セキュリティの法規制と枠組み
Security Legislation and Frameworks
この記事のポイント① NISTサイバーセキュリティ・フレームワークNIST Cybersecurity Framework は6つの機能で整理する
② 個人の医療情報は HIPAAHealth Insurance Portability and Accountability Act、EUの個人データは GDPRGeneral Data Protection Regulation
③ カード情報を扱う会社は PCI DSSPayment Card Industry Data Security Standard を守る
② 個人の医療情報は HIPAAHealth Insurance Portability and Accountability Act、EUの個人データは GDPRGeneral Data Protection Regulation
③ カード情報を扱う会社は PCI DSSPayment Card Industry Data Security Standard を守る
1NISTサイバーセキュリティ・フレームワーク
NIST Cybersecurity Framework
1
統治Govern
方針・役割・リスク管理の戦略を決める（2.0で追加）
2
識別Identify
守るべき資産とリスクを把握する
3
防御Protect
アクセス管理、教育、データの保護
4
検知Detect
異常やセキュリティの事故を見つける
5
対応Respond
事故を封じ込め、分析し、伝える
6
復旧Recover
業務とシステムを元に戻す
NISTのSP 800-53は、連邦政府のシステム向けのセキュリティとプライバシーの統制の一覧です。CIS Controlsは、優先順位をつけた具体的な対策の一覧です。
2個人情報を守る法律
Privacy laws
| 法律・基準 | 対象 | 主な内容 |
|---|---|---|
| HIPAA Health Insurance Portability and Accountability Act | 医療機関・保険会社とその委託先 | 保護された医療情報（PHI）のプライバシーとセキュリティ、漏えいの通知 |
| GDPR General Data Protection Regulation | EUの人の個人データを扱う組織（EU外も含む） | 本人の同意、削除を求める権利、漏えいは72時間以内に当局へ通知 |
| PCI DSS Payment Card Industry Data Security Standard | クレジットカード情報を扱う会社 | カードのブランドがつくる業界の基準。カード情報の暗号化、ネットワークの分離など |
3プライバシーの基本原則
Privacy principles
| 原則 | 内容 |
|---|---|
| 通知 | 何の情報を、何のために集めるかを知らせる |
| 選択と同意 | 本人が選び、同意できるようにする |
| 必要最小限 | 目的に必要な情報だけを集める |
| 利用と保管の制限 | 目的の範囲で使い、必要な期間だけ保管する |
| 本人によるアクセス | 本人が自分の情報を見て、直せるようにする |
英語で読む
Under GDPR, a personal data breach generally must be reported to the supervisory authority within 72 hours of becoming aware of it.
GDPRでは、個人データの漏えいは、気づいてから原則72時間以内に監督機関へ報告しなければならない。
4この記事の英単語
Key terms
NIST Cybersecurity Framework
NISTサイバーセキュリティ・フレームワーク
NIST SP 800-53
NIST SP 800-53
CIS Controls
CISコントロール
HIPAA
医療保険の携行性と責任に関する法律
protected health information
保護された医療情報
GDPR
EU一般データ保護規則
PCI DSS
カード業界のデータセキュリティ基準
personal data breach
個人データの漏えい
data minimization
データの最小化
consent
同意
→ 発音・例文は「USCPA英単語」ページと、単語帳『Before USCPA』で確認できます。
5確認問題
Practice questions — 本試験と同じく英語で解いてみよう
情報システムと内部統制の一般的な考え方、AICPAのTrust Services Criteria・SOC報告書、NISTなどの公開された枠組みの考え方を、本サイトが日本語でまとめたものです。英文・設例・問題は本サイトが作成したものです。