氷山の一角：なぜgdprはほんの始まりに過ぎないのか

2024

Techopediaスタッフ、2017年12月6日

まとめ：ホストのエリック・カバナが、EUの今後の一般データ保護規則と、それが業界に与える影響について説明します。彼に加わるのは、McKnight Consulting GroupのWilliam McKnightとIDERAのKim Brushaberです。

あなたは現在ログインしていません。ビデオを見るにはログインまたはサインアップしてください。

エリック・カバナ：了解しました。皆さん、こんにちは。東部時間の水曜日の4時です。つまり、Hot Technologiesにとっては、2017年の最後の時間の1つです。はい、確かに、私の名前はエリック・カバナです。今日のイベントの司会者になります。控えめに言っても、広範囲に及ぶトピックについて話している。現時点では、GDPRの概念であるグローバルデータ保護規制とは思えません。先に進みましょう。これについては、あなたのことではなく、私についての説明です。今年は非常に暑く、さまざまな点で非常に暑いですが、GDPRおよび他の組織からの差し迫った規制により、率直に言って、ビジネスの世界で何が起こっているのか、具体的にはその結果として、データに関連するため。 IDERAのKim BrushaberとMcKnight Consulting GroupのWilliam McKnightから連絡を差し上げます。

手元のトピックに関する簡単な言葉を2、3個だけ。 GDPRは基本的に、組織はデータに関してプライバシー第一とセキュリティ第一のポリシーを持たなければならないと述べています。実際、あなたが聞いたことがあるものの一部です。たとえば、忘れられる権利は一部であり、この瞬間、そしてそれは非常に興味深いものです。原則と倫理の点で確かに有効です。ただし、実際の実装に関しては、かなり深刻な課題です。忘れられる権利は、一部の組織があなたのデータ、あなたの個人的な機密データを持たないようにしたいなら、彼らはそれを取り除く必要があると言います。さて、これらの本当に異種のデータ環境のいくつかが、それがどれほど困難になるかを想像することができます。データが永続的なすべての場所に到達し、それを引き出すことができるようになるためには、それは起こりそうにない、最終結果です。それにもかかわらず、組織はそれらの懸念に対処できるように、ポリシーを設定する必要があります。それは規制当局が求めていることです。

大したことです。あなたがそう言うなら、組織はあなたのデータを削除する必要があるだけでなく、彼らがそのデータでアルゴリズムを訓練したなら、技術的に彼らはアルゴリズムも再訓練することになっています。それは難しい命令です、私はあなたに言わなければなりません、しかし、それは来ています、それはカワカマスに来ています、それは来年の5月に現実になるでしょう、そして他の規制も同様にあります。カナダには、通過したスパム対策法があります。これは、個人情報の取り扱い方法に影響を与えます。ネットの中立性は今やパイクに降りてきており、もちろん根本的に根こそぎにされており、それはいくつかのことを変えようとしている。これらの非常に深刻な規制は、企業全体および世界中に影響を与えています。大規模な組織は、実際に考え、準備する必要があります。

そのために、McKnight Consulting GroupのWilliam McKnightをオンラインで利用して、彼の考えと、GDPRが実際に氷山の一角に過ぎない理由をお知らせします。それで、ウィリアム、私はあなたにそれを渡すつもりです。奪って

William McKnight：ありがとう、エリック、そしてあなたが言うように、スライドが言うように、このGDPRは恐らく氷山の一角です。それは確かに私たちが考えていることです。 GDPRを深く掘り下げることは重要です。これは、対処しなければならないパイプを下ってくる規制の波を表していると思うからです。幸いなことに、エリック、忘れられる権利の周りには合理的な基準がいくつかあります。しかし、それにもかかわらず、今年のGDPRについての私の散歩では、まだこれに対応していない多くの企業、特に米国企業があると思います。それは間違いなく暑くて、1年前に彼らがいくつかのことを試行錯誤していたとき、私たちが絶対に考えていなかったものですが、今では規制であり、あなたが言ったように、私たちはそれを対処しなければなりませんここまで–そんなに遠くない。

私について少しですが、これをデータの観点から見ていきます。ご存知のように、私は生涯のデータパーソンであり、今ではデータの分野で19年間コンサルティングを行っています。GDPRはデータについて非常に重要です。ここでは、データガバナンスに関するプレゼンテーションに取り掛かるように、ここで一連のソリューションを提示します。私は明らかに、多くのデータガバナンスプログラムを行ってきました。そのコンセプトに沿っていれば、何らかのデータガバナンスを行っていると思います。多くの企業がかなり先に行くでしょう実際には、GDPRコンプライアンスに向けて、しかし多くのことがあり、最も率直に言って、それはガバナンスの背後にあるため、GDPRの準備にはかなり遅れています。ここでレベルを設定し、GDPRの内容を理解しましょう。会話を深めるにつれて、新年以降に向けて、ビジネスライフに対するGDPRの影響をより深く理解できます。

GDPRは、欧州連合の市民データのプライバシーのためのものです。それは規制です–歯があることを意味し、強制可能であることを意味します。それは提案としてそこに出されているものではありません-すでに起こっており、今では罰則のある規制に形成されています。私はペナルティから始めるのが好きです。なぜならそれは本当に人々の注意を引くからです。これらは厳しい罰則です。 2つのペナルティがあります。世界の年間収益の2％、または企業がセキュリティ義務を順守しなかった場合は1, 000万ユーロですが、他のすべての条項に違反する場合は-4％になります。あなたはそれが約4パーセントバンディ化されたと聞きます。ちなみに、4パーセントまたは1, 000万ユーロのいずれか大きい方です。これは非常に硬いです。人々はこれについて非常に真剣です。 2018年5月25日に開始を強制します。これが重要な日付であり、監査が開始できる時期であり、罰金を得ることができる時期です。間違いなくあなたはこれに備えたいです。私が扱うすべての会社、私は多くのグローバル2000企業と取引しています。それらはGDPR準備のどこかにあり、ある会社は他の会社よりも多く、この時点では他の会社よりも多くなければなりません。確かに、一部の人がその日付を満たすのは難しいでしょう。

