DSPMがGDPR、CCPA、HIPAAのコンプライアンス対応をどのように支援するか

GDPR、CCPA、およびHIPAAへの準拠は、もはや特定の時点における監査活動ではなく、継続的な運用上の取り組みとなっています。データセキュリティ態勢管理（DSPM）は、規制対象データの保管場所、アクセス権限を持つユーザー、およびデータがどの程度リスクにさらされているかについて、組織が継続的に可視性を維持するのに役立ちます。

プライバシー、セキュリティ、および監査対応を担当するチームにとっての課題は、機密データを一度だけ見つけることだけではありません。クラウド環境の拡散、SaaSの拡大、ハイブリッドストレージ、そして変化し続けるアクセスパターンに対応し続けることが求められます。DSPMは、クラウドリポジトリ、SaaSアプリケーション、およびハイブリッド環境全体にわたって、個人データ、消費者情報、および保護対象の医療情報を継続的に検出することで、こうした課題の解決を支援します。

これが重要なのは、コンプライアンス対応の準備態勢は、規制対象データがどこにあるかだけでなく、誰がそれにアクセスできるか、どのように公開されているか、そしてまずどのような是正措置を講じるべきかを知ることにかかっているからです。実際には、これは静的なインベントリから、最新かつ説得力のある証拠へと移行することを意味します。

2024年10月、英国情報コミッショナー事務局（ICO）が新たなデータ保護監査フレームワークを導入した際、主要なデータ保護実務全般にわたる、評価可能なガバナンス、文書化、および管理の重要性が改めて強調されました。GDPR、CCPA、HIPAAはいずれも、単なるポリシーの趣旨を示すだけでは不十分です。これらの規制では、組織が自社のデータ環境を十分に理解し、それに基づいて行動することが求められています。

コンプライアンス対応の準備において、DSPMがなぜ重要なのか

チームが次のような基本的な質問に迅速に答えられない場合、コンプライアンスプログラムは失敗に終わります。「どのような規制対象データがあるか？」「どこに保存されているか？」「誰がアクセスできるか？」「過度に公開されていないか？」「まず何を修正すべきか？」

DSPMは、こうした可視性のギャップを解消するために開発されました。定期的なサンプリングや手作業によるスプレッドシートに頼るのではなく、機密データを継続的に検出して分類します。また、チームが最も重要な発見事項に優先的に取り組めるよう支援するため、コンプライアンス業務は推測ではなく、実際のリスクに即して行われるようになります。

145カ国にわたる31,000件以上のセキュリティインシデントと22,000件の確認済み情報漏洩を分析したベライゾンの「2026年データ漏洩調査報告書」によると、情報漏洩の62％には依然として人的要因（ソーシャルエンジニアリング、設定ミス、認証情報の不正使用、操作ミスなど）が関与していた。 しかし、2026年のデータは、問題がさらに深刻化していることを示している。同レポートの19年の歴史において初めて、脆弱性の悪用が認証情報の盗難を抜き、データ漏洩の最大の侵入経路となり、全漏洩事例の31％を占めた。一方、サードパーティのサプライチェーンにおける漏洩は60％急増し、現在では全漏洩事例の48％を占めている。 一方、「シャドウAI」（従業員による生成AIサービスの無許可利用）は、わずか1年で全従業員の15％から45％へと3倍に増加し、67％が社外アカウントを使用して社用端末からAIツールにアクセスしている。これらの傾向は孤立して発生しているわけではない。 1つの過度に公開されたファイルや共有されたSaaSリポジトリが、脆弱性の悪用経路、サードパーティによるアクセスリスク、そして承認されていないAIツールへの監視されていないデータフローを同時に生み出し、複数のコンプライアンスフレームワークにまたがるプライバシー、セキュリティ、ガバナンス上の問題を一度に引き起こす可能性があります。

DSPMとGDPR対応状況の関連性

GDPRへの対応は、正確な記録、データ最小化、アクセス制御、そして権利行使の請求に自信を持って対応できる能力にかかっています。DSPMは、組織がクラウドやSaaSシステム全体にわたる個人データを特定し、過度に公開されているリポジトリを識別し、インベントリをより最新の状態に保つことを支援することで、これらの目標達成をサポートします。

