NISTプライバシーフレームワーク（Privacy Framework）とは？解説と対策

NISTプライバシーフレームワーク（Privacy Framework）とは？

NISTが2020年1月に公開した 「NIST プライバシーフレームワーク（Privacy Framework） Version 1.0」は、組織がプライバシーリスクを管理するためのツールとして策定されました。各企業が、顧客や個人のプライバシーを保護しつつ、革新的な製品やサービスを開発できることを目的としています。

■ NIST発行文書の重要性

NISTは、米国政府が利用する標準暗号技術を策定する機関としても知られています。 また、企業・組織がセキュリティ対策を推進・管理するときに指針とするセキュリティフレームワークは、ISO・ISFなどさまざまな機関が策定していますが、NISTが政府や民間から意見を集め作成した、「NIST サイバーセキュリティフレームワーク（CSF）」は、2014年の発行からわずか2年弱で、グローバルにおいて、35％の企業に採用されています。

画像引用 : グローバル情報セキュリティ調査2016/ PwC

日本も、政府で導入するクラウドサービスに要求するセキュリティ管理基準として、NISTのガイドラインのひとつであるSP 800-53を採用する方針を出しており、日本国内の各組織・企業もNISTの発行文書は無視できなくなっています。

■プライバシー保護に関する各国の動き

国を跨いだデータ移転が活発に行われていることもあり、各国でプライバシー保護に関する法整備や連携の動きが広がっています。

■個人情報の保護をめぐる日本の動き

個人情報の保護に関連した日本国内での動きとして、大きなトピックは2020年内に予定される個人情報保護法の改正でしょう。
大きな改定としては次のような点が挙げられます。

・改定前の個人情報保護法では、企業が消費者の個人情報を扱う場合、消費者からの個人情報の利用停止や消去請求についての対応は努力義務でした。改正後は義務化されることとなり、企業としては新たに対応が求められます。

・事業者の責務として漏えい報告が義務化されます。報告義務の対象となる個人情報漏えいなどが発生した場合は、本人への通知が困難な場合などを除き、原則として本人に通知しなければなりません。

個人情報保護法の改正により、各企業は個人情報の扱いにおいて、さらなる対応が迫られることは間違いありません。
そして、経済産業省のサイバーセキュリティ課や総務省などが、海外のプライバシー管理の動きに関する参考資料として参照しているのが、「GDPR」をはじめ「NIST プライバシーフレームワーク（Privacy Framework）」もその一つです。プライバシーフレームワークは、日本の個人情報保護法の改正にも大きな影響を与えていることが予想されます。

■NISTプライバシーフレームワークの目的

プライバシーフレームワークは、組織や企業がプライバシーリスクを管理するためのツールとして策定されました。組織の規模や特定の技術・領域・法律・管轄にとらわれずに広範囲で利用できることを目的としています。そのため、プライバシーフレームワークでは、データ処理エコシステム内の、どのような組織の役割にでも適応できる共通の対応策を提供し、次の3つの観点からプライバシーリスクを管理できるよう支援します。

• 個人に影響を与えるシステム・製品・サービスを設計および導入する際に、プライバシーを考慮すること。
• プライバシーの管理手法についてのコミュニケーションを図ること。
• プロファイルの作成やティアの選択、成果の達成を通じて、経営幹部・法務・IT管理部門など、組織の役割や部署をまたいだ従業員同士のコラボレーションを促進すること。

■NISTプライバシーフレームワーク策定の背景

NISTは、セキュリティ管理手法の概念や管理方針・体制の整備方針を示した「NIST サイバーセキュリティフレームワーク（CSF）」を、2014年に発行しました。
サイバーセキュリティフレームワークは、業種や企業規模などに依存せず、あらゆる組織のサイバーセキュリティを向上させるための汎用的かつ体系的なフレームワークとして策定されています。
プライバシーフレームワークは、サイバーセキュリティフレームワークの姉妹版の位置付けです。
一方、サイバーセキュリティフレームワークの序文でも次の通り、サイバーセキュリティ対策がプライバシーにも影響すると述べられているように、サイバーセキュリティとプライバシーの両方にまたがる「プライバシーに関するサイバーセキュリティリスク」が存在します。

