データ侵害通知法：強固でコンプライアンスに準拠した対応戦略の構築

報告されるデータ侵害が年々増加し、ニュースで頻繁に取り上げられるため、すべてを把握するのは困難です。2017年にはエクイファックスが大規模侵害を受け、約1億5000万件の顧客記録（米国人口のほぼ半分）が盗まれました。2018年にはマリオット・インターナショナルで数億件の顧客記録（個人情報、クレジットカード番号、パスポート番号含む）が侵害されました。

データ侵害は、大小・知名度を問わずあらゆる組織に影響を与えます。大企業の侵害はニュースになりますが、サイバー犯罪者の標的となりやすい中小企業の侵害はめったに報道されません。多くはフィッシング攻撃やマルウェアなどのハッキングによって、攻撃者が保護・プライベート情報へのアクセスに成功したケースです。

データ侵害通知法 — 複雑な現実

自社が侵害を受けたらどうしますか？すぐに法執行機関へ通報すべき？顧客へ通知？他に通知すべき相手は？猶予期間は？

答えは複雑です。包括的な連邦法は存在せず、各州・準州が独自のデータ侵害通知法を持っています。これらの法律は、侵害を受けたり疑ったりした者に、個人識別情報に関わる事案について顧客へ通知することを義務付けています。また法執行機関への通報や、事態是正のための具体的措置も求められます。しかし、対象情報の種類、通知のタイミング、報告基準は州によって大きく異なります。誰が遵守すべきか、何が個人データに当たるかも州ごとに異なります。さらに複雑なのは、要件が変化し続けており、一部の州では最近法改正が行われたことです。

データ侵害報告にどのくらいの猶予があるか

ほとんどの通知法は「不当な遅延なく」顧客へ通知することを求めています。期間は州や業界セクターによって異なります。データ侵害対応では、自社、業界関係者、顧客、法執行機関への責任が競合します。法執行機関が侵害を捜査中で、一時的に非公開にしなければならないケースもあります。

データ侵害に備える — 事前に準備を

データ侵害通知計画を、他の災害対策計画と同様に扱いましょう — 待つべきではありません！単一の標準的対応が存在しない以上、米国の製造業者は自社に適用される特定の州法・連邦法を理解する必要があります。事業を行うすべての州の法律を考慮しなければなりません。

幸い、いくつかの優れたリファレンスがあります。全米州議会会議（NCSL）、ITガバナンス、パーキンス・コイなどが州ごとのデータ侵害法をまとめています。

自社がデータ保護法を遵守するためには、自社の州と業界に適用される最新規制を常に把握しておくべきです。データ侵害は常にストレスフルな出来事ですが、義務を認識し計画を備えておけばストレスを軽減し、多額の罰金を回避できます。以下にヒントをまとめます。

• 自社をカバーする州法と業界法を特定する
• 自社に影響するデータ侵害通知要件と、最悪のシナリオでそれらを満たすプロセスを文書化する
• 自社に影響する侵害通知要件に基づいたポリシーを策定する
• 重複する規制がある場合は、最も厳しいものを自社ポリシーの基準とする
• 通知用のレターとメールのドラフトを事前に作成しておく
• データ侵害時の明確なコミュニケーション戦略を策定し、必要なら法務・広報部門の承認を得ておく

MEPナショナルネットワークがサポートします

お住まいの州のデータ侵害通知法やその他サイバーセキュリティの疑問については、全50州とプエルトリコにある51のMEPセンター（MEPナショナルネットワーク^TMの一員）にご相談ください。