リスク管理の責任者だけど……

新しいCレベル役員、「CIRO」は本当に必要？（2/2 ページ）

公開 2015年08月18日 15時00分

[TechTarget]

印刷する

最高プライバシー責任者（CPO）との協力体制

　米連邦法「E-Government Act of 2002（2002年電子政府法）」は情報システムに含まれる個人情報の保護を目的に、連邦政府の情報システム全般に対し、プライバシー影響評価（PIA）の実施を義務付けている。またGLBA法（グラムリーチブライリー法）やHIPAA法（医療保険の相互運用性と説明責任に関する法律）、HITECH法（経済的および臨床的健全性のための医療情報技術に関する法律）、SOX法（サーベンスオクスリー法）といった法律では、電子的に保護された医療情報、個人を特定できる情報（PII）、金融データなどのセキュリティとプライバシーを保護するための一連の規制が設けられている。PIAは、以下の目的で最高プライバシー責任者（CPO）が実施する。

法律や規制および契約書からプライバシー関連の法的要件を特定し、理解する
個人データがその法的要件に応じて正しく管理されているかをチェックする
適用されるプライバシー法と規制を確実にカバーしているか、会社のプライバシーポリシーを確認する
適切なセキュリティ対策が全社的に導入・実装されているかを検証する

　CISOには、CPOと協力し、社内データを保護するための適切なセキュリティコントロールを実施する責任がある。プライバシーとセキュリティの取り組みを緊密に連係させれば、資産保全の企業文化を強化し、バランスの取れたセキュリティを確立できる。リスクとテクノロジーとセキュリティに精通したCIROを確保するより、CISOとCPOとの協力体制を築き、バランスの取れた情報セキュリティを推進する方が、恐らく容易ではないだろうか。

本稿筆者のミゲル（マイク）O．ビリエガス氏は、電子決済システムのセキュリティに関する技術コンサルティング企業、米K3DESの副社長。過去には大手オンライン小売業者のCISO、大手コンサルティングファームのパートナー、大手商業銀行のITリスク管理担当副社長およびIT監査責任者を務めた。情報セキュリティプロフェッショナルを擁する会社を30年にわたり経営している。