よって、各企業は、サイバーセキュリティフレームワークとプライバシーフレームワークの両方を理解し、2つの領域に共通したリスクへの対応を検討する必要があります。

■NISTプライバシーフレームワーク（Privacy Framework）の構成

「NIST プライバシーフレームワーク（Privacy Framework） Version 1.0」は、英語の原文で39ページほどの文書です。次のような構成になっています。

■NIST サイバーセキュリティフレームワークとNIST プライバシーフレームワークの関係

「NIST プライバシーフレームワーク（Privacy Framework）」は、コア（Core）・ティア（Tier）・プロファイル（Profile）という3つの要素で構成されています。

• コア（Core）：組織の種類や規模を問わない共通の対策一覧
• ティア（Tier）：対策状況を数値化し、組織を評価する基準
• プロファイル（Profile）：組織が行う対策の「as is (現在の姿)」と「to be (目指すべき姿)」をまとめたもの

これらの3要素に基づき、企業や組織で対策状況の現状把握や対策の優先順位付けを行います。
そして、これらの要素は、「NIST サイバーセキュリティフレームワーク（CSF）」の考え方を踏襲したものです。
特に、ティア（Tier）とプロファイル（Profile）の部分は、サイバーセキュリティフレームワークと同様になっています。

■コア（Core）

コア（Core）とは、取るべき具体的な対策や機能を一覧にしたものです。
サイバーセキュリティフレームワークではコア（Core）を、特定(Identify)・防御(Protect)・検知(Detect)・対応(Respond)・復旧(Recover)の5つの機能に分けています。
一方、プライバシーフレームワークではコア（Core）を、特定(Identify-P)・統治(Govern-P)・制御(Control-P)・通知(Communicate-P)・防御(Protect-P)の5つの機能に分類しています。

“特定する“・”防御する“という機能は、サイバーセキュリティ対策とプライバシー保護対策ともに共通機能ですが、その他の機能が異なっています。

プライバシーフレームワークの機能とカテゴリーの識別子（原文付録Aの表１を抜粋）

プライバシーフレームワークのコアの詳細（原文付録Ａの表２を抜粋）

プライバシーエンジニアリングとセキュリティの目的(原文付録Dの表３を抜粋）

■ティア（Tier）

コア（Core）には、サブカテゴリーとして100個の設問が用意されており、設問に回答することで組織のプライバシー対策を評価します。
設問に回答するときに評価基準として利用するのが、ティア（Tier）と呼ばれる成熟度です。

• ティア（Tier）1：Partial(部分的に対応できている)
• ティア（Tier）2：Risk Informed(リスクが認識できている)
• ティア（Tier）3：Repeatable(対応に再現性がある)
• ティア（Tier）4：Adaptive(変化に適応できる)

ティア（Tier）はこれらの4段階で、ティア（Tier）1が一番低いレベル、ティア（Tier）4が一番高いレベルとなります。
このように、コア（Core）とティア（Tier）を組み合わせて、プライバシー対策状況を数値化して組織を評価します。

■プロファイル（Profile）

コア（Core）とティア（Tier）により明らかになった組織の「as is (現在の姿)」を踏まえて、「to be (目指すべき姿)」を決定します。組織の現状の姿とゴールとのギャップを明確にするものがプロファイル（Profile）です。
そして、プロファイル（Profile）で定義された現状とゴールのギャップを埋めるため、改善施策を実行します。

コアとプロファイルの関係

■NIST プライバシーフレームワーク（Privacy Framework）の活用例

企業や組織でのプライバシー管理において、どのようにプライバシーフレームワークを活用すべきか、次のように例が示されています。

1. 1. 現状の規則・規格の見直し

   プライバシーフレームワークのコア（Core）では、ツール・技術ガイダンス・規格・法律・規制・ベストプラクティスなどのサポート情報を提供しています。また、コア（Core）と現状とを比較することで、改善すべきギャップが把握できます。

