深センの公安当局が、ウォルマートの中国事業において 19 件のサイバーセキュリティ上の脆弱性を発見した際、同当局は、世界最大の小売企業が中国のサイバーセキュリティ関連法に違反したと主張し、公式な警告を発しました。 中国当局は罰金を科しませんでしたが、ウォルマートに対し、抜け穴を塞ぐよう命じました。 その命令は警告であり、それはウォルマートだけに向けたものではありませんでした。
世界第2位の経済規模を誇る で事業を展開する多国籍企業 は現在、新たなサイバーセキュリティ法や個人情報保護法への遵守について、より厳しい監視に直面することになるとして、警戒を強めています。
2021年の秋に新たなデータプライバシー規制が施行されましたが、北京当局は依然として詳細の多くを公表していないと、観測筋は述べています。 物議を醸している「 」データセキュリティ法 （DSL）および「」個人情報保護法 （PIPL）は、政府機関、企業、および組織に対して、データ管理および保護に関する大まかな方法論や規則を定めており、特に 中国国外へのデータ移転 を制限しています。 前回、同様の取り組みが実施されたのは 2017 年、中華人民共和国による「サイバーセキュリティ法」（ ）が制定された際でした。同法では、データを中国国内に保存することが義務付けられ、企業に対するセキュリティ検査が導入されました。 その曖昧さゆえに、 広範な混乱を招きました 。
多国籍企業にとって、問題は単に中国での状況がどうなるかということだけではありません。 世界各国で異なるコンプライアンスやデータ完全性に関する規制に対応することが、ますます複雑化
し、コストもかさむようになっているという事実です。
「世界的なコンプライアンス要件を満たすプログラムを策定するのは、まさにジグソーパズルを解くようなものです」と、コンプライアンス・ソリューションやセキュリティ・テクノロジーに関するコンサルティングを提供するガイドポスト・ソリューションズの調査部門シニア・マネージング・ディレクター、ケネス・シタレラ氏は述べています。 欧州連合（EU）が 2016年に画期的な一般データ保護規則（GDPR）を可決して以来、米国、ロシア、中国でも強力なデータ保護法が導入されました。
「世界中の規制に準拠するプログラムを考案するのは、まさにジグソーパズルのような作業です。」ガイドポスト・ソリューションズ、調査部門シニア・マネージング・ディレクター、ケネス・シタレラ氏
データプライバシーに関する「規制の乱立」により、グローバルビジネスを展開するためのコストが高騰しており、最新の国際基準に準拠したコンプライアンス管理を効果的に行うためには、企業のリスク状況全体をリアルタイムで的確に把握することが不可欠であることが浮き彫りになっています。
「セキュリティ担当者が最近注目し始めているような視点でコンプライアンスを見れば、それは脅威なのです」と、多国籍企業向けのセキュリティサービスプロバイダーである米国企業NuspireのCSO、J.R.カニンガム氏は述べています。 「コンプライアンスを遵守していなければ、それはブランドにとっての脅威となります。」 「これは、収益の減少や財務上の責任が生じる可能性があります。」
グローバルなコンプライアンスの規模
近年、Facebook、Google、
Appleといったハイテク大手企業は、個人データの取り扱い方法をめぐり、欧州の規制当局から厳しい監視と罰金の対象となっています。 最近、オーストリアのデータ保護当局である は、Google Analytics（ ）が、適切な保護措置を講じずにウェブサイトデータを米国へ転送したとして、GDPRに違反していると指摘しました。
「コンプライアンスを遵守していない場合、それはブランドにとっての脅威となります。 これは、収益の損失や財務上の責任が生じる可能性があります。”J.R. カニンガム、Nuspire社 最高戦略責任者（CSO）
もちろん、プライバシーやサイバーセキュリティに関する規制を遵守しなければならないというプレッシャーは、欧米の大手企業だけに影響を与えるわけではありません。 ヨーロッパで事業を展開する世界中の企業はすべて、GDPRを遵守しなければなりません。 また、カリフォルニア州消費者プライバシー法（CCPA）など、他の地域の規制にも準拠しなければなりません。同法は、世界有数の大手テクノロジー企業の多くが本社を置く同州で事業を行うすべての企業に対し、データ取り扱いに関する制限を課しています。
中国がウォルマートのような多国籍企業に焦点を当てていることが、世界中で10億人以上のユーザーを抱える急成長中の中国系ソーシャルメディア企業、TikTok に対する米国政府のによる調査への報復の一環であるかどうかは、定かではありません。
