise GRC platform
- MetricStream： GRC と risk management
- LogicGate： Risk Cloud platform
- Vanta/Drata： Automated compliance (SOC 2, ISO)
ベストプラクティス
- コンプライアンスを組織文化に統合する
- 証跡収集を自動化する
- 適用される要件の一覧を維持する
- gap assessments を定期的に実施する
- 要件についてチームをトレーニングする
- ポリシーと手順を文書化する
- 必要に応じて補完的管理策を導入する
- 規制当局とのコミュニケーションを維持する
コンプライアンスは単なる checkbox exercise ではなく、 セキュリティ態勢を改善する機会です。フレームワークと規制は、堅牢な管理策を 導入するための実証済みのロードマップを提供します。組織はコンプライアンスを セキュリティプラクティスの上限ではなく、ベースラインとして捉えるべきです。