企業のデータポリシーに関するかぎり、行動は言葉よりも雄弁だ。

　世間の耳目を集めたデータ流出事件の数々は、厳しい規制が課せられている金融機関でさえも、個人データのセキュリティ保護については万全でないことを示している。専門家によると、データ管理という考え方を企業文化に織り込む必要があるが、多くの企業ではまだそれができていないという。

　ガートナーの調査担当副社長、リッチ・モーガル氏は、「データの管理は業務慣行の一部にならなければならない」と指摘する。

　米カードシステムズでは、数千万件の顧客情報の流出を招いた大規模な不正侵入事件があった。同社によると、これらの情報はずっと以前に削除しておくべきものだったという。最近起きたバンク・オブ・アメリカのデータ流出事件では、暗号化されていないバックアップテープが紛失した。このテープには120万人の顧客の個人データが含まれていたことを同社は認めている。また、レキシスネキシスのデータ流出事件は単なる不正行為によるものであったようだが、果たして同社は自分のデータを盗まれた顧客に対して納得のいく説明ができるのだろうか。

　これらのケースは、この1年間で報じられた60件余りの不正侵入事件の一部にすぎない。こういった現状に対処するため、秘匿性が求められる情報を扱う方法をより厳しく規制するための新しい法律が提案されている。

　「ほとんどの企業では、個人情報の扱い方を変更する必要に迫られるだろう」とモーガル氏は話す。この問題が非常に重要であると考える同氏は、経営幹部も含めた取り組みを進めるとともに、CEOと取締役が社内データポリシーを支持することが必要だと指摘する。

　この取り組みにCEOを参加させるのは、それほど難しくないようだ。しかし、あるCIOによると、新しいデータポリシーを従業員に守らせるのには苦労したという。

　ジョージア州ノークロスに本社を置く金融サービスプロバイダー、チェックフリーのソフトウェア部門で情報基盤担当副社長兼CIOを務めるケビン・マクディアリス氏は、「最も苦労したのは、技術を配備することではなく、企業文化を変更することだった」と話す。

　同社が複数年プロジェクトとして進めているデータ管理構想を統括するマクディアリス氏によると、このプロジェクトには、時間と技術、そして組織的改革が必要だったという。チェックフリーでは現在、同社のデータポリシーの作成、適用および定期的検証のためのプロセスが確立しており、データ管理は社内構想として周知徹底が図られている。

　こういった努力の結果、チェックフリーは、データウェアハウジング協会の「2005 Leadership Award」を受賞した。同社が模範的なデータ管理を実践していることが評価されたのである。長期間にわたって進められたプロジェクトに対する褒美としては、ささやかなものだったかもしれない。

経費節減効果も

　チェックフリーのITグループは当初、さまざまなシステムに格納されたすべてのデータを定義付けるという方法を試みたが、これはあまりうまくいかなかった。「これによって得られたのは、誰も読もうとしない膨大なWordドキュメントだった」とマクディアリス氏は振り返る。

　このため同社は3年前、異なるアプローチを試した。このときはビジネスルールとプロセスに注目した、とマクディアリス氏は説明する。ITチームは、何百種類にも上るチェックフリーのビジネスプロセスを評価し、それぞれのプロセスについて「消費されるデータと生成されるデータ」を特定した。また、数百項目に上るデータ品質指標を定義するとともに、データリポジトリのデータ定義を文書化した。さらにチェックフリーは、データの扱いやセキュリティについて定めた数百項目に及ぶデータポリシーも策定した。

　実際のポリシーの多くは、同社の法律顧問が直接作成した。同顧問は、米国サーベンス・オクスリー法などに示されている健全な企業ポリシーや法的要件に照らし合わせて、データのタイプおよびビジネスルールの評価を行ったという。

　チェックフリーでは複数の金融機関のデータを扱っているため、データのプライバシーの維持はとりわけ重要な課題である。マクディアリス氏によると、同社では金融機関のデータをほかの金融機関と共有しないというポリシーを定めているという。データの保管やアーカイビングに関するポリシー、さまざまなタイプのデータに対する暗号化レベルのほか、データの送信方法に関するポリシーもある。特に注目されるのが、チェックフリーのデータベースに含まれるデータに対して最終的な責任説明を持つのは誰かということがシステムに記述されていることだ。データを「所有する」ITスタッフや開発者ではなく、ビジネスプロセスを所有するスタッフがデータの品質とセキュリティに対して説明責任を負う、とマクディアリス氏は説明する。

　チェックフリーの新システムでは、カリフォルニア州レッドウッドシティを本社とするインフォマティカの「PowerCenter」アプリケーションに含まれる「MetaData Manager」というツールを利用してデータ定義を文書化および管理している。リンクされた社内のWebリソースには、同社のビジネスプロセス、データのタイプおよびその所有者がすべて記載されている。年に一度、データポリシーの見直しと更新が行われるが、システムの柔軟性が高いため、プロセスやポリシーを追加・変更するのは簡単だ、とマクディアリス氏は話す。メタデータリポジトリを利用することにより、監査に際しても「簡単かつ迅速」に対応することができ、監査人もこのシステムの使いやすさを高く評価しているという。特筆に値するのは、従業員がポリシーを守っているという確信をマクディアリス氏が抱いていることだ。

　「トレーニングプログラムや社内での宣伝キャンペーンも、従業員がデータ管理プロセスにおける自分の役割を理解するのに役立った」とマクディアリス氏は説明する。現在では、データ管理構想および社内データポリシーを記載したパンフレットと説明書が新入社員に渡されるようになっているという。

　マクディアリス氏によると、チェックフリーのプロジェクトの効果は、従業員のコンプライアンス（法令遵守）や監査の合格といったことだけにとどまらないという。データ管理プロセスが改善されたことにより、従業員がデータに関する問題を解決するのに費やす時間が削減され、同社ではこれにより年間30万ドルの経費節減を見込んでいる。

（この記事は2005年11月30日に掲載されたものを翻訳しました。）