これは、これまで見てきた中で最も徹底的なデータプライバシーコンプライアンス体制です。もっと硬いものや多分米国の人口に直接影響を与えるものを見ると、誰が知っているかもしれませんが、それは世の中にあり、絶対に固守する必要があります。組織がUE市民PII（PIIの権利に精通している）を理解する必要があります。個人を特定できる情報、社会保障、電話番号、住所、個人を一意に識別できる、または個人を非常に一意に識別できるものです。彼らが持っているものとそれをどのように使っているか。これは在庫を意味します。これは、この種のデータに関する自社内の規制を意味します。ちなみに、米国には全国規模のデータ保護法はありません。米国は、この種の規制の観点から、欧州の背後に常に存在します-私は後ろに言いますが、それを続けています。それはGDPRで続いています、それはかなり明白です。プライバシーシールドについて知っている人もいるかもしれませんが、それについて疑問に思っているかもしれません。 GDPRにはプライバシーシールドと重複する約3つまたは4つの条項がありますが、GDPRには100の条項があります。それはそれよりもはるかに多く、もちろんそれはまだ適切であり、米国とEUのデータ交換に関係していますただ、それは重要ですが。

繰り返しますが、私は数字から始めるのが好きです。罰金について聞いたのですが、その準備についてはどうですか。 GDPRの予算編成とこれのいくつかを行うには、これはいくつかの要因に依存します。 EU市民について収集するPIIデータの量。何も収集しない場合は、OK、おそらく準拠しており、これに対処する必要はありませんが、どこかで収集するため、おそらくこの呼び出しを行っています。会社の規模とデータガバナンスの成熟度は、前述したように、GDPRに対応するために必要なことに近づいている可能性があります。コンプライアンスのために、場合によっては最大で数百万米ドルまたはユーロを期待できます。ただし、GDPRに準拠するだけではなく、そのチェックボックスをオンにする必要があります。もちろん、それを行う必要があります。うまくいけば、あなたはそのボックスをチェックするだけの必死の状況に陥ることはないでしょう。 GDPRをサポートするために行う多くのことがビジネスに適しているため、ビジネス上の利点を探してください。データガバナンスはビジネスに適しています。 PIIデータの量に関しては、一部は他よりも重要であり、一部はデータ関連の健康のように他よりも詳細に調査され、他のタイプのデータよりもGDPRではるかに厳格に規制され、コンプライアンスが必要になりますデータ保護の影響評価を実施するなどの追加の義務があり、明らかに予算に追加されます。

予算編成について少し説明します。あなたが英国または米国にいて、それがあなたにどのように影響するのか疑問に思う場合-GDPRは、2019年3月29日まで、まだEUにいる英国に影響を及ぼし、その政府はGDPRのようなものが続くことを示しています「いいアイデアだから」という理由で、その日以降になります。英国企業はそれに準拠する必要があります。英国の市民データは確かにこのためのテーブルにあります。明確でない場合、米国に拠点を置く企業があります。EUでEU市民データを扱う場合、これは確かに当てはまります。これは、データアーキテクチャに悪影響を及ぼします。EUデータを他のすべてのものから遮断し、異なる方法で処理する必要があるためです。 Ericが言ったように、分析に影響を及ぼします。あらゆる種類のコンセプト全体、グローバル全体の分析を実行することは、今ではもっと難しいかもしれません。 GDPRの結果として、それらはよりローカライズされる可能性があります。

条項には何が含まれていますか？データ保護標準があります。これらはすべて、安静時および移動中のデータの暗号化を指示します。次に暗号化について説明します。データ侵害通知基準があります。これを何ヶ月も待つのではなく、四分の一を待ってみんなに知らせる。先日、大きな問題が発生したと思います。「ああ、それは1年前に発生しました。」GDPRにはそれがありません。72時間あります。それは名前と恥のポリシーです。うまくいけば誰もそれに到達できず、明らかに一部の人々はそうなるでしょう。もちろん、GDPRの後でも違反は続きます。データの場所と品質を監視するプロセスがあります。おなじみの音？それが本当にデータガバナンスの中心です。うまくいけば、それらのいくつかが行くでしょう。

エリックが述べたように、EU市民は忘れられる権利を持っています。これには合理的な基準がいくつかあります、エリック。必ずしもすべてを抹消する必要はありません。その顧客、その従業員に再連絡する必要がある場合、個人データの特定の側面を保持することができます。しかし、それにもかかわらず、それらの市民は忘れられる権利を持っていますが、不均衡な努力はありえません-それは言葉です-あなたや会社への害、それはあなたがそのデータを消去することです。私はそれを軽視したくありませんが、保持されている個人データのコピーもリリースする必要があり、そのデータは同意を得た場合にのみ取得できます。その許可は、そのような許可を与えるために最低年齢の人々によって与えられなければなりません。そこは一口ですが、それは市民に彼らのデータに対する多くの権利を与えています。それが起こった場合に備えて、それはすぐそこに移植性です。忘れられる権利はもちろんですが、私のスライドに載っていない重要なことは、データ主体が自動処理のみに基づく決定の対象とならない権利を持つことです。私たちは何に懸命に取り組んでいますか？自動化された処理、ローンの受け入れ、提供するオファー、これがどのように行われるか、そしてこれがどこまで進むのかという点ですべてを検討する必要があります。これが本質的に言っているのは、なぜ私が拒否されたのか、なぜこの会社によって特定の方法で扱われているのかについての透明性です。これは現在、EU市民に付与されています。

明らかに、私たちがビジネスを行う方法にいくつかの影響があります。GDPRはITの問題ではなく、ITのみの問題ではないことを願っています。これらすべてのビジネスプロセスが関係しています。これには、会社全体の人々が参加します。 250人以上の従業員を抱える企業にはデータ保護担当者の指名をお勧めします。「EU PIIデータを使用した重要な数学」があります。その重要な数学があるかどうかは、自分で決めることができます。しかし、新しい役割があります-フルタイムの役割である必要はなく、その人は他の責任を負うことができますが、私は知りません-中規模から大規模の企業では、GDPRに固執することがほとんどだと思いますフルタイムの役割に近い。私はそのように始めて、あなたがそれを処理できるかどうかを確かめると言います。特に来年は、GDPRを中心に行動をまとめると、いったん決まったら、この作業を遅らせることができるかもしれませんが、一部の企業はかなり時間がかかるでしょう。前述のように、個人が自分のデータとデータの移植性を確認できるようにします。

