One Identityは、GDPRをEU全体のデータ保護法における重要かつ必要な進化として歓迎します。One Identityのプライバシーおよびセキュリティプログラムは、GDPRへの準拠を含め、業界の最高基準を満たしています。
欧州委員会のデータ保護指令に代わる新しい一般データ保護規則（「GDPR」）が2018年5月25日に施行されています。その目的は、欧州連合（EU）のプライバシー規制を統一し、EU居住者の個人データに対する保護を、EU内外を問わず強化することです。データ処理者および管理者として、One IdentityはGDPRのすべての要件を満たしていることを確認しており、今後もGDPRの遵守を積極的に維持していきます。また、データ管理者としてのお客様の役割をサポートするためのリソースや文書も提供しています。
One Identityでは、すべての顧客データが安全かつ責任を持って取り扱われることを第一に考えています。ここでは、GDPRとは何か、私たちがこの新しい規制にどのように対応しているか、そして私たちがどのようにお客様のコンプライアンスを支援しているかについての概要を説明します。
GDPRの目的
GDPRは包括的なデータ保護法で、次の2つを目的としています。
個人のデータの保護: 個人データの管理権をEU居住者に戻し、組織がそのデータを悪用することを禁じます。
組織のための指針の提供: EU内でデータ保護法を統一します。GDPRにより、企業にとってはよりシンプルな法的指針が提供され、政府機関にとっては施行がより簡単になります。
GDPRの適用対象
GDPRは、EU域内で活動するあらゆる組織、およびEU域内の顧客や企業に商品やサービスを提供する組織に適用されます。これにより、EU居住者の保護範囲が広がり、プライバシー管理が向上します。
GDPRによる影響
EUにお住まいの方、おめでとうございます! 欧州連合（EU）は、お客様のデータが安全かつ適切に使用されることを保証するための措置を講じています。
EU域内でサービスを提供する組織は、GDPRに準拠する必要があります。このことは、ユーザーデータの保管、処理、利用の方法にさまざまな形で影響を与えます。欧州委員会のデータ保護指令に代わってGDPRが施行されることによる主な変更点については、こちらの概要をご覧ください。
アクセスおよびポータビリティの権利: ユーザーは、自分の個人データが処理されるかどうか、どこで、どのような目的で処理されるかについて確認を求めることができます。さらに、データ管理者は、電子形式で個人データのコピーを無料で提供することが義務付けられています。
違反の通知義務: 「個人の権利と自由に対するリスクをもたらす」可能性が高い違反は、違反に気づいてから72時間以内に報告しなければなりません。
プライバシー・バイ・デザイン: 企業は、関連するデータ処理のライフサイクルに沿って、すべてのプロジェクトの設計段階でデータのプライバシーを考慮しなければなりません。企業はまた、すべてのプロジェクトの設計段階において、関連するデータ処理のライフサイクルの各段階に応じてデータプライバシーを考慮しなければなりません。
忘れられる権利: 企業は、ユーザーが自分の個人データを消去し、データの拡散を停止し、第三者にデータの処理を停止させることができるようにしなければなりません。
これは完全なリストではありません。これらの要件のいずれかを満たさなかった場合、年間成長売上高の4％、または2000万ユーロを上限とする罰金が科される可能性があります。
One IdentityはGDPR準拠のためにどのような手順を採用しているか?
One Identityは、EUを含む世界中のデータを処理および管理するグローバル組織です。当社がすでに取得している認証とプライバシーフレームワークへの長年のコミットメントは、多くの点でGDPRに対応しています。
GDPRの要件を満たすためには、データの流れを明確にし、プライバシーがどのように管理され維持されているかを示す必要があります。これを達成するにあたって、データフローを描き直し、非常に詳細なデータマッピング図を作成する「ブランクページ」アプローチが役立っています。
標準MSAおよびデータ処理契約の更新: また、GDPRによって要求される追加的な説明責任を反映させるために、契約文言を更新する必要もあります。このため、One Identityは、データ侵害通知文言を利用し、下請け業者を使用し、自社のデータ処理業者に責任を伝えています。
データ保護責任者: One Identityは、EUに拠点を置く独立した外部コンサルタントをDPOとして利用しています。
One Identityは顧客のコンプライアンス遵守をどのように支援しているか?
