3.3ポリシー/標準準拠の確認

エンドポイントの安全は、優れたツールを1台ずつ入れるだけでは保てません。「組織にどんな端末とソフトがあるかを把握する」「決めた手順でソフトを配る」「壊れても戻せるようにバックアップする」「法令や業界基準を守る」といった運用のルール（ポリシー）と、それが実際に守られているかの確認があって初めて成り立ちます。この節では、まず何がどれだけあるかを台帳にする資産管理（ハード/ソフトのインベントリ）、統一されたプログラム配布、いざという時のバックアップ、そして守るべき規制——PCI DSS（カード情報）・HIPAA（医療情報）・GDPR（EUの個人データ）——と、私物端末を業務に使うBYODの管理課題を、「この端末は基準を満たしているか」を見分ける視点で学びます。

3.3.1資産管理・プログラム配布・バックアップ

• 資産管理＝組織のハードウェアとソフトウェアをインベントリ（台帳）として把握すること。「何が・どこに・どのバージョンであるか」が分からなければ、脆弱なソフトの放置や、許可されていないソフト（シャドーIT）を見つけられない。パッチ適用や更新の前提として、正確なインベントリが欠かせない。
• プログラム配布＝ソフトを各端末に統一された手順で配る仕組み（配布サーバやMDM等）。個々人が勝手に入れるのではなく、検証済みのソフトを一元的に配ることで、バージョンの統一とマルウェア混入の防止につながる。
• バックアップ＝データを別の場所に複製し、障害・誤削除・ランサムウェアからの復旧に備えること。3-2-1ルール（3つの複製・2種類の媒体・1つは別拠点）が定番の指針。バックアップは「取っているか」だけでなく「戻せるか（復元テスト）」まで確認して初めて意味を持つ。

3.3.2規制準拠とBYOD

• 守るべき代表的な規制は扱うデータで決まる：PCI DSS＝クレジットカード情報を扱う事業者の基準／HIPAA＝米国の医療情報保護／GDPR＝EUの個人データ保護（域外にも適用されうる）。「どのデータを扱うか」で適用される規制が変わる、という対応づけが要点。
• BYOD（Bring Your Own Device）＝私物の端末を業務に使う運用。利便性が高い一方、会社が完全に管理できない端末に業務データが載るため、デバイス管理（MDM）・暗号化・アプリ配布/制限・構成管理でリスクを抑える必要がある。紛失時のリモートワイプや、業務領域と私的領域の分離が典型的な対策。

あなたの勤務先が、オンラインで商品を売るためにクレジットカード決済を新しく始めることになったとします。ここで「これまでどおりの運用でいい」と考えるのは危険です。カード情報を扱う以上、PCI DSSという業界基準への準拠が求められ、そのためには「そもそも自社にどんな端末とソフトがあるのか」を正確に把握する資産管理（インベントリ）が出発点になります。台帳がなければ、古い脆弱なソフトがどこかに残っていても気づけないからです。次に、決済に関わるPCへは、検証済みのソフトを統一された手順（プログラム配布）で入れ、勝手なインストールを防ぎます。そして万一に備え、決済記録を含む重要データはバックアップを取り、しかも実際に復元できるかをテストしておきます——「取っていたのに壊れていて戻せなかった」では意味がないからです。さらに、営業担当が私物スマホで受発注をしたいと言い出したら、それはBYODの管理課題です。私物端末に業務データやカード関連情報が載るなら、MDMによる管理・端末暗号化・紛失時のリモートワイプといった対策なしには許可できません。ここで大切なのは、扱うデータ（カード＝PCI DSS、医療＝HIPAA、EU個人データ＝GDPR）と端末の持ち方（会社支給かBYODか）に応じて、必要な基準と管理策を選ぶという発想です。入門段階では各規制の細かな条項を暗記する必要はなく、「どのデータ/端末に、どの基準・どの管理策が要るか」の対応関係を正しく持つことが、準拠の第一歩になります。

3.3.3この節のまとめ

• 資産管理（ハード/ソフトのインベントリ）はパッチ/更新の前提。バックアップは3-2-1と復元テストまでして意味を持つ
• 規制は扱うデータで決まる：PCI DSS＝カード／HIPAA＝医療／GDPR＝EUの個人データ（域外にも及びうる）
• BYODは私物端末に業務データが載るため、MDM・暗号化・アプリ配布/制限・構成管理でリスクを抑える