現時点では、 Log4j のハッキング（）に起因するゼロデイ攻撃が成功した場合、あるいは世界中の企業の業務に影響を与えている数多くの ランサムウェア攻撃（ ）が発生した場合、中国に進出している多国籍企業が罰則の対象となるかどうかは不明です。 「それらの規制については、まだ具体的な内容が明らかにされていません。人々は、いつその発表があるか、身構えている状況です」と、ガイドポスト社のシタレラ氏は述べています。
[関連記事：脆弱性「 Log4j 」への対応と次なる脅威への備えに関するベストプラクティス]
例えば、チタレラ氏の組織は、国際的な銀行の顧客に代わって取引や決済を調査していますが、同社がどのようなデータを収集でき、どこでそのデータを共有できるかについては、法域が大きな役割を果たしています。 同氏によると、コンプライアンスのプロセスは、企業がデータをどのように扱っているか、またデータが国境を越えて移動しているかどうかを確認することから始まるそうです。 「とてつもなく細かいところまで掘り下げる必要があります」と彼は言います。
このような意思決定を自動化する既製のソフトウェアはありませんが、コンプライアンスを確保するために、企業がリアルタイムのリスクを監視するための対策はあります。 チタレラ氏は、次のような戦略を推奨しています：
- 特に他社へデータを移管する場合は、データの発生源からデータサプライチェーンの終端に至るまでのセキュリティ基準（ ）を十分に理解してください。
- で、承認済みのユーザーが誰であるかを確認し、監査を行ってください。
- へのアクセスを、ユーザーが必要とするデータのみに制限してください。
リアルタイムのリスクコンプライアンスを実現するには、データセキュリティに関する以下の要素が不可欠です。これには、リアルタイムのエンドポイント リスクスコアリング、ネットワークデバイスに対するリモート認証スキャン、企業内でのリスクベンチマークに対するセグメント化されたアプローチ、堅牢な役割ベースのアクセス制御、および自動化された パッチ適用などが含まれます。
Nuspire社のカニンガム氏は、「コンプライアンス上の課題や問題は、企業の規模に応じて増大する」と述べています。 「個人情報の利用目的が複雑になればなるほど、プライバシー関連法規を遵守するために費やすリソースも増えます。」
サイバーセキュリティなくしてプライバシーはありません
世界的な傾向は明らかです。各国政府は、プライバシーやサイバーセキュリティを、もはや企業のみに任せることはしなくなっています。 かけられているものが大きすぎます。 コロニアル・パイプラインへの 2021 件の攻撃を受けて、米国運輸保安局（TSA）は、パイプラインのサイバーセキュリティおよび監査に関する新たな基準 を発表しました。 コンプライアンスはもはや任意のものではなく、企業は新しい規制を遵守しなかった場合、罰則を受けるリスクがあります。
「[私たちは] データのプライバシーについて真剣に取り組む必要があります。」 この問題から逃れることはできません。”チャールズ・デナイヤー氏、元米国防総省サイバーセキュリティ顧問兼国家安全保障の専門家
カニンガム氏によると、例えば消費者や顧客データの不適切な管理は、罰金の支払いを招くだけでなく、企業のサイバーセキュリティ保険の適用を危うくする恐れがあるとのことです。 「保険業界は、 のサイバー保険契約を引き受ける前に、企業に対して細かな質問を投げかけ、注意を払い始めているとのことです。」と彼は述べています。 さらに、保険会社は「保険契約を締結する前に、サイバーセキュリティおよびプライバシーに関する管理体制が整っていること」を求めています。
結局のところ、カニンガム氏は、「サイバーセキュリティなくしてプライバシーはあり得ない」と主張しています。 この共生関係により、「保護すべき個人情報を保有する組織のセキュリティ態勢が、全体として向上しました」。 「とはいえ、やはりそれには代償が伴うことは間違いありません。」
大きなコストの一つは、法務費用です。
「こうした厳格なデータプライバシー法を理解しなければならない組織では、追加の法的費用が発生しています」と、テキサス州オースティンを拠点とする、元国防総省のサイバーセキュリティコンサルタントで国家安全保障の専門家であるチャールズ・デナイヤー氏は述べています。 「その複雑さは、規制の理解や、関連する費用、つまり一時的な費用と継続的な費用の両方に関係しています。」
[関連記事： 2022年に向けたサイバーセキュリティの優先課題 6 選]
デナイヤー氏は、結局のところ、組織は「今日の世界において、データプライバシーに真剣に取り組む必要がある」と警告しています。 データプライバシープログラムでは、社内外から得られるデータを企業がどのように利用、保管、共有、および廃棄するかを網羅しなければなりません。 「監視の目は、今後ますます強まるだけだ」と彼は言います。 「この問題から逃れることはできません。」