GDPR第30条では、組織に対し処理活動の記録を維持することが義務付けられており、自動検出機能を活用することで、手作業によるスプレッドシートのみの場合よりも、これらの記録の正確性と管理しやすさを高めることができます。第5条ではデータ最小化が中核的な原則として定められており、第25条では「設計段階およびデフォルト設定によるデータ保護」が求められています。DSPMは、機密データを早期に可視化し、不必要な情報漏洩のリスクがある箇所を特定することで、これら両方の要件をサポートします。

GDPR対策プログラムにおいて、優先度の高い指摘事項には、一般に公開されている個人データ、社内で過剰に共有されている個人データ、あるいは文書化されたガバナンス方針に抵触する可能性がある方法で保持されている個人データなどがよく含まれます。

GDPRへの対応には、第17条に基づく消去権への対応も含まれます。DSPMを活用すれば、バックアップや共有ドライブを含め、クラウドおよびハイブリッド環境全体にわたる個人データのすべてのコピーを特定できるため、チームはより完全かつ一貫性のある対応が可能になります。

毎年手作業で行うデータマッピングに依存している組織では、クラウドやSaaS環境間でデータが移動するにつれて、在庫情報を最新の状態に保つのに苦労することがよくあります。DSPMは、継続的にスキャンを行い、変更が発生したその場でそれを可視化することで、こうした情報のズレを軽減します。

DSPMがCCPAへの準拠をどのように支援するか

CCPAは、消費者に個人情報の開示、削除、および訂正を求める権利を認めており、実際には、組織はビジネスシステム全体においてその情報がどこに保存されているかを特定することが求められます。また、カリフォルニア州司法省のガイダンスでは、企業が消費者ごとおよびカテゴリーごとに個人情報を特定できる必要があることも強調されています。

DSPMは、リポジトリ、連携サービス、コラボレーションツールにまたがる消費者の個人情報を特定するのに役立ちます。これにより、情報開示請求への対応をより正確に行うことが可能になり、また、消費者のデータがどこで共有または同期されたかをチームが把握できるようになるため、削除作業が不完全なままになるリスクを低減できます。

CCPAへの対応にあたり、各チームは、過度に公開されている、関連システム間で広く共有されている、あるいはアクセスや削除のワークフローにおいて追跡が困難な消費者の個人情報を優先的に扱うことがよくあります。また、CCPAにおける機微な個人情報の取り扱いについては、さらなる可視化のニーズが生じています。これは、組織がデータの存在だけでなく、その保存場所やアクセス範囲についても把握する必要があるためです。

DSPMを活用することで、消費者データがどこに保存されており、接続されたリポジトリやサービス間でどこに共有されているかを把握することができます。この可視性は、当初のインベントリに含まれていなかったSaaSプラットフォーム、クラウドストレージ、バックアップシステム、およびハイブリッド環境に消費者情報が存在する場合に、特に重要となります。

DSPMがHIPAA準拠をどのように支援するか

HIPAAの対象機関および業務提携先は、ePHIに関するリスクや脆弱性について、正確かつ徹底的なリスク分析を実施しなければなりません。HHSセキュリティ規則ではこの要件が明確に定められていますが、データがクラウドストレージ、電子メール、コラボレーションプラットフォーム、開発環境、バックアップシステムなどに分散していると、この要件を満たすことが難しくなります。

DSPMは、従来のインベントリプロセスでは見落とされがちな場所にあるePHIをチームが発見できるよう支援します。コラボレーションプラットフォーム、メールの添付ファイル、バックアップシステム、開発環境などに存在するePHIを特定することで、セキュリティおよびコンプライアンス担当チームは、情報漏洩のリスクがどこにあるかをより深く把握できるようになります。

HIPAAへの対応準備において、チームは多くの場合、広くアクセス可能なePHI、予期せぬ保存場所に保管されているePHI、あるいは不十分なアクセス制御によって露出しているePHIを優先的に扱います。また、DSPMを活用することで、権限が過剰に付与されたアクセスや、HIPAA関連のリスクを高める可能性のある危険な共有設定を特定することも可能です。

