第5章 · インシデント対応·v1.0.0·更新 2026/7/17·読了目安 約13分
変更要約: 初版
5.3コンプライアンスフレームワークの影響
この節の要点
カード情報のPCI-DSS、医療情報のHIPAA、EU個人データのGDPR、教育記録のFERPA、米連邦システムのFISMAという代表的な規制が「どのデータを守るためのものか」の対応関係と、侵害時にどこへ・いつまでに知らせるかという報告/通知要件が、インシデント対応の手順にどう影響するかを、入門レベルで学びます。
インシデント対応は技術だけでは完結しません。扱っているデータの種類によって、「侵害したら誰に・いつまでに知らせなければならないか」を法律や業界規則が定めているからです。この節では、カード情報のPCI-DSS、医療情報のHIPAA、EU個人データのGDPR、教育記録のFERPA、米連邦システムのFISMAという代表的なコンプライアンスフレームワークがどのデータを対象にするかの対応関係と、侵害時の報告/通知要件がインシデント対応の手順にどう影響するかを、入門レベルで学びます。
5.3.1代表的なフレームワークと対象データ
- PCI-DSS＝クレジットカード会員データを守る業界標準（カードブランドが策定）。HIPAA＝米国の医療情報（保護対象保健情報）の保護規則。データの種類で使い分けを問う定番なので「カード＝PCI-DSS／医療＝HIPAA」を確実に。
- GDPR＝EU（欧州）の個人データを保護する法律で、EU域内の人のデータを扱うなら域外の組織にも及ぶ。FERPA＝米国の学生の教育記録のプライバシーを守る法律。「EU個人データ＝GDPR／教育記録＝FERPA」で覚える。
- FISMA＝米国の連邦政府の情報システムにセキュリティ管理を義務づける法律。対象は連邦機関とその関連システム。「米連邦システム＝FISMA」。これら5つは守るデータ・対象領域が違うので、状況文に出る「何のデータか」で選ぶのがコツ。