GDPRに求められるシステム面でのセキュリティ対策

　ここから先は、GDPRにおける一般的なセキュリティ確保のためのシステム対応について考えていきます。システム的なセキュリティ対策に関連する、GDPRの条文を見ていきましょう（条文はJIPDEC：日本情報経済社会推進協会のGDPR仮日本語訳を参考に整理しました）。

* 第5条（個人データの処理に関する原則）1項（f）

個人データのセキュリティを確保する手段として、無権限または違法な処理、偶発的な損失、破壊、損壊に対して技術的もしくは組織的に対策を取る（完全性と機密性）。

* 第32条（処理の保護）1項

（略）管理者および処理者は、保護レベルをリスクに見合ったものにするため、適切な技術的および組織的対策を実施しなければならない。必要に応じて特に次に掲げる事項を含むものとする。

（a）個人データの仮名化および暗号化

（b）現行の機密性、完全性、可用性ならびに処理システムおよびサービスの復旧を確実にする能力

（c）物理的または技術的事故の場合に時宜を得た方法で可用性を復旧し、個人データにアクセスする能力

（d）処理の安全を確実にするため、技術的および組織的対策の効果を定期的に点検、審査および評価するプロセス

　これらの条文を読んでいくと、個人データに関するセキュリティについては「機密性」「完全性」「可用性」といった情報セキュリティの3大要件を意識して、アクセス制限やデータの保護、復旧性の確保などを維持していくことが求められていると考えられます。この点は、これまで個人情報保護などのセキュリティ対策と大きく異なりません。

　GDPRへの個別の対策として、具体的に何をすればよいのでしょうか。実は条文には明確には記載されていないため、企業などの組織（以下、企業など）にとって、どのような対策をどこまで取ればよいのか悩ましいのが現状です。

　EUの現行法である「データ保護指令」（EU Directive 95/46/EC）は、第17条で「管理者は適切な技術的および組織的な措置を実施しなければならない」と規定しています。同指令は各EU加盟国における立法措置において、これらの措置を取ることが必要だと規定しており、具体的な運用は各国が担っています。

　データ保護指令に関するEU各国での運用の現状を確認するには、各国のガイドラインが役立ちます。英国の情報コミッショナーオフィス（ICO）とフランスの情報処理・自由全国委員会（CNIL）の両データ保護機関は、個人データのセキュリティに関するガイドラインを公開しています。これらの内容はデータ保護指令に基づくものですが、GDPR準拠に当たっても参考になります。

　CNILのガイドラインには、最後にアセスメント用のチェックリストが付いています。その項目は以下の通りです（日本語訳は著者による）。これらのガイドラインに記載されている事項が、GDPRにおいてもシステムのセキュリティとして検討すべき対策になると考えられます。

1. リスク管理（Managing risks）
2. ユーザー認証（Authenticating users）
3. 認証の管理と意識の向上（Authorisation management and awareness-raising）
4. 端末のセキュリティ（Securing workstations）
5. モバイル機器や可搬媒体でのデータ処理のセキュリティ（Securing mobile data processing）
6. バックアップと事業継続管理（Backup and business continuity management）
7. 監視（Supervising maintenance）
8. 証跡とインシデントの管理（Tracing accesses and managing Incidents）
9. 施設のセキュリティ（Securing the premises）
10. LANのセキュリティ（Securing the internal IT network）
11. サーバとアプリケーションのセキュリティ（Securing servers and applications）
12. 委託先管理（Managing subcontractors）
13. 保管（Archiving）
14. 他組織とのデータ授受のセキュリティ（Securing exchanges with other organisations）

　ここまで、GDPRで制裁金を科されないためのシステム対応について、以下の2点についてどのような要素が該当するのかを確認してきました。

• プライバシー保護に関する要件に順守するためのシステム対応
• セキュリティリスク低減のためのシステム対応

　次回はそれぞれの事項について、どのような策を実施すればよいのかを考えていきます。