HHSは2025年1月、HIPAAセキュリティ規則の大幅な改定案を提示し、ePHIの保護に関するサイバーセキュリティ対策および文書化の強化に対する期待が高まっていることを示唆しました。これにより、継続的な可視化がさらに重要になっています。なぜなら、組織は、規制対象の医療データがどこに存在し、どのように保護されているかを把握しているという証拠を提示する必要があるからです。

DSPMおよびその他のセキュリティ対策

DSPMは既存の管理措置に取って代わるものではなく、それらの精度と有効性を高めるための可視化レイヤーです。

従来のDLPは、不正なデータ移動の防止に優れていますが、正確なデータコンテキストが必要です。CASBはSaaSの利用状況を可視化しますが、DSPMはそれらのアプリケーション内のデータや設定について、さらに詳細な分析を行います。包括的なSecurity Service Edge SSE）アーキテクチャの一環として、DSPMはWebゲートウェイ、ゼロトラストアクセス、脅威対策にわたるポリシー決定に情報を提供し、企業のセキュリティチームが情報に基づいた意思決定を行えるよう、データ中心の洞察をもたらします。

そのため、DSPMはDLP、CASB、SSEを補完する有用なツールとなります。DSPMは認識機能を提供し、これらのツールは規制の実施を担います。

DSPMがチームのどのような取り組みを支援すべきか

実用的なDSPMプログラムは、チームが以下の質問に答えられるよう支援するものであるべきです：

• クラウド、SaaS、コラボレーション、バックアップ、ハイブリッド環境において、規制対象データはどこに保存されているのか？

• 誰がアクセスできますか？

• どのリポジトリが過度に公開されているか？

• どの調査結果がコンプライアンスに最も大きな影響を与えるか？

• まずどのような是正措置を講じるべきか？

技術的なアプローチは環境によって異なりますが、DSPMでは一般的に、構造化および非構造化のリポジトリにわたって、データの発見、分類、およびアクセスコンテキストの分析を組み合わせて行います。

効果的なDSPMソリューションは、正確な分類機能に加え、組織固有のデータタイプやワークフローに対応できる十分な柔軟性を備えているべきである。

是正措置の優先順位付けの方法

すべての発見事項が同等の緊急性を要するわけではありません。各チームは、規制への影響、リスクの程度、および関連するデータの機密性に基づいて優先順位を付ける必要があります。

GDPR対策プログラムにおいて、優先度の高い指摘事項には、一般に公開されている個人データ、社内で過剰に共有されている個人データ、あるいは文書化されたガバナンス方針に抵触する可能性がある方法で保持されている個人データなどがよく含まれます。

CCPAへの対応準備において、各チームは、過度に公開されている、関連するシステム間で広く共有されている、あるいはアクセスや削除のワークフローにおいて追跡が困難な消費者の個人情報を優先的に扱うことがよくあります。

HIPAAへの対応準備において、チームは、広くアクセス可能なePHI、予期せぬ保存場所に保管されているePHI、あるいは不十分なアクセス制御によって外部にさらされているePHIを優先的に扱うことがよくあります。

是正措置のワークフローには、対応可能な場合は自動化された処理に加え、データ所有者やコンプライアンスチームへのエスカレーションによる確認が含まれる場合があります。

継続的な可視性が重要な理由

クラウド環境の変化は極めて急速であるため、年1回のマッピング作業では信頼性を維持できなくなっています。新しいSaaSツールが登場し、アクセス権限が変更され、データのコピーが急増し、規制対象のデータが予告なしに移動することもあります。

規制対象のデータが、当初のインベントリに含まれていなかった場所に存在する場合、コンプライアンスへの取り組みは困難になります。DSPMは、データを継続的に検出し、リスクを可視化し、環境の変化に応じてチームに情報を提供することで、そのリスクを軽減します。

HIPAAの改正案や、進行中のCCPAの規則制定、そして世界中で新たなプライバシー法が次々と制定されるなど、規制当局の期待が絶えず変化している中で、これは特に重要です。