ちなみに、これはまったく新しいものではありませんが、忘れられる権利は実際にそこにありました。信じられないかもしれません。現在のEU規則では、個人データを削除または使用不可にする権利が既に規定されています。ただし、現在はGDPRの一部であり、より広範囲に適用されます。データの暗号化–保管中のデータを暗号化します。標準の暗号化方法を使用します。独自のまたは非標準の暗号化を使用しないでください。 AESは、かなりお勧めするものです。暗号的に安全な暗号化キーを使用します。これらのキーは定期的に変更してください。また、これらのキーが失われないようにします。これらはちょうど良い暗号化プラクティスですが、今ではGDPRで最前線にいます。そこに問題があります-私は氷山の一角にしか当たっていません。明らかに、検討すべき規定は他にもありますが、それらは主なものです。

今、解決策。データガバナンス、コンプライアンスのフレームワーク、少なくともそれが私がここで提案している視点です。幸いなことに、成熟したときにほとんどの要件に対応できる積極的な規律があり、それがデータガバナンスです。明らかにそれを言っています。ガバナンスプログラムにはデータ用語集が必要です。ここでは、一般的な意味でデータ用語集を使用して、プロセス全体のドキュメントを意味しています。これは、GDPRの在庫ニーズに対応するための基本であり、これは、すでに見たように、非常に大きなものです。このプログラム、ガバナンスプログラムは、データセキュリティプロトコルを促進する必要があります。これは、多くのデータガバナンスプログラムが現在行っていることではないため、強調しますが、事業主が誰であるかを決定するプログラムに座っていますか？誰がそれを見る必要がありますか？そして、次のステップはそれらの許可を与えることです。それは一元化する必要があり、形式化する必要があります。使用される内部ポリシーが必要です。上記のすべてに入力を提供するには、すべての要素にスチュワードシップを割り当てる必要があります。データガバナンスは、必要とされるビジネスプロセスエンジニアリングのファシリテーターにもなり得ます。

このスライドを去る前に、多額の罰金を回避するために、企業は健全なビジネス慣行を副産物として受け入れます。私はそれが副産物以上のものであると言いたいのですが、それは実際にはビジネスの観点からあなたを新しい場所に導くことができるちょうど良い、健全なビジネスです。確かに、健全なデータガバナンスがあれば、全面的にすべてのイニシアチブを実行することで多くの効率が得られます。これは私が長年目にしてきたことです。私が言及しているこれらのもののいくつかをデータガバナンスに追加することによって、それらはより良くなるだけです。ビジネスプロセスエンジニアリングでは、これらの質問を全面的に質問し、すべてのビジネス領域にヒットすることをお勧めします。 EUのお客様についてどのようなデータを収集しますか？全部は読みません。ここで重要なもののいくつか。このデータを見る必要があるのは誰ですか？そのデータのデータ管理者は誰ですか？ビジネスの頼りになる人は誰ですか？これは大きな問題です。このデータを第三者と共有しますか？あなたが第三者にそれを譲り渡すからといって、そのデータに関するあなたの責任を弁解しないでください-それはあなたのデータであり、それはあなたがまだ収集したデータです。 GDPRの結果、現在、多くのサードパーティ契約が徹底的に見直されています。これらのシステムには確定的な障害がありますか？それらが失敗するという意味は、私たちが事前に決めたパスに失敗するのか、それとも単に失敗し、クラッシュし、燃えて、ゼロから掘り下げて始めたのですか？それは明らかにずっと良くなるでしょう。既に良い方法ですが、システムに大きな決定論的な障害がある場合は、明らかにこれらの一部をリバースエンジニアリングする方がはるかに優れています。

データ保持、私たちはずっとデータ保持について話してきました。多くの企業にはポリシーがありますが、すべてがポリシーに従っているわけではありません。明らかに、医療と金融で有名なことですが、データを保持したいので、特定の年数の間データを保持する必要があります。これらの企業のアナリストの一部は、7年間データを保持していますが、「ああ、その期間が過ぎてもそのデータが必要です」と言っています。これらの企業の弁護士の一部は、「しかし、賠償目的で」など。 GDPRのもう一方の問題として、それは単にそこにとどまることはできません。保持期間を設け、組織内の全体にわたって一貫して保持する必要があります。

最後に、データ侵害に対してどのように動員しますか？あなたに起こりうる最悪のシナリオ。明らかに、私たちはそれらを防止しようとしていますが、それが起こったらどうなりますか？どうやって物事に余裕を持たせ、あなたの対応でGDPRの規定に従っていることを確認しますか？私はデータアーキテクトです。データアーキテクチャについて考えています。 EUに拠点を置く企業、つまりEU市民データを収集しているEUの企業の場合、データ保護基準をすべてのデータに適用するか、EUデータのみに適用するかを検討する必要があります。はい、私は今その決定をしているクライアントを持っています。健全なビジネス慣行として、彼らはそれを米国に持ち込みたいと思うかもしれません。しかし、彼らは時間があるように感じるかもしれませんが、それは第2弾をもたらします。米国のシステムがデータを適切に処理することを保証できない場合、米国のシステムからEUデータを遮断する必要がある場合があります。分析のためにデータを分離していますか？全国で分析しようとしている場合でも、分析は有効ですか？時々はい、時にはいいえ、そうですか？その結果、アナリティクスがミュートされることがあります。

前述したように、人工知能はここで機能します。明らかに、AIを使用してすべてのデータを検索し、すべてのデータを検索できますが、顧客インターフェイスでAIを使用する場合は、顧客との透明性が必要ですインターフェイスとそれはAIの強力なスーツではありませんでした。本当にAIだったのに、顧客に「何とか、何とか、何とかして拒否された」と伝えようとしました。それは今やらなければなりません。 AIがどのように機能しているかを把握する必要がありますが、その要因は何ですか？ただそこに座って、もうあなたにとってブラックボックスになることはできません。さて何をしようか？ GDPRボードを確立します。プライバシーシニアオフィサーをそこに置くことをお勧めします。データ保護オフィサーがいる場合は、明らかにその人です。データガバナンス、オペレーショナルリスク、および/またはコンプライアンスの責任者（該当する場合）、IT責任者、CIOがその人である場合。変更された管理者がいる場合、それはそこに素晴らしい人になるでしょう。あなたのビジネス全体で最も重要な部門の長であるだけでなく、人事の長でもあります。これは、プライバシートレーニングが今や巨大になるからです。誰もがプライバシートレーニングを受けようとするか、会社やコンサルタントに参加するときにプライバシートレーニングを受けるべきです。

