6．バックアップと事業継続管理（Backup and business continuity management）

　バックアップや事業継続管理（災害時の事業継続を可能にする対策）としては、以下のような取り組みが挙げられます。バックアップを適切に取得、保管できる製品の導入が有力な選択肢となります。

• 定期的なバックアップの取得
• バックアップ媒体のセキュアな移送と保管
• 事業継続計画の策定および定期的なテストの実施

7．監視（Supervising maintenance）

　システム運用の監視については、運用記録を残したり、システムやPC、記録媒体を廃棄する際にデータを消去したりすることが有効です。後述の「証跡とインシデントの管理」と関連して、システムへのアクセスを監視し、不正なアクセスが発生した場合に通知をすることなどが重要です。

8．証跡とインシデントの管理（Tracing accesses and managing incidents）

　インシデント発生時の証跡やインシデントそのものを管理するには、システムのログを収集できるようにすること、ログファイルを改ざんから保護することなどが大切です。前述の「監視」と同様、統合ログ管理やログ監視の導入が有力な選択肢となります。

9．施設のセキュリティ（Securing the premises）

　施設のセキュリティ対策は、オフィスやデータセンターへの入退室管理といった物理セキュリティ対策がメインになります。入退室管理の主要な手段としては、以下が考えられます。

• 生体認証やICカードによる入退室の認証と記録
• 防犯カメラなどによる入退室の監視
• セキュリティゲート（認証機能付きのゲート）による共連れ入室の制限

10．LANのセキュリティ（Securing the internal IT network）

　社内LANを保護するためのセキュリティ対策としては、インターネットへ接続できるネットワークセグメントと、個人データを取り扱うネットワークセグメントを分離する「ネットワーク分離」の採用が挙げられます。オフィス内で使用する無線LANのセキュリティを確保することも重要です。社外から社内LANへのアクセス時には、VPN（仮想プライベートネットワーク）接続を必須とするといったポリシーの策定も有効です。

11．サーバとアプリケーションのセキュリティ（Securing servers and applications）

　サーバのセキュリティを確保するには、サーバ管理者のID／パスワードについて「複雑性を確保する」「共有をしない」といったポリシーを策定すべきです。サーバ管理者IDを共有せざるを得ない場合は、一時的な貸し出しの仕組みを構築するなどして、誰が利用したのかを把握できるようにすることが大切です。サーバ管理者の権限管理手段としては「特権ID管理」などのセキュリティ製品がありますので、そうした製品の利用も有力な選択肢となります。

　アプリケーションのセキュリティ対策については、パッチの重要性を評価し、適切なタイミングで適用するためのルールや手順を整備すべきです。可用性を確保するために冗長構成を採用したり、災害対策や電源の確保をしたりすることが有効です。

12．委託先管理（Managing subcontractors）

　個人データの管理を第三者機関に委託する際は、適切に委託先を管理することが重要になります。委託契約に必要な事項を盛り込み、定期的に委託先での業務実施状況を確認すべきです。委託先との契約については、英国のデータ保護機関である情報コミッショナーオフィス（ICO）が、個人データ処理の目的と手段を決定する「管理者」と、管理者に代わって個人データを処理する「処理者」の間の契約と責任に関するガイドライン（原稿執筆時点ではドラフト版）を出していますので、そちらを参考に対応を検討するのもよいでしょう。

13．保管（Archiving）

　個人データの保管においては、セキュリティを確保するためにファイル暗号化やアクセス制御を導入し、不適切な人が個人データへアクセスできないようにすることが重要です。データの保管期限を設定し、期限切れのデータを適切に廃棄できる仕組みの導入も有効です。

14．他組織とのデータ授受のセキュリティ（Securing exchanges with other organisations）

　社外の組織とデータの授受をする際には、通信を暗号化するなどして、盗聴によるデータ漏えいを防ぐべきです。セキュリティを確保したファイル転送システムなどを使用して、データを受け取る側を厳密に認証することは、データ授受のセキュリティ確保に役立ちます。

　各項目について、考えられるシステム面での対策を検討してきました。セキュリティシステムを導入する場合、どうしても導入費用の問題が出てきます。GDPRの条文やガイドラインは、セキュリティに関しても、業務フローに関しても、システムの導入を必須だと説明しているわけではありません。そのため運用でカバーする選択肢もありますが、運用コストが増大する場合もあります。

　GDPR順守は必要ですが、過剰な投資も問題です。現状のデータ保護体制に照らし合わせて、必要な部分に対処するといった取捨選択をして、セキュリティやコンプライアンス、コスト、ビジネスの効率などのバランスを考慮しながらGDPR対策を進めていきましょう。