GDPRコンプライアンスへの鍵を握る暗号化

　一部の専門家は、見落とされがちだが、企業のGDPR対策と準拠に重要な役割を担う要素に暗号化を挙げる。

　「暗号化は、切り札になり得る」と語るのは、カリフォルニア州キャンベルに本社を置くクラウドセキュリティ企業Skyhigh NetworksでEMEA担当マーケティングディレクターを務めるナイジェル・ホーソーン氏だ。同氏は、2つの根拠を挙げた。まず、暗号化の導入が、データ損失リスクの軽減を目的とした明らかな投資であること。この根底にあるのは、GDPR対策が遅れた揚げ句、高額な罰金を支払うくらいなら、その分のお金で最初から対策を講じておくべき、という考え方だ。もう1つは、あらかじめデータを暗号化しておけば、漏えいした際も、データ主体（当該のデータが属する個人）に対する通知要件が緩和される（注1を参照）ことだ。

　GDPRは、企業に対して、自社システムやITツールにデータ保護機能をあらかじめ組み込むよう求めている。ホーソーン氏は、「社内で利用するソフトウェアの担当エンジニアは、新たなアプリケーションやシステムを設計する際、最初からデータ保護を念頭に置く必要がある。たとえ開発チームが常に業務の迅速な遂行を心掛けていても、データ保護を無視することはできない」

　カリフォルニア州サンタクララを拠点とし、クラウド向け暗号化ソリューションを提供するBaffleのCEOアミーシュ・ディバチア氏は、「企業にとっては、アプリケーション層で頻繁に使われるデータの暗号化方法を見つけることが最初の一歩になる。その次のステップは、データベースやネットワーク、ストレージの各管理者が機密データや暗号化キーにアクセスする機会を最小限に減らすか、完全に排除することだ。データベースのパフォーマンスを複雑化、悪化させることなく、暗号化データのみで全てのデータベースクエリを実行できれば、それは可能だ」と語る。

GDPRコンプライアンスの要、データ保護

　Commvaultのマグラス氏は、企業がGDPRの罰則を避けるためには、扱う個人データを、あくまで業務や法的手続きに不可欠な範囲に留める必要があると話す。

　「最善の方法としては、個人データのインスタンスを特定した上で、データを削除または暗号化し、完全な監視下にある安全な場所に移動するアーカイブポリシーの採用を企業に勧めている。」と、同氏は語る。

　「GDPR対策には社員の教育も役立つものの、鍵となるのは自動化だ。クラウドとSaaS（Software as a Service）アプリケーションパートナーの導入が急速に進んだことで、企業データは広範囲に分散しがちで、正確な範囲のデータ保護は必須だ」（マグラス氏）

　データのトレーサビリティー確保は、GDPRコンプライアンスに不可欠になるだろう。

　ニューヨークに本社を構えるデータサイエンスソフトウェア企業DataikuのCEOフロリアン・デュアトウ氏は、「セキュリティ担当者は、企業内のデータワークフロー全体に完全なデータトレーサビリティーを確保すべきだ。顧客データを操作する場合は、データの各列に取り扱いの注意を促すタグを付ける必要がある。企業は、データが未加工か、匿名化されているか、集計されているかによって、データ要素に伴うリスクを評価するべきだ。これを実現するには、データを変換する各パイプラインで、こうしたリスクに関するメタデータを転送し、保持しなければならない」

　ブライアン・ベッチ氏は、ニューヨークに拠点を置くインサイダー対策ソリューションベンダーVaronisでテクニカルエバンジェリストを務める。同氏は、GDPRの対象となるデータを保護するための必要要件のみに目を向けるのではなく、企業はもっと広い視野で考える必要があると語る。

　「GDPRによって、企業はEU居住者の個人データという特定のデータセットの保護に重点を置くことになる。これは出発点としては適切だが、データ環境全体に及ぶ問題が発生した状況では、特定の小規模なデータに集中するのは危険だ。最近起きたWannaCryの大規模感染からも分かるように、攻撃や脅威にさらされた際、大規模な損害をもたらす恐れがあるのは機密ファイルだけではない。企業のあらゆるファイルが、同様のリスクをはらんでいる。GDPRは、常識的なデータセキュリティの多くを法制化した。だが、個人データがあらゆる種類のファイルについて回る以上、GDPRの対象外となるデータにも、同程度の保護が必要になるだろう」（ベッチ氏）

　カリフォルニア州サニーベールに拠点を置くクラウド向けデータセキュリティ企業のDruvaで、最高信用責任者を務めるドリュー・ニールセン氏も、企業があらゆるデータを追跡する必要があると話す。

　「GDPRには、最も見過ごされ、全く注目されていない側面がある。それは、企業に攻撃の対象になり得るデータの範囲を把握するよう促したことだ。GDPRの要はデータ保護なので、企業は構造化データと非構造化データの保存先を抜かりなく管理しなければならない。こうした保存先には、エンドポイントやサーバ、SaaSベースのクラウドアプリケーション、データベースなどが含まれる。それができなければ、GDPRを順守できる可能性はほぼゼロに等しい」（ニールセン氏）