ここに表示されているこれらのことをしていない場合は、期限を設定するよりも早く移動する必要があります。また、率直に言って、ゼロから始めて多くのEU市民データを扱う場合は、ここで多くの作業があるため、監査を受ける最初の人の1人ではないことを期待し始める必要があります。 DPOを雇い、データとプロセスのインベントリを作成します。データガバナンスの計画を作成し、それを現在の場所から必要な場所に持っていきます。場合によっては、開始することもできます。プライバシーポリシーとポリシー通知を作成します。プライバシーポリシーは内部のものです。ポリシー通知は外部に送信されます。ポリシー通知を中心に文化が形成され始めています。これらのポリシー通知について、多くの比較が行われ、多くの注意深い言葉遣いが行われました。新しいシステムを含むすべてのシステムのGDPRコンプライアンスチェックをチャーターします。それらをシーケンスし、重要度のある順序で実行する必要があるかもしれませんが、これは問題に取り組む別の方法です。システムと、システムが何をすべきか、このデータをどのように処理しているかを確認します。

GDPRは何を通知しますか？それは私たちがもう少し話をするためにここにいるものです。これについてキムが言わなければならないことを楽しみにしています。 GDPRは、データプライバシー管理における規制への移行です。それは透明性への傾向です、それは条項でそう言っています。私が話したように、私たちはこのプライバシー通知の文化を作り出しています、それは今のものです。プライバシーに関する通知などに関する会議を見る予定です。 GDPRのシフトは、人々の基本的な権利に向かっています。未解決の質問が解決されます。明らかに未解決の質問があります。私はここにいくつかのテーブルを残しました。誰も答えがありません。彼らはうまくいくでしょう。個人がデータとその使用方法について理解を深める傾向。これにより、EUの人々のデータの重要性についての意識が高まり、個人資産の1つとして、より多くの管理が必要であるという認識が高まったと思います。それは私が見た初期のシグナルの一部であり、エリック、私はあなたにそれを投げ返します。

エリック・カバナ：了解、キムに鍵を渡してください。キムは彼女の見解を共有できますが、それは良い概観だったと思います、ウィリアム、そしてあなたは重要なポイントにヒットしました。そして、私たちは皆、非常に率直に、非常に注意しなければなりません。それで、キーをキムに渡せば、画面を共有してそこから持ち出すことができます。

キム・ブラッシャバー：ねえ、聞こえますか？

エリック・カバナ：聞こえます。

キム・ブラッシャー：素晴らしい。ウィリアムは、これから説明するものと同じものをいくつか取り上げましたが、それらは本当に重要なので、再び取り上げる価値があると思います。新しい規制が引き継がれたとき、多くの異なる人々の視点と解釈を得て、何かがあなたの心を刺激し、コンプライアンスをさらに高めることができるようにすることは本当に良いことだと思います。 5月25日に来ると思うので、このコールに参加しているすべての人々に勇気づけられています。コンプライアンスを守られず、追いかけられている企業にとってパニックがたくさんあるかもしれません。

私の名前はキム・ブラシャベルです。私はIDERAのシニアプロダクトマネージャーです。私には、GDPRコンプライアンスやその他の規制に役立ついくつかの製品があります。いくつかの情報に飛び込みます。いくつかの事実といくつかの数値から始め、GDPRについて少し説明します。具体的には、ツールがどのように役立つかを説明します。 1つの事実は、毎日500万を超えるデータレコードが失われたり盗まれたりすることです。これがニュースで報告されるのを聞いていない、これが他の場所から入ってくるのを聞いていないが、私たちの下から直接盗まれている500万を超えるデータレコードがあります。攻撃者がネットワーク内で休眠している日数の中央値は200日です。多くのシステムは、悪意を持って、主にセキュリティと証明書の範囲内で情報を活用する機会を待っている人々によって既に侵入されていますが、彼らはすぐに襲い掛かるのを待っています。そのため、データセキュリティを処理することがますます重要になっています。 2020年の単一データ侵害の平均コストは、1億5, 000万ドルを超えると予測されています。これは、より多くのビジネスインフラストラクチャがオンラインリソースに接続され、クラウドで増加するためです。データのセキュリティを本当に懸念している場合は、これが予算の良い数字です。経営陣に与えて、これが深刻な問題であり、今後多くのお金がかかる可能性があることを伝えます。

Equifaxのデータ侵害について簡単に説明します。これは2017年の最大のデータ侵害だったと思うからです。この侵害は1億4, 550万人の顧客に影響を及ぼしました。従業員は、違反が発生する2か月前にWebアプリケーションのセキュリティ問題を認めました。従業員は「これは問題です」と言っていました。そしてそれより少し前でさえ、パッチが実際にリリースされました。違反が発生してからそれに対応し、Webアプリケーションをオフラインにするのに1日かかりました。 Equifaxにはデータセキュリティプロトコルが定義されていないため、何が起こっているのかを把握してからシステムをオフラインにできるようになるまでにかなりの時間がかかりました。違反の6週間後、一般の人々は警告を受けました。 GDPRを使用した場合（上記で説明しましたが、再度申し上げます）、72時間以内に報告する必要があります。Equifaxは、報告するまで6週間待機していたため、両手を縛り、コンプライアンスを満たすことができませんでした。違反に対応するための通信には、Equifaxが所有していなかったWebサイトが含まれていました。 Equifax自身が、自分のドメインにさえないこのツイートをリツイートしていました。幸いなことに、それを悪用したのは悪意のあるサイトではありませんでしたが、明らかに準備ができていませんでした。彼らには計画がありませんでした、そして、これは公共の場で非常に気づきました。 Equifaxは単独ではありません。これまでのところ、2017年には25を超える非常に高いサイバープロファイル攻撃があり、年末までにさらに多くのサイバー攻撃が見つかる可能性があります。人々はそこにいるので、企業はこれを真剣に考え始める必要があります。あなたが彼らにあなたに来たい理由を与えれば、あなたはそれを処理できるように準備した方が良いでしょう。

