戦略的投資に程遠い国内企業のセキュリティ実態、「前年度と同じ予算」「既存の人員で十分」が6割――IDC調べ（2/2 ページ）

[金澤雅子，ITmedia]

GDPRを知っている企業は全体の半数以下

　欧州経済領域の個人データ保護を目的に2018年5月25日に施行される「EU 一般データ保護規則（GDPR：General Data Protection Regulation）」について調査したところ、GDPRを「知っている」とした企業は、EU圏でビジネスを行っている企業では9割と、認知度は高かったものの、「既に対策済み」の企業は2割未満で、対策が遅れていることが分かった。

　一方、国内企業全体では、過半数の企業がGDPRを知らなかった。

　GDPRに対する重大な課題としては、EU圏でビジネスを行っている企業では「RTBF（Right To Be Forgotten：忘れられる権利）／削除する権利」が、EU圏でビジネスを行っていない企業では「データの暗号化および（または）匿名化」が、最も多い結果となった。

　GDPRは、EU域外に拠点のある企業でもEU域内の「個人データ」を扱う限り適用され、違反すれば巨額の罰金が企業に科せられる。情報漏えいした場合は72時間以内の報告が義務付けられている。さらに、GDPRでは、「Data protection by design and by default（データ保護・バイ・デザイン／バイ・デフォルト）」が明記されており、システム設計の段階からデータ保護が考慮され、ビジネスプロセス上でデフォルトとしてデータ保護プロセスが導入されていることが求められる。

　悪用される恐れのある個人情報の保護を目的とした法案やガイドラインの作成では、パーソナルデータの収集と収集目的、所有者からの同意、内容の正確さと訂正、データの保護と保管、データの移行と公開、データの破棄といった、個人情報保護に関する「データライフサイクル管理（DLCM：Data Lifecycle Management）」の原則が導入されている。

　IDCでは、ユーザー企業においても、個人情報保護に関するデータライフサイクル管理の原則を行う必要があり、それがビジネスプロセスに組み込まれて展開されることが重要と指摘している。