セクション: インシデント管理と対応

= 適用されるデータプライバシー規制に準拠する必要がある新しいデータ保護プログラムを確立する際の最初のステップは、個人データが保存されているシステムのインベントリを作成することです。個人データとは、氏名、住所、電子メール、電話番号、識別番号、位置データ、生体認証データ、オンライン識別子など、識別された、または識別可能な自然人に関連するあらゆる情報です。データプライバシー規制は、個人データの収集、処理、保管、転送、および廃棄を規定し、個人データへのアクセス、修正、消去、または使用の制限などの権利と保護をデータ主体に付与する法律および規則です。データプライバシー規制の例としては、欧州連合の一般データ保護規則（GDPR）、米国のカリフォルニア州消費者プライバシー法（CCPA）、シンガポールの個人データ保護法（PDPA）などがあります。個人データが保存されているシステムのインベントリを作成することは、データ保護プログラムにとって不可欠です。これは、次のことに役立つためです。
* 組織が収集および保有する個人データのソース、種類、場所、およびそれらが使用される目的と法的根拠を特定します。
* 個人データに関連するリスクと影響、および適用されるデータ プライバシー規制に基づくコンプライアンス要件と義務を評価します。
* 暗号化、仮名化、アクセス制御、バックアップ、監査ログなど、個人データを不正または違法なアクセス、使用、開示、変更、紛失から保護するための適切な技術的および組織的対策を実施します。
* 個人データをそのライフサイクル全体にわたって管理し、データ主体またはデータ保護当局からの要求や苦情に対応するためのポリシー、手順、プロセスを確立します。
* データ保護プログラムのパフォーマンスと有効性を監視およびレビューし、データ侵害やインシデントがあれば報告して解決します。
参考資料 = CISM レビューマニュアル、第 16 版、第 3 章: 情報セキュリティ プログラムの開発と管理、セクション: データ保護、202 ～ 2051 ページ; CISM レビュー質問、回答および解説マニュアル、第 10 版、質問 71、662 ページ。

説明
ランサムウェア攻撃を受けた後、クリーンなデータを復元できるようにするには、複数のオフラインバックアップを維持することが最善の方法です。オフラインバックアップはネットワークに接続されていないため、ランサムウェアによる侵害を受けることはありません。さらに、バックアップの整合性チェックを実行することで、ランサムウェアによって破損した可能性のあるバックアップを特定し、破棄することができます。
機密性の高い本番環境データを暗号化し、サイバー保険を購入することは、ランサムウェア攻撃からの保護に役立ちますが、攻撃後にクリーンなデータを復元する機能を保証する最善の方法ではありません。