個人がデータセキュリティをどのように見ているかに関する他のデータの事実と数値。 2020年までに、家庭、ウェアラブル、電話、タブレット、そして今後何が来るかを知っている人によって、インターネットに接続されるデバイスが300億台になるでしょう。これらの攻撃に対して脆弱なままである多くのデバイスがあります。アメリカ人の49％は、5年前よりも個人情報の安全性が低いと感じています。アメリカの消費者の73％は、企業が個人データについて透明になることを望んでいます。 78％の人が、未知のリンクやメールをクリックするリスクを認識していると主張していますが、とにかくそれらのリンクをクリックします。これは、人口の4分の3以上であり、それが問題かもしれないことを知っています。インターネットユーザーの86％は、デジタルフットプリントの可視性を最小限に抑え、匿名化し、隠蔽しようと積極的に取り組んでいます。私の継父は、フォームに記入するときに出かけ、偽名を作成するのが好きです。なぜなら、彼は匿名になると思うからです。しかし、IPアドレスが追跡されていることもほとんど知りません。個人には多くの懸念があり、それがGDPR規制とおそらく続く追加の規制の多くを生み出しています。

データセキュリティ業界の事実に関する限り、2016年の侵害データレコードの90％は政府、小売、および技術からのものでした。サイバー攻撃の43％が中小企業を攻撃しました。「ああ、私は大物じゃない、彼らは私の後に来るつもりはない」と思うなら、彼らのほぼ半分はまだ中小企業を狙っている。ヘルスケア業界の75％がこの1年でマルウェアに感染しました。昨年、米国の石油およびガス会社の70％がハッキングされました。これは、稼働中のさまざまな業界に大きな影響を与えており、この数はここから増加するだけです。

エグゼクティブの観点から見ると、CIOの90％が不適切なサイバーセキュリティのために数百万ドルを無駄にしていることを認めています。 90％は、自分たちが攻撃された、または暗号化に隠れている男に攻撃されることを期待しているとも言っています。 87％が、セキュリティコントロールがビジネスを保護できないと考えています。 CIOの85％は、キーと証明書の犯罪的悪用が悪化すると予想しています。これは、このデータセキュリティの問題を検討している膨大な数の企業であり、現実には、多くの企業は、それが発生した場合でも対処できるほどの優れたソリューションを持っていません。それは起こります。

2014年の準備状況を見ると、ミレニアル世代の70％がITポリシーに違反して外部アプリケーションを企業に持ち込んだことを認めました。それを認めたのは70％です。おそらくそれ以上の数があり、実際にそれを実行しました。 2016年に成功したサイバー攻撃を受けた組織の52％は、2017年にセキュリティに変更を加えませんでした。一度攻撃されたとしても、まだ壁を塞いだり、防いだりしません。攻撃の前でした。これは本当に、企業がこれらのことを準備するために何を始めなければならないのかという疑問を投げかけていますか？グローバル組織の38％は、高度なサイバー攻撃に対処する用意があると主張しています。それはいいです–ほぼ半分がそこにあり、私はそれについて寛大に思っています、私たちは本当に3分の1に過ぎませんが、少なくとも半分は「準備ができていません。組織の38％がサイバーインシデント対応計画を持っています。攻撃を受けた場合、準備ができておらず、ハッカーはそれを知っています。ほとんどの企業はEquifaxと同じバケツに入っており、何をしようとしているのかわかりません。彼らがこれを手に入れたら、彼らは即座に反応し、これらのことを考え出さなければならないでしょう、そしてGDPRのような規制はこう言います。それらを公開する必要があります。そのような影響で、そのような規制で、私たちはこの曲線に先んじることができ、反動するのではなく、私たちの追求に積極的になることができれば幸いです。

GDPRについて少し話しましょう。このウィリアムの一部はすでにカバーしていますが、私は自分のテイク、声、私の観点から、それを再びカバーします。私が話している多くの企業は、「私は米国にいるのに、なぜこのEU規制を気にする必要があるのでしょうか？」と言っています。影響を受けるのはEU加盟国だけだと彼らは考えていますが、このリストを見ると、EU加盟国からこのデータを収集していますか？この情報のいずれかを収集した場合、GDPRの境界と、コンプライアンス違反の罰則が適用されます。これを吸収してこれを理解するための時間をお見せします。ウィリアムが前述したように、これらはGDPRの83条で言及されている罰則と制裁です。最初に手に平手打ちが来るかもしれません。ちょっとした警告があります。しかし、もしあなたが本当に大きな違反をしているなら-そしてそれがどれだけ大きいかによって-賠償のためにあなたに戻ってくるでしょう、そしてそれはかなりの数です。 1000万ではなく、2000万ユーロ、または前年の売上高/収益の4％。それは大金です。これは、経営陣に行って「これを真剣に受け止めなければならないことであり、行動を起こす必要がある」と言うのに多額の予算です。

第5条に概説されているGDPRの原則について少し見ていきましょう。彼らが言うことの1つは、個人データを合法的に、公正かつ透明に処理する必要があるということです。つまり、一般の人々は、あなたが自分のデータで何をしているのかを知りたいのです。それについて透明であり、それは公開されなければなりません。ほとんどの人は利用規約を読みませんが、これは通信できるようにする必要がある新しい情報であるため、「あなたのデータは適切に処理されています」と伝えることができます。明示的かつ正当な目的。つまり、このスパムの一部を取り除くことができれば幸いです。企業は、クイズの情報を収集して、あなたがどれだけ面白いかを教えてくれ、実際には、彼らはあなたのデータを取り、他の人にそれを売り返していると言います、その目的が何であれ使用できるようにします。企業は今、はるかに責任を持ち、あなたの情報を何に使っているのかを正確に言う必要があります。また、個人データは適切で、関連性があり、必要なものに限定されている必要があるとも述べています。多くの企業は、すべての情報を取得してビッグデータプールに格納することを好み、その後、情報を使用して何をしたいのかを把握し、必要以上に多くを収集します。これは、それを収集して他の場所で使用できないと言っています。また、すべてを収集するだけでなく、後でそれが役立つことを期待することもできません。情報を収集する理由を非常に明確にする必要があり、収集するデータに関連する必要があります。

個人データも正確で最新のものである必要があります。データを収集したら、ユーザーにデータを更新する方法を提供する必要があります。彼らは戻って、「あなたが個人的に識別可能な情報について私に尋ねた調査についてこの意見を持っていたので、戻って、それを今すぐ変更して更新したい」と言うことができる必要があります。それを可能にする方法を彼らに与えるために。個人データは、必要以上にデータ主体を特定できない形式で保管する必要があります。ウィリアムズのポイントに戻って、この情報を永遠に収集することはできないということです。あなたが有効で必要だと思うことを考え出さなければなりません。その後、データを完全に消去する必要があります。また、無許可または違法な処理、偶発的な損失、破壊または損傷に対する保護など、適切なセキュリティを確保する方法で処理する必要があります。