2. 2. 説明責任の強化

   上級・管理者レベル、ビジネス・プロセスマネージャーレベル、実装・運用レベルの3者間のコラボレーションとコミュニケーションを促進し、3者すべてのレベルで組織の説明責任を支えられるようにします。

3. 3. プライバシープログラムの確立または改善

   “ready（準備する）”・“set（用意する）”・“go（スタート）”のモデルを用いて、プライバシープログラムの新規作成や改善ができます。

4. 4. システム開発サイクルへの適用

   プロファイル（Profile）を、計画・設計・構築・導入・運用・廃止というシステム開発ライフサイクル（SDLC）のフェーズと突き合わせ、各段階でデータがどのように処理されるかを特定できます。これにより、プライバシー保護機能や要件の作り込みが容易になります。

5. 5. データ処理エコシステム内で共通言語として使用

   データ処理のエコシステムは、個人・市民社会・開発者・サプライヤー・製造元など様々な事業体から成り立っています。

   これらの事業体間でプライバシー要件を伝達するための共通言語として、プライバシーフレームワークを活用できます。

6. 6. 購入するサービス・製品の決定

   プロファイル（Profile）を使用してプライバシー要件の優先順位リストを作成し、製品やサービスを購入する際の意思決定に役立てることができます。

■プライバシーに関するサイバーセキュリティリスクへの対応

「NIST サイバーセキュリティフレームワーク（CSF）」に5つの機能、「NIST プライバシーフレームワーク（Privacy Framework）」に5つの機能、合計のべ10種類のコア（Core）があると紹介しました。

サイバーセキュリティとプライバシーの両方にまたがる、プライバシーに関するサイバーセキュリティリスクへは、サイバーセキュリティフレームワークとプライバシーフレームワークそれぞれの機能を組み合わせることで対応できます。

2つのフレームワークは互いの機能を補完し合うように構成されているため、プライバシーフレームワークを単独で使用するのではなく、サイバーセキュリティフレームワークも同時に参照すべきです。

■進化し続けるフレームワーク

「NIST プライバシーフレームワーク（Privacy Framework）」のVersion 1.0公開時点で、プライバシーフレームワークは更新予定があると明記されています。
あらゆる企業・組織が基準とすべきガイドラインという位置付けながら、”生きる”フレームワークとして状況の変化に合わせて進化し続ける点は特徴的です。

■プライバシーフレームワーク翻訳版の提供開始

ビッグデータやAI、人工知能などの技術が発展する中、個人データの取り扱いを厳格に規定する法律が求められており、2020年度の個人情報保護法改正では、EU一般データ保護規則（GDPR）などの動向を参考にし、プライバシー配慮へのレベルが引き上げられる予定です。
「NIST サイバーセキュリティフレームワーク（CSF）」と同様に、プライバシー保護の代表的なツールの一つとなり得る「NIST プライバシーフレームワーク（Privacy Framework）」の内容を確認しておくことが望まれます。
そこで、ゾーホージャパンは、「NIST プライバシーフレームワーク（Privacy Framework）翻訳版」を用意し、無償提供する運びになりました。
プライバシーリスク管理への関心が高まる中、日本をはじめ各国の政府機関がプライバシーフレームワークに注目しています。
体系的かつどの組織・企業でも適用できる汎用性を備えていることから、サイバーセキュリティフレームワークと合わせて、リスク管理の標準文書となっていく可能性を秘めています。
NIST プライバシーフレームワークのスムーズな理解のためにご活用ください

＊免責事項

本資料は、原文にできるだけ忠実に翻訳するよう努めていますが、完全性や正確性を保証するものではありません。
翻訳監修主体（ゾーホージャパン株式会社）は、本翻訳物に記載されている情報より生じる損失または損害に対して、いかなる人物あるいは団体にも責任を負うものではありません。
原文の内容を理解する必要がある場合、以下の原文をお読み下さい。
https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.01162020.pdf