HyTrust によるGDPRサポート概要：HyTrust CloudSPF (Cloud Security Policy Framework)

投稿日: 2018年5月30日 作成者: climb
このエントリーをはてなブックマークに追加
LINEで送る

HyTrust によるGDPRサポート概要

HyTrust CloudSPF概要とGDPRへの適用性表です。HyTrust CloudSPF (Cloud Security Policy Framework)は HyTrust CloudControl、HyTrust DataControl、HyTrust CloudAdvisorの三本柱から成るソリューションです。（注）略語について：　CC＝HyTrust CloudControl、DC＝HyTrust DataControl、BC＝Boundary Control、CA＝HyTrust CloudAdvisor

EU一般データ保護規則（GDPR） ― 2016/679
条 条文見出し 項 HyTrustサポート
5 個人データの処理に関する原則を規定 CC 5-1.(f) 権限のある管理者がその権限を越えて（許可なしに）VMを制御するのを防止し、管理者の行動を監査。GDPRの規定に沿った組織（企業）ポリシーにもとづいてホストを堅牢にし、セキュリティを強化。
DC 5-1.(f) データ保管上のリスクを最小限に抑える ― デクリプションをいつ、どこで行うかを制限。キー断裁による完全データ消去を必要なときすぐに実行可能。
BC 5-1.(f) 機密データおよびVMのデクリプション可能領域（境界）を制限
CA 5-1.(f) 非構造の機密データを識別し、その用途を追跡。保護を発動。非構造ファイルにおけるデータの不慮の露出を防止。
補足検討事項 データ管理者／処理者のリスクを審査し、GDPRに則り、適切な技術的・組織的予防策を決定してリスクをなくす、あるいは減らす追加制御機能の必要性。
6 処理の適法性 DC 6-4.(e) VM全体、VM上のディスク、パーティション、ファイルベースでファイル上のOSを暗号化する手段を提供。
BC HyTrust CloudControlから適用可能。HyTrust DataControlで暗号化されたVMのデクリプション可能領域（境界）を制限。
CA 継続的な処理の中でエンクリプションをサポート。形式化されていない非構造データでも個人データを識別でき、HyTrust DataControlに必要なエンクリプションを指示。
補足検討事項 個人の承諾なしで、あるいは目的明確化の原則を超えての処理を検討するデータ管理者は、エンクリプションを継続的処理のリスク査定要素と見なす可能性あり。

 

データ管理者は、本来のデータ回収目的を超えた形でも処理の適法性を確保するために、データプライバシーのリスク軽減策として、データの匿名化などの他のオプションを検討する可能性あり。

 

第6条の主旨はレコードレベルでのデータプライバシー保護であり、典型的には、データプライバシーを機能として組み込んだアプリケーション設計によって達成される。
24 データ管理者の責任 CC 24-1. 権限のある管理者に対するガバナンス、ホストインフラのハードニングなど、データ保護のためのセキュリティ策を提供。

ホストハードニング（セキュリティ強化）のため、技術的ポリシーの継続的な確認メカニズムを提供。
DC 24-1. GDPR規制対象の保存データやOSイメージのエンクリプションにより、VMおよびVMストレージのデータを保護。
BC 24-1. GDPR規制対象の機密ワークロードが信頼性証明済みのホストでのみ稼動するよう制限。さらにデータのデクリプション可能領域（境界）を制限。それにより、ワークロードの実行とデータアクセスをサポート。
CA 24-1. ファイルの非構造データを積極的に検査し、機密データを含むファイルの存在や作成を確認、その使用法を監視して、以下のいずれかのデータセキュリティ策を発動。