前にも言ったように、これについて本当に真剣に取り組む時が来ました。データ侵害や収益の損失、プロセスを負担するコストという形で会社に負傷を負わせるだけでなく、これらのデータ侵害を止めましょう。、しかし、GDPRからあなたの上に罰金の山が平手打ちされることもあります。それについて本当に真剣に取り掛かる時が来ました。GDPRが発効すると、企業は厳しい現実に直面することになると思います。幸運なことに、今日電話をかけているあなたの人はこれについて考え始め、知ることができますこれらのことをどのように実行するか。

GDPRは、個人の権利とは何かについても多く語っています。それは本当に個々のユーザーを探しています。最初のことは、個人データにアクセスする権利です。ユーザーは、個人的に特定された情報に関する限り、ユーザーが収集した情報を知る必要があり、それにアクセスできる方法を提供する必要があります。修正する権利もあります。これは、「あなたが持っている情報を修正できるようにする必要があります」と言うのが素晴らしい方法です。消去する権利–再び、多くの人々が忘れてください–個人が「あなたは何を知っている、私はあなたが私が超楽しい男の漫画本コレクターであることをもはや知ってほしくありません。あなたはそれを取り除く必要があります。私はそれをからかっていて、あなたのリストを完全に消してくれる友人を何人か持っています。」あなたはそれをすることができる必要があります。処理を制限する権利もあります。これは、ユーザーが情報の処理方法を制限できることを意味します。「新しい車を購入しているので、情報を盗むことは構いませんが、新しい車が発売されるたびにその情報を使用して電子メールを送信したり、新しい取引でスパムを送ったりしないでください」と言うことができます。データの移植性の権利。これは、ユーザーが自分のデータのコピーを取得し、他の場所に持っていくことができることを意味します。多くの組織が情報を収集しており、その情報には粘着性の要素があり、個人は次のように言うことができます。「あなたは何を知っているのか、自分の情報をすべて手に入れてほしいのです。以上。」

どのようにそれを実現できるか、どのような情報を収集して送信できるかについて、将来の組織から考えるべきことがたくさんあります。異議を申し立てる権利もあり、ユーザーはデータの処理にも異議を唱えることができます。自動処理またはプロファイリングのみに基づいて決定の対象とならない権利。これは、B2Bマーケティングに大きな影響を及ぼします。A/ Bテストを行い、特定しようとすると、コロラド州はカリフォルニア州よりもメッセージの影響を受けやすくなります。状態と他の状態を比較し、個人がそれをオプトアウトできる方法を検討する必要があります。

データ侵害と人々のデータの見方に関する恐ろしいものがあり、肩にかけられているこの巨大な規制があるので、私は今あなたに与えるためにここにいますIDERAがどのように役立つかについてのソリューション。第15条では、個人データへの露出を制御する方法について説明しています。誰がデータにアクセスしているかを知る必要があります。使用方法。処理されたデータの量と、私がプロダクトマネージャーであるSQL製品コンプライアンスマネージャーを使用すると、データにアクセスしているユーザーとその方法を確認できます。 SQLコンプライアンスマネージャーは、SQL Serverソリューション用です。 SQL Serverデータベースがある場合は、この製品を接続してこの情報を監査および確認できるため、GDPRに準拠し、GDPRの使用方法を正確に把握できます。データ侵害が発生する前に確認することもできます。これについては別のスライドで説明します。また、「処理活動の記録が必要です。 SQL Compliance Managerは、セキュリティ、DDL、DMLを含むサーバーとデータベースの監査を維持し、機密データを定義します。ログを記録し、操作を監視する必要があります。。 SQL Compliance Managerを使用すると、セキュリティアクセスを監査し、試行を記録できるため、誰が情報にアクセスしているか、誰がログインしているか、特権ユーザーか、既知のユーザーか、悪意のあるユーザーかどうかを確認できます。

第33条は、監督当局への個人データ侵害の通知について述べています。これらの違反を検出できる必要があります。影響を評価できるようにするための記録が必要です。どれだけ早くそれを修正するかを知る必要があります。これを行うために、SQLコンプライアンスマネージャーを使用すると、データベースにアラートを設定して、機密データにアクセスできるユーザー、アクセスしたタイミング、アクセスしたユーザーに見えるようにすることができます。また、通常の特権ユーザーを監査から除外することもできます。システム管理者またはネットワーク管理者がそれにアクセスしようとしていることを知っていて、レポートを詰まらせたくない場合は、それらを除外して、「その情報以外で起こっていることをすべてください」と言うことができます。誰かがあなたのデータに悪意を持ってアクセスしているかどうかを迅速に特定し、アラートが発生している可能性があります。アラートが発生すると、情報がアクセスされた瞬間を知らせ、取り締まることができます。 Equifaxのように、何が起こっているのかを把握するために丸1日待つ必要はありません。

データ保護と影響評価について説明する記事もあります。これは、リスクを評価し、それらが何であるかを理解するだけでなく、GDPRへのコンプライアンスを実証および文書化することです。 SQL Compliance Managerを使用すると、監視されている要素についてレポートできます。簡単に言えば、SQLコンプライアンスマネージャーでデータを監査するSQLコンプライアンスマネージャーを使用すると、ログインの失敗を検出できます。これは、潜在的な侵害の兆候です。管理アクティビティとセキュリティの変更を監視し、データベースの変更を警告し、監査します機密情報として定義する列、特権ユーザーを特定し、システム内の他のユーザーとは別にその活動を追跡し、いくつかの規制ガイドラインに従って情報が監査されていることを報告します。 GDPRをカバーするだけでなく、HIPAA、PCI、FERPA、SOX、情報の監査とアクセス対象の理解に関する規制ガイドラインのすべてをカバーします。これらの規制ガイドラインは整っています。

