Regulations, standards and frameworks

ルールとロードマップの世界へようこそ！

未来のCPA候補生の皆さん、こんにちは！情報システムとコントロール（ISC）セクションの中で最も重要な章の一つへようこそ。この章では、規制（Regulations）、基準（Standards）、そしてフレームワーク（Frameworks）について深く探究していきます。

IT業界特有の「アルファベットのスープ」（NIST、HIPAA、GDPRなど、略語が多すぎて混乱すること）に圧倒されたことはありませんか？大丈夫です！この章は、ITの世界における「交通ルール」を学ぶものだと考えてください。交通法規がドライバーの安全を守るように、これらの規制やフレームワークはデータを守るために存在します。このノートを読み終える頃には、組織がどのようにして法を遵守し、セキュリティを確保しているのかが手に取るようにわかるはずです。

1. なぜこれらのルールが必要なのか？

具体的な名称に入る前に、まずは「なぜ」必要なのかを理解しましょう。組織がデータを守るのは、単に「いい人」だからではありません。理由は主に3つです。
1. 法律（規制）： 政府によって義務付けられているから（違反すれば巨額の罰金が科せられます）。
2. 信頼（基準）： 顧客は、信頼できると判断した企業にしかデータを提供しないからです。
3. 効率性（フレームワーク）： セキュリティ対策をゼロから考えるより、すでに用意された「設計図」に従うほうが効率的だからです。

クイックレビュー： 規制は強制（やらなければならないこと）であり、フレームワークは規制を達成するための自主的なガイド（やるべきこと）です。

2. 主要な規制：「必ず守らなければならない法律」

米国CPA試験では、どの法律がどの業界に適用されるかを理解しておく必要があります。重要なものを整理してみましょう。

A. HIPAA（医療保険の相互運用性と責任に関する法律）

PIIは個人を識別できる、または個人に結び付けられる情報です。HIPAAのPHIは、対象事業者または業務提携先が保持・伝達する個人識別可能な健康情報であり、一定の雇用・教育記録などの法定除外があります。個人の健康に関する情報がすべて自動的にPHIになるわけではありません。

B. GLBA（グラム・リーチ・ブライリー法）

焦点： 金融機関
GLBAは、銀行や保険会社に対し、顧客データの共有方法や保護措置を説明することを義務付けています。これにより非公開個人情報（NPI）が守られます。
覚え方： GLBAの「B」はBank（銀行）の「B」と覚えましょう。

C. プライバシー関連法（GDPRとCCPA）

GDPRの適用はEU拠点、EU内の人への商品・サービス提供や行動監視等により、単なる国籍では決まりません。消去以外にも権利・義務があり条件・例外があります。CPRA改正後のCCPAは適用対象の加州消費者に知る・アクセス、削除、訂正、販売・共有拒否、機微情報の一定利用制限等を認めます。「簡易GDPR」だけでは不正確です。

重要ポイント： 問題文に「患者（Patients）」とあればHIPAA、「銀行（Banks）」とあればGLBA、「消費者の権利」とあればプライバシー関連法を連想しましょう。

3. セキュリティフレームワーク：「守りの設計図」

フレームワークとは、いわばチェックリストです。会社がセキュリティ対策を整理し、漏れがないようにするためのものです。堅苦しく感じるかもしれませんが、要は「良いアイデア」をリスト化したものに過ぎません。

A. NIST サイバーセキュリティフレームワーク (CSF)

NIST CSF 2.0はGovern、Identify、Protect、Detect、Respond、Recoverの6機能です。Governは戦略、責任、方針、全体監督を扱います。5機能は旧CSF 1.1です。一般に任意の枠組みでも法令・規制・契約により必須になり得ます。

B. COBIT (Control Objectives for Information and Related Technologies)

焦点： ガバナンスと管理
ISACAが作成したもので、「パスワードの設定方法」といった技術面よりも、「取締役会がどのようにITを監督すべきか」に焦点を当てています。ビジネス目標とIT目標の橋渡しをする存在です。

C. ISO/IEC 27001

焦点： 国際基準
世界に対して「私たちは安全です」と証明したい企業が取得するISO 27001認証。国際的な先生から「A+」という評価をもらうようなものです。

クイックレビュー： NISTは実用的な米国の青写真。COBITは経営層向け。ISOは国際的な認定用です。

4. SOCレポート：信頼を構築するもの

CPAとして、SOC（システムおよび組織のコントロール）レポートという言葉をよく耳にします。エリアII（セキュリティ、機密性、プライバシー）では、SOC 2が主役です。

TSCの5カテゴリーはセキュリティ、可用性、処理のインテグリティ、機密性、プライバシーです。選択したカテゴリーには関連する共通規準も適用します。機密性は、営業秘密と個人情報の両方を含む、機密に指定された情報を保護します。プライバシーは、適用される約束・要件に従い、個人情報の収集、利用、保持、開示、廃棄を管理します。両者は重なり、顧客口座情報は両方の対象になり得ます。

豆知識： Type Iレポートは、特定の時点におけるコントロールのデザイン（設計）を評価します。Type IIレポートは、一定期間（通常6ヶ月）にわたってコントロールがどれだけうまく機能したかを評価します。Type IIの方がはるかに価値があります！

5. よくある間違いを避けよう

機密性は、営業秘密と個人情報の両方を含む、機密に指定された情報を保護します。プライバシーは、適用される約束・要件に従い、個人情報の収集、利用、保持、開示、廃棄を管理します。両者は重なり、顧客口座情報は両方の対象になり得ます。

NIST CSF 2.0はGovern、Identify、Protect、Detect、Respond、Recoverの6機能です。Governは戦略、責任、方針、全体監督を扱います。5機能は旧CSF 1.1です。一般に任意の枠組みでも法令・規制・契約により必須になり得ます。

6. 学習用クイックサマリーテーブル

NIST CSF 2.0はGovern、Identify、Protect、Detect、Respond、Recoverの6機能です。Governは戦略、責任、方針、全体監督を扱います。5機能は旧CSF 1.1です。一般に任意の枠組みでも法令・規制・契約により必須になり得ます。

試験へのアドバイス：

CPA試験では、特定のシナリオに対してどのルールが適用されるかを識別できるかどうかが問われます。問題を読むときは「医療」「銀行」「ガバナンス」「国際」といったキーワードを探してください。それらのキーワードが正解への地図となります！

最初は覚えるべき名前が多くて大変に感じるかもしれませんが、大丈夫です。そのルールの背後にある意図（結局は、悪意ある人が機密データに近づかないようにすることです）を考えながら学習を進めていきましょう！