·       エンクリプションによりデータを隔離

·       細分化によりVMを隔離

·       VMをトラステッド（安全確認済み）ホストに移行

·       ACL（アクセス制御リスト）アプリケーションでファイルへのアクセスを遮断
補足検討事項 データ管理者／処理者のリスクとプライバシー影響評価に関する発見にもとづいて、追加の技術的および組織的予防策を保証する可能性。
25 データ保護byデザイン・データ保護byデフォルト（設計・初期設定からデータ保護） DC 25-1.、25-2. エンクリプションにより、GDPR対象データへのアクセスを制限（アクセス可能領域・可能期間の設定）
BC 25-1.、25-2. GDPR対象データのデクリプション可能領域（ホスト、データセンター、地理的場所）を制約
CA 25-1.、25-2. GDPR対象データを含むファイルおよびファイルアクティビティを監視し、使用されていないファイルをデコミッション候補として識別。
補足検討事項 「データ保護byデザイン・byデフォルト」は、総括的な組織的ガバナンス設計への考慮事項。製品・サービスの新規設計または変更導入時に最初の段階からプライバシー・データ保護への考慮を要件とするもの。HyTrustによる保護メカニズムは、組織的制御のいくつかの面に準拠する方策と見なし得る。また、防御の徹底戦略の一要素と見なし得る可能性あり。
28 データ処理者（Processor） CC 28-1.、28-3.(h)、r-81 システム管理者のアクティビティを制御（ロールベース）。仮想化ホストを堅牢化。コンプライアンスを示す監査証跡。
DC 28-1.、28-3.(g、h)、r-81 共有インフラにおけるキーのマルチテナント分け、エンクリプションを提供。さらにキー裁断によるデータの削除を可能に。
BC 28-1.、28-3.(h)、r-81 GDPR対象のワークロードを選別されたホストでのみ稼動させ、コンプライアンスを詳述するレコードを完備。
CA 28-1.、28-3.(h)、r-81 GDPR対象データを含むファイルの用途を識別・記録。
補足検討事項 HyTrustソリューションは、その機能がデータ処理者のデータ管理者に対する責務遂行を可能にし、その一部をまかなう上で、GDPR対象の環境に制御をもたらし得る。それは、より広範なプライバシー・セキュリティ規範の一部を成す。データ処理者からデータ管理者への報告義務のセキュリティ要件達成度を確認する上で便利な要素となり得るが、それ自体がすべての目標を満たすのに充分とは言い切れない。
30 処理アクティビティの記録 CC 30-2.(c) ロールベースアクセス制御（RBAC）により、承認済みデータセンターのみへの移行を許可（監視）
DC 30-1.(f)、30-2.(c) GDPR対象データのエンクリプションによる保護、迅速な消去、それらを記録してコンプライアンスを実証。
BC 30-2.(c) GDPR対象の機密ワークロードが稼動し得るホストのデクリプションを制限し、非承認ホストへのデータ露出を防止。
CA 30-1.(c、f)、30-2.(c) GDPR対象データを分類して、エンクリプション、ガバナンス、迅速な消去を促進。そのような保護処理の記録を保持。
32 処理のセキュリティ CC 32-1.(b、d) ロールベースアクセス制御をポリシーとしてデフォルトで実装。その効果を測るハードニングスキャンを継続的に実行。
DC 32-1.(a、b) GDPR対象の保存データのエンクリプションによる機密性確認ポリシーをデフォルトで実装。
BC r-77、r-78 非承認ホストへのワークロードの配置・実行とGDPR対象データのデクリプションを阻止。
CA 32-1.(a、b、ｄ) GDPR対象データをエンクリプション向けに積極的にスキャンしてセキュリティ策の有効性を定期的にテストし、必要な保護を発動。
補足検討事項 HyTrustソリューションはコンプライアンスを徹底するための制御の枠組みの一部を成し得る。企業･団体には、技術的・組織的予防策を含むより広範なセキュリティ制御の枠組みを用いた包括的セキュリティプランが必要。偽名化に関し、エンクリプションは非承認公開リスクをある程度軽減し、データが復号化キーなしで露出された場合のセキュリティ侵害通知をサポート可能。32-1.(a)における偽名化は、個人データを扱うビジネスアプリケーションの機能、およびプログラミング的手段による不正アクセスの防止により特定される。
33 個人データ侵害の監督当局への通知 DC 33-1. データが暗号化されている場合、データ侵害の監督当局への通知は不要。ただし、企業･団体は、データ侵害において、暗号化キーが被害を受けていないことを証明する必要あり。
CA 33-1. GDPR対象のデータを積極的にスキャンし、保存データを暗号化することにより、多くのデータ侵害リスクを軽減。
34 個人データ侵害のデータ主体への連絡 DC 34-3.(a) 当該データが暗号化されている場合、データ侵害のデータ主体への通知は不要。
CC 34-3.(a)、r-87 データ侵害発生時、当該データの特徴を特定し、露出した可能性のあるGDPR対象データの範囲を確定。
補足検討事項 企業・団体は、HyTrustのエンクリプションでは保護し切れない方法でデータが露出された場合における他の違反通知の必要性も考慮すべき。

注：詳細ホワイトペーパー「EU 一般データ保護規則：General Data Protection Regulation」は下記のサイトからダウンロード可能です。（HyTrust for GDPR Compliance.pdf )

https://www.climb.co.jp/soft/hytrust/document/

関連トピックス