IDERAにはGDPR準備のための追加製品もあります。 SQL Compliance Managerの監査だけでなく、ER / Studio Enterprise Team Editionを使用すると、データプロセスを文書化し、データ標準をデータモデルに組み込むことができます。ウィリアムが前のスライドで説明したデータ用語集を作成できます。。このプレゼンテーションで述べたように、SQLコンプライアンスマネージャーは、情報を監査して、間違った人がデータにアクセスしていないことを確認し、監査員にこれを証明するのに役立ちます。 SQL Safe Backupは、データとバックアップの暗号化に役立ちます。暗号化はGDPRの重要な部分です。ComplianceManagerの資産に重点を置きたいため、詳細については説明しませんでしたが、データの安全性を保つために、SQL Safe Backupは多くの暗号化を行います。 SQL Inventory Managerは、サーバーにパッチが適用され、最新であることを確認できるため、Equifaxのようなケースに陥ることはありません。Equifaxには、人々ができる大きなセキュリティホールを与える古いパッチがありました。悪用する。 SQL Secureは、プライバシーおよび暗号化標準を監査できます。

IDERAコミュニティWebサイトの詳細については、ブログに「GDPRの準備」と「2018年に向けて」および「GDPRの影響がどうなるかを理解する」を掲載しました。SQLコンプライアンスマネージャーの試用版もダウンロードできます。 IDERAだけでなく、先ほどスライドで言及した他の製品でも同様です。

この時点で、私はいくつかの質問をすることができるように、先に進んでプレゼンテーションをエリックに引き渡すつもりです。

エリック・カバナ：わかりました 。キム、いくつかの非常に興味深いことに触れました。そのうちの1つは、これは一種簡単なことだと思いますが、かなり巧妙です。ログイン失敗の検出についてお話しました。誰かが良いことをしていないというかなり良い兆候だと私には思えますか？

キム・ブラッシャバー：もちろんです 。パスワードにアクセスしてクラックしようとしている人を見つけた場合、それは誰かが本来あるべきことをしていないと言うことができる非常に迅速な方法です。数回はパスワードを間違って入力するかもしれませんが、そのうち30個が表示された場合、それは悪い兆候です。

エリック・カバナ：うん。ここで重要なのは、適切なコンテキストでアラートを設定することです。アラートを設定し、本来すべきことをしていないアラートを非アクティブ化するプロセスを管理する方法と、自動化できるものについて他に教えていただけますか？

Kim Brushaber：コンプライアンスマネージャーには、構成可能な多くのアラートと、確認可能なレポートがあります。 SQLトレースを実行し、自動的に追跡し、すでに事前設定および事前定義されている多くの機能を備えていますが、確かにかなりの量のカスタマイズを行うことができます。

エリック・カバナ：ウィリアム、これを紹介します。機械学習が今後2年から10年ほどかけて登場する分野の1つだと思います。さまざまな可能性。システムがその効率を最適化できるさまざまな方法をすべて見ると、侵害などの問題に関する効果があります。それもあなたの意見ですか？

William McKnight：ええ、絶対です。私たちは今、自分自身を修復するシステムを構築していると思います。 24時間年中無休の監視は過去のものとなりつつありますが、そのような稼働時間は依然として必要です。システムの大部分が組み込まれ、それが何が間違っているのかを理解していると思います。ここにさらにスペースを割り当てる必要がありますか、それとも何が必要ですか？ええ、それは間違いなく私たちの未来の一部だと思います。何かに対応するために、アクションのいくつかのステップにマッピングできるものはすべて、間違いなく人工知能に対して脆弱です。

Eric Kavanagh：それは良い点です。ウィリアムに質問をもう1つ投げます。なぜなら、この分野について多くの研究を行っていることを知っているからです。私が長い間待っていたものの1つは、まだそこにいるとは思わない-私が読んで考えていることから、私たちは近づいていると思う-規制問題、これらの事柄の実際の言い回しを吸収し、それを機能とソフトウェアにマッピングする技術がある日。私が言うように、私たちはまだそれからの方法です-私はそれに取り組んでいる誰かがいないことを想像することはできません。そのような何かに出くわしたことはありますか？それとも、人間がルールを見て、実際にそれらを理解し、本質的にマシンコードで体系化し、それからさまざまなアプリケーションにトルクをかける必要がある時点ですか？

William McKnight：そうですね、あなたがここで共有している概念は確かにわかります。私は、それに関連する環境での展開に向けて何が起こっているのかよく知らない。私は一般的に言って、明らかに、私たちはマシンに何をすべきかではなく、私たちがやりたいことの目標を伝え始めており、マシンは詳細を理解することではるかに賢くなっています。私たちの組織で人工知能を取得したら、組織内に展開されているAIに合わせて新しい規制を開発し、今後説明する方法で展開できる可能性が高いと思います。今のところ、私たちはそれで行動していません。

エリック・カバナ：キム、あなたに投げかける質問です。平均的な待ち時間、またはシステムにログインする誰かが隠れて待機する時間（攻撃者がネットワーク内で休眠状態にある日数）の検出については、200です。それ、まず第一に？しかし、また、この種のルールを使用して独自のシステムを探索する方法はありますか？あなた自身のデータを探索し、この種の人々を締め出すより良い仕事をするために？

Kim Brushaber：ええ、明らかに早期発見が重要だと思います。これらの悪意のあるサイトがあなたの情報にアクセスしており、それをロックダウンできることを理解する必要があります。他のスライドでは、ほとんどの組織がこれらのポリシーを実施していないことを示していると思います。それが彼らがそこに座っている理由です。実際にアクセスしてアクセスをロックダウンし、適切なユーザーがアクセスできることを確認するためのポリシーが設定されていたと思います。定期的にキーを回転させて更新していることを確認してください。パスワードが定期的に更新されていることを確認してください。現時点では、ほとんどの組織はそれを行っていません。これらのピースを適切な場所に配置し始めることで、これを超えることができます。

それはもちろん、ハッカーがそれについてもっと巧妙になることを意味しますが、現時点では簡単です、「私は侵入したいと思う通りの家を見るつもりです、彼らは警戒しますか？システム？彼らには小さな警告サインがあり、犬には犬がいますか？警戒標識がなく、犬がいない家に行きます。それは私が侵入する家です。」そう、彼らはそうでない会社を見つけるでしょうこれらのパッチを適切に配置し、セキュリティが適切に設定されておらず、パスワードを更新していないため、そこに行ってガソリンスタンドでクレジットカードを数回使用して確認しますあなたはそれをシャットダウンしておらず、そして彼らが大きな変化に影響を与えることができるとき、通常はある種の政治的声明か、そうでなければ彼らが彼らの頭をポップアップするのを見ます。これらのポリシーを適切に設定したら、この時点で、このゲームを先に進めるために、最小限の手順を踏むことができると思います。

