過去 10 年間にわたり、ケンブリッジ アナリティカのスキャンダルに端を発した #DeleteFacebook トレンドなどのプライバシー侵害に対する世間の反応は増大しており、財務、顧客、評判に影響を及ぼす可能性があります。アメリカの億万長者、投資家、慈善家であるウォーレン・バフェット氏は、「評判を築くのに20年かかり、それを台無しにするのに5分かかる。それを考えてみれば、物事のやり方が変わるだろう。」と述べています。
組織がデータ プライバシー要件とデータ セキュリティ プログラムとの関係を理解しようとするにつれ、最高情報セキュリティ責任者 (CISO) と最高プライバシー責任者 (CPO) の協力を通じてこれらの活動を統合することについて疑問が生じています。これら 2 つの役割には、組織のデータを保護するという共通の目標があります。しかし、両者の焦点は異なります。CISO はすべての情報資産を保護する責任があり、CPO は組織のデータ主体 (顧客、従業員など) の利益を保護する責任があります。ただし、たとえば、サードパーティのアプリケーションを使用して顧客データに関係する情報侵害に対応する場合などには、連携することができます。このような場合、両方の役割が連携してインシデントを管理し、影響を受けるグループとコミュニケーションをとり、インシデント後のレビュー会議に参加してサードパーティ ベンダーの管理計画の改善点を特定する必要があります。
データ セキュリティとデータ プライバシーという用語は、多くの場合同じ意味で使用されますが、同じではありません。これらはすべて独自のアプリケーションを備えており、情報資産の保護と制御において重要な役割を果たします。企業は、データ プライバシーとデータ セキュリティの違い、この区別が重要である理由、および個人情報の保護などの目的で両方の概念を統合的に管理する方法を理解する必要があります。
一般的に、データプライバシーとは、個人の名前、所在地、連絡先情報、オンラインまたは現実世界での行動などの個人情報が、いつ、どのように、どの程度まで共有または伝達されるかを自分自身で決定できる能力を指します。その他。プライベートな会話から他人を排除したいと思う人がいるのと同じように、多くのオンライン ユーザーは、特定の種類の個人データの収集を制御またはブロックしたいと考えています。データ プライバシーを強制するには、ポリシーと手順が規制 (EU 一般データ保護規則 [GDPR] など) に準拠し、個人を特定できる情報 (PII) の収集、使用、共有、保管、削除が次の規則に従って制御および管理されることを保証する必要があります。データ主体の好み。
一方、データセキュリティは、さまざまな予防、検出、修正制御を通じて、個人情報を含むすべての情報資産を不正アクセス、不正使用、サイバー攻撃などのさまざまな脅威から保護します。全体として、機密性、完全性、可用性 (CIA) の 3 つを確保しようとします。
図 1 に示すように、プライバシーとセキュリティには相互関連の関係があります。プライバシーは個人情報がどのように使用および管理されるかを定義します。一方、セキュリティは潜在的な脅威から情報を保護するための制御を実装することです。この関係の簡単な例は、窓がセキュリティ制御であり、カーテンがプライバシーのために住宅所有者の裁量に委ねられている家です。
別の例としては、人がスマートフォンに新しいアプリケーション (アプリ) をダウンロードする場合、それを使用するにはプライバシー ポリシーに同意する必要があります。プライバシー ポリシーには、どのような情報が収集され、どのように使用されるかが詳しく記載されています。アプリの潜在的なユーザーは、これらの条件に同意するかどうかを決定する必要があります。セキュリティの面では、アプリはさまざまなセキュリティ制御を通じてユーザーの身元とデータを保護し、不正アクセスや潜在的な情報漏洩を防ぐように設計されています。
前述したように、データ セキュリティとデータ プライバシーは 2 つの異なる用語ですが、相互に関連しており、これはこれらの機能分野を担当するリーダーの立場にも当てはまります。CISO と CPO の役割を比較すると、学歴（例：IT 対法務/コンプライアンス）、責任（例：セキュリティ運用対プライバシー影響評価）、報告体制（例：CIO 対法律顧問）の点で違いがあります。 . 主な違い。ただし、どちらの役割も組織のデータを保護する責任があるため、コラボレーションを通じて次のような相乗効果が実現できる可能性があります。
組織のデータ保護の意識向上とセキュリティ意識の文化を生み出すためのトレーニングの取り組みをサポートします。
それぞれの事業部門内でどのようなデータがどのような目的で収集されるかについて、情報を相互に共有します。
プライバシー影響評価の取り組みをサポートするために、情報セキュリティのベスト プラクティスについてプライバシー チームをトレーニングする
プライバシー要件を満たす情報セキュリティ ロードマップを作成するための共同計画セッションを主催する