GDPR順守のステップ

　GDPR順守の最初のステップは、クラウド環境のGDPRに対するリスク評価だ。これは規制の厳しい業界に属する企業のIT部門にとっては、目新しいことではない。だが、それ以外の企業、特に大手ベンダーのクラウドを使って構築し、急速にグローバルな顧客基盤を築いている新興のPaaS（Platform as a Service）ベンダーやSaaS（Software as a Service）ベンダーは、こうしたリスク評価に慣れていない可能性がある。

　「このようなスタートアップ（創業間もない企業）は開拓者で、野放し状態だ。非常に動きが早く、ほとんど統制されていない。そのため、やや無謀とも思われる環境になっている」。コンサルティング企業Bridgepoint Consultingで、テクノロジーコンサルティング部門のシニアリーダーを務めるマイケル・ジョンソン氏は、こう語る。

　GDPR順守には、体系的な統制だけでなく、サイバーセキュリティが企業内部で不可欠な戦略であることを理解する上層部の姿勢も必要だ。企業は、特権や管理者アクセス権の制限など、簡単にできることから着手する必要がある。

　「メールやスプレッドシートを利用する従来の手法ではなく、スケーラブルで再利用でき、追跡可能な手法を導入して、企業の全体的なリスクに対するグローバルな視点を持つべきだ」。そう話すのは、Microsoft製品のマネージドサービスプロバイダーAvePointで、リスクやプライバシー、情報セキュリティ部門の最高責任者を務めるダナ・シンバーコフ氏だ。

　企業は自社が所有するデータに対する認識が欠如しているため、データ侵害の迅速かつ完全な把握に苦労することがある。規制当局による監査記録の調査に備えるには、リソースのタグ付けが不可欠になるとシンバーコフ氏は言う。このような統制が整っていないと、例えばGDPRが求める「忘れられる権利」（自分に関するデータを消去させる権利）を保証することは難しくなると同氏は補足する。

　データの消去は簡単だと考える人も少なくないだろう。実際にはバックアップシステムや開発システム、テストシステムなど、消去すべきデータは至るところにあるので、完全な消去は難しい。「大半の企業は、消去すべきデータがどこにあるかさえ認識していない」（シンバーコフ氏）

　ほとんどの企業は一連の統制を適切に実施しているが、適切な監査に必要な証拠に欠ける。技術的にも文化的にも、この欠点を克服するには数年かかる可能性がある。これはGDPR対策が十分ではない企業にとって良い兆候ではないが、それほど悲観的になる必要もない。十分に対策できていない企業がほとんどだからだ。「重要なのは欠けている部分を把握し、その是正措置を提示できるようにすること」だとジョンソン氏は語る。