エリック・カバナフ：それはおそらく最善のアドバイスです。セキュリティの分野や規制の分野にいる人々と話すとき、私はいつもこれを聞いています。その基本はあなたの問題の80％をカバーし、それはカバーすべき多くの根拠です-それはいい視点ね。出席者の一人が、GDPRコンプライアンスの取り組みから得られるビジネスチャンスを拡大できるかどうかを尋ねました。Sarbanes-Oxleyのことを思い出しました。コンサルタントとして、特定のプロジェクトの範囲外のクライアントを支援する方法を常に探しています-少なくともあなたがそれをしている優秀なコンサルタントであれば。 GDPRについて人々に話すとき、あなたが彼らに焦点を当てた何らかのプロジェクトに従事する場合、彼らが得るであろうと宣伝できる補助的な利点は何ですか？

William McKnight：まず、GDPRの背後にある考え方は、市民に対する完全な権利ではないことに注意することが重要です。GDPRの反対側には、これが市民の企業に対する信頼を向上させ、準拠している企業でより多くのビジネスを行うことを奨励します。 GDPRを実際に達成することには、これらの補助的な利点がありますが、現在社内では、組織内でキックオフされているあらゆる種類のイニシアチブを促進するのに役立つデータガバナンスプログラムが機能しています。組織内でオフ。私は最近、多くの人と2018年の計画を立てています。彼らは多くのデータを処理しなければなりません。彼らはデータの65〜90％に相当します。または営業担当者を監視するダッシュボードは、主にデータに関するものです。そのデータをより適切に管理し、そのデータに関するあらゆる質問に答えることができ、データガバナンスプログラムのように本当に気になる人々を指名するより良いアーキテクチャにそれを置きます。キムがツールについて話していたように、データ用語集を提供するものはすべて、それを行うものであれば、これらのイニシアチブをより効率的にし、リスクを取り除き、時間を短縮し、予算を削減して私たちを獲得するのに非常に役立ちますすべての企業であるイニシアチブを行っている企業にとって、より迅速で優れたものを市場に投入するアジャイルな時間です。

エリック・カバナ：信頼という概念が大好きです。信頼は、私たちの世界では非常に過小評価されている現実であり、率直に言って、ほとんどのビジネスは信頼に基づいていると思います。キム、いくつかの最後のコメントのためにあなたにそれを投げます。ここで追加する重要な価値の1つは、信頼を向上させ、信頼の文化を醸成することだと思います。それは、それ自体が会社自体、社内の人々だけでなく、その種の理由で一般の人々にも肯定的な影響を与えるからです物事がこぼれる、それは私には思えますが、あなたはどう思いますか？

Kim Brushaber：ええ、Googleで働いている友人やFacebookやいくつかの大規模で有名な組織で働いている友人と話をするとき、彼らはセキュリティプロトコルとパフォーマンスを実装するほど多くの新機能を実装していないと思いますユーザーエクスペリエンスを、その情報を信頼できるものにしたいと考えているためです。私たちはそのような信頼を提供するために前進し続けているので、企業にはその責任があると思います。人々が最初にクレジットカードのオンライン化を始めたときのことを覚えています。人々は、「ああ、神様、私はその情報を安全ではないのでそこに公開するつもりはありません。」

そして今、あなたのクレジットカードはどの方向にも行きます。理論的には、HTTPS証明書を持っているのであなたは会社を信頼できると思うからです。それから、クレジットカードがどこにあるのかというターゲットデータ侵害について耳にします。「ああ、その情報を手放すので、クレジットカードを取り引きした方がいい」。これは双方向の感情だと思います。個人は、大規模な組織でこれを信頼し、信頼できるようになることははるかに簡単であるため、より信頼したいのですが、大規模な組織は介入してこれらのピースを配置する必要があると思います」 t個人を傷つけるか、市場シェアを失う。「よくわかります。もうTargetで買い物をするつもりはありません。今はAmazonで買い物をするつもりです。」私たちが言ったように、信頼は大きな問題だと思います。彼らはそうでないかもしれないと知っていても、電子メールでそのリンクをクリックするつもりです。たとえ彼らがあなたを信頼していても、人々にはある程度の保護があります。

Eric Kavanagh：それは良い点です。ご存知のとおり、最後の質問を1つ、ウィリアム、または少なくとも1つに投げます。良い質問がいくつか入っています。出席者は次のように書いています。「GDPRはID管理を顧客に戻します。 Equifaxは1億4900万人の消費者に永久的な損害を与えました。非常に真実であり、「デジタル経済を汚染しています。アイデンティティ管理に関する顧客の所有権に関して、米国でどのような変化が見られますか？」

William McKnight：そうですね、この種のことになると、私たちは常に米国に遅れをとっていませんか？ 1億4900万人、それはすぐそこにバケツに落ちない。まるでテロのようですね。私たちは慣れているだけで、いつも起こっています。何かする必要があると思います。 GDPRは、市民に与える権利が好きだと思いますが、それは優先事項ではないようです。他にも多くの優先事項があり、どこに行くのかわかりません。私が持っていた分岐スライドで述べたように、これはデータに対する消費者のより多くの権利へのシフトを示していると思います。アメリカでそれが起こると？私は知らない、それは米国でここで起こっているGDPRに相応する何かを見るために、最大5年オフになるかもしれない。

エリック・カバナフ：それは本当に良い点です。私たちはこれにもっと努力をするつもりだと思います。それは私たちが直面している、私たちは最近そのようなデジタル経済に移行しているからです。そして、ここでの最後のコメントとして、少し哲学的で政策志向になったので、これがキャッシュレス社会への移行について最も懸念されるのは、現金がなくなると、すべてがデジタルになり、すべてのシステムがハッキングできるからですそして、すべての人の身元が盗まれる可能性があります。私は、ここで部屋の中にいるかなり大きな象だと思います。アイデンティティ管理の未来に目を向けると。

これは素晴らしいものです。今日は時間と注意を払ってくれたWilliam McKnightに感謝します。 IDERAのKim Brushaberに感謝します。これらのウェブキャストはすべて後で見るためにアーカイブしますので、通常は数時間以内に戻ってきてください。アーカイブの準備が整います。それで、皆さん、お別れを申し上げます。ご清聴ありがとうございました。バイバイ。