• 暗号化
• 多要素認証
• ブラックリストによるアプリケーション制御
• ユーザー別のセキュリティポリシー適用
• 違反行為を通知するアラート

　特にモバイルデバイスに対してIT部門が利用できる機能としては、次のようなものがある。

• 退職した従業員の情報を削除するリモートワイプ
• 個人情報と業務情報を切り離し、IT部門が本当に必要なPIIだけにアクセスできるようにするためのコンテナ
• 違反行為を予防するための脅威対策

　フリートマン氏によると、MobileMindzはモバイルアプリケーション管理（MAM）にApperianの同名MAM製品を利用している。従業員が個人データ処理に使用するアプリケーションのセキュリティを確保するために、Apperianの企業内アプリケーションストア機能を採用したという。

　EMM製品などのエンドポイント管理製品に欠落しているのが、企業がどのような個人データを保有しているのかを明確かつ効率的に記録、報告、監査するための機能だという。顧客企業および自社がGDPRを順守するための準備を進めているMobileMindzのフリートマン氏は「これは重要な課題だ」と説明する。「EMMベンダーにとっては大きなチャンスだ。彼らは顧客の問題の多くを解決できる可能性がある」（同氏）

カギはドキュメント化

　GDPR順守のためにエンドポイント管理者が大きく改革しなければならないのは、ガバナンスとデータのインベントリ（保管記録）だ。これらには明確なプロセスと役割に基づく情報管理が求められる。GDPRの順守に当たっては、個人データを収集する組織は、保有するデータの内容、その所有者、入手手段、保有目的、使用目的の明確化が必要になる。

　調査会社451 Researchの調査ディレクターを務めるクリス・マーシュ氏は、全てのデータに関する情報を明確にドキュメント化することが最も重要になると説明する。そうすることで「調査が入った場合でも『データの収集目的はこれで、データはこのように使用している』とはっきり答えられる」（マーシュ氏）という。

　VMwareの広報担当者によると、同社は2017年、EMM製品やシングルサインオン（SSO）製品などを組み合わせたデジタルワークスペース製品群「VMware Workspace ONE」のデータレポーティング機能の改善を進めてきたという。同社がイベント「VMworld」で発表したユーザーエクスペリエンス（UX）分析サービス「VMware Workspace ONE Intelligence」は、社内データの詳細な把握や、過去および将来のビッグデータに基づいたレポート作成を可能にする。IT部門がGDPR順守に必要な情報をまとめるのに役立ちそうだ。同社広報担当者によると、VMware Workspace ONE Intelligenceのリリースは2018年5月のGDPR施行前になる。

　企業は、誰がどのようなデータへアクセスでき、それをどのように使えるかを示したセキュリティ／コンプライアンスポリシーを明確にドキュメント化することも必要だ。

• 人事担当マネジャーは従業員の銀行口座情報を見ることができるのかどうか
• IT管理者は従業員のモバイルデバイスからGPS（全地球測位システム）で位置を確認してもよいかどうか
• 顧客情報を扱う営業担当者は、業務用アプリケーションから個人用アプリケーションへデータを移動できるのかどうか

といったことを明確にする必要がある。

　今はデータが分散化した時代だ。企業はこうしたデータがもたらす影響について「もう少し早く考えておくべきだった」とフリートマン氏は語る。

GDPRの実体

　EUの現行法である「データ保護指令」（EU Directive 95/46/EC）と比べて、GDPRは企業が「どのようなデータ」を「どのような目的」で保有しているかを明記する要件を厳格化している。「同意」の定義も厳格化しており、企業が個人データを扱う際には、個人の理解と自由意志に基づく具体的かつ明確な同意を得なければならないと規定している。

　GDPRが複雑なのは「個人データ」の範囲が広いためだ。EUにおける個人データの範囲は、米国におけるPIIの定義よりもはるかに広く、生体データや政治的意見、健康情報、性的指向、労働組合への加盟状況なども含む。「EUの見解によると、こうした情報は特に個人の差別に悪用されやすい」と話すのは、国際法律事務所Dentonsの弁護士タティアナ・クルーズ氏だ。

　EUでプライバシー保護に関連する共通の解釈やガイドラインの検討・作成などを担う「第29条作業部会」（GDPR施行に伴い「欧州データ保護会議」に改組）は、GDPR順守のためのガイドラインを整備している。公表済みのガイドラインの中には、例えばデータ保護責任者（DPO）を扱ったものがある。企業によってはDPOを置き、違反事例を当局に報告しなければならない。

　ITシステムの構築およびアプリケーション開発の時点で、データのプライバシーを考慮しなければならない可能性もある。これにはデータを特定の個人に結び付けないようにする「仮名化」などの技術を利用する。こうした手法は「プライバシーバイデザイン」と呼ばれる。

　GDPRの要件は、IT部門が実施しなければならない具体的なセキュリティ対策を多く含んでいるわけではない。「規制当局が訴訟で企業のコンプライアンスを調査する段階で、この規則の実体が見えてくるだろう」と指摘するのは、プライバシー保護団体Center for Democracy and Technologyでプライバシー＆データプロジェクトを担当する、政策弁護士のジョセフ・ジェローム氏だ。

　「あらゆる企業が個人データのインベントリを作成し、広範な分類をする必要がある。これをドキュメント化しておくことが望ましい。GDPRによって膨大な量のドキュメントが必要になるだろう」とジェローム氏は語る。