One Identityは、お客様がGDPRを遵守できるよう必要なリソースを提供して全力でサポートしています。方法は以下の通りです。
アクセスとポータビリティの権利
- IT管理者は、システム内のユーザーを簡単に検索し、ユーザーディレクトリに保存されているユーザー情報を印刷することができます。
- One Identityのユーザー権限と役割の割り当ては、ユーザーのメタデータが使用される場所を示します（つまり、 ユーザーがアクセスできるすべてのアプリケーション）。
侵害通知要件
- One Identityのイベント・ストリーミング・サービスは、追加の企業セキュリティイベントと関連付けることで、侵害の試みをより迅速に特定するのに役立ちます。
- 情報漏えいの可能性が確認された後、管理者はOne Identityのイベントダッシュボードとレポーティングツールを使用して、さらに調査することができます。
忘れられる権利
- One Identityは、他のシステムや外部アプリケーションからのユーザーの自動デプロビジョニングを許可しています。
- 管理者は、プライバシーと企業セキュリティの両方の要件を満たすために、ユーザーを直ちに削除することができます。
- 管理者は、プロビジョニングされているアプリを手動で監査することもできます。
プライバシー・バイ・デザイン: One Identityは信頼できるパートナー
プライバシー・バイ・デザインは特に難しい要件ですが、ベンダーとして私たちは十分に対応できる準備が整っています。
- One Identityサービスは、プライバシー規制、クレジットカード業界の規制、共有シークレットとしての指定、その他のデータ保護要件など、常に保護が必要な情報を取り扱っています。
- One Identityは、新機能の設計プロセスの一部として、定期的に実施されるプライバシー影響評価を組み込んでいます。
プライバシー・バイ・デザイン: One Identityでより良いアーキテクチャを
特にITやエンジニアリングのアーキテクトであれば、サードパーティのコンプライアンスだけでなく、自社のシステムにおけるコンプライアンスの課題についても考えているかもしれません。One Identityのプラットフォームに加えて独自の統合を構築する利点をご検討ください。
多くの場合、コンプライアンス上の課題の原因は、データの保管、管理、処理方法を限定的にしか制御できない古いアーキテクチャにあります。例えば、以前はレガシーアプリケーションが企業ディレクトリに直接アクセスすることが非常に一般的でした。つまり、それらのアプリケーションは通常、すべてのユーザー情報にアクセスでき、ほとんど制限を受けずに変更、キャッシュ、保存することができていました。
それ以来、私たちは改善のための長い道のりを歩んできました。
どのように改善したかを理解するために、いくつかの要点をご覧ください。One IdentityのIDプラットフォームの中核は、SAML、OpenID Connect、SCIMなどの最新プロトコルです。これらの最新のプロトコルでは、セキュアトークン、セキュリティアサーション、自動プロビジョニングが使用されています。
- セキュアトークン: ユーザーはアプリに直接サインインせず、常にシングルサインオン（SSO）ポータルを使って安全にサインインします。信頼できるアプリであれば、ユーザーを表すセキュアトークンを受け取ることができます。
- セキュリティアサーション: ID情報（ユーザー名、従業員IDなど）が、信頼できる当事者、特にIDプロバイダによって電子署名されます。
- 自動プロビジョニング/デプロビジョニング: ユーザーがアプリケーションへのアクセスを許可されると、関連するメタデータがアプリにプッシュされます。同様に、ユーザーのアクセスが取り消されると、関連するメタデータがアプリから削除されます。
One IdentityのIDプラットフォームでは、事実上あらゆるパブリッククラウドやプライベート/カスタムアプリに最新のプロトコルを使用できます。
利点:
- アプリケーションがユーザーを直接認証しないため、セキュリティとプライバシーが向上します。
- アプリケーションは企業ディレクトリに直接アクセスして、ユーザーベース全体に対する読み取り/書き込みを行うことはできません。
- アプリケーションは、必要なユーザーメタデータのみを取得します。取得するのはアプリにアクセスできるユーザーのみで、ユーザーのアクセスは匿名でも可能です。
- アプリケーションは、ユーザー情報に直接アクセスすることなく、ロール/特権情報を取得できます。
当社がGDPRをどのように受け入れているかについて詳しく知りたい場合は、プライバシーポリシーをご覧ください。
ご質問や詳細については、privacy@onelogin.comまでメールを送信してください。
