業界固有の規制とは何ですか？

業界固有 HIPAAやPCI DSSなどの規制、さらに分野横断的なGDPRは、データ保護規則です。ほとんどの 医療や金融などの特定のセクターに適用されます。主な目的は機密データを保護することであり、法律は業界の要件に基づいて異なります。

• HIPAA（医療保険の携行性と説明責任に関する法律）： 医療業界に特化; 患者の健康データ保護のために設計。
• PCI DSS（Payment Card Industry Data Security Standard）： カードを受け入れるあらゆるビジネス向けのカード業界標準。取引中のカード会員データ保護のために設計されています。
• GDPR（General Data Protection Regulation）： すべてのEU加盟国に適用され、データの収集と処理を管理します。EEAの非EU加盟国（ノルウェー、アイスランド、リヒテンシュタイン）にも適用されます。

規制遵守は、セキュリティフレームワークのガイドラインです。セキュリティ対策を実施し、ポリシーを検討することで、サイバーセキュリティの規制要件を遵守する必要があります。 

データ侵害などのサイバーセキュリティの脅威を回避し、その後の財務的および評判上の影響を回避するために、規制を遵守することが不可欠です。

• HIPAA: 医療業界向けであり、患者の健康情報の保護に重点を置き、プライバシーと機密保持が2つの核となる側面です。
• PCI DSS: クレジットカード業界の標準 プロバイダーに対し、取引中にカード会員データを保護するよう義務付けています。不正行為の防止とデータセキュリティのために必要です。この規則は、カード会員データを扱うすべての事業体に適用されます。

業界やビジネスモデルに適用される内容に焦点を当てるために、この 2 つの違いを理解しましょう。

HIPAAまたはGDPRに準拠しているだけではPCI DSSはカバーされません。カード会員データを保存、処理、または送信するすべての事業体（カードを受け付けるクリニックやオンラインショップなど）に適用されるため、これらも満たす必要があります（PCI SSC).

SaaSにおけるHIPAA準拠 保護することを意味します クラウドベースのアプリケーションにおけるPHIデータの処理と保存。これには以下が含まれます。

• データ暗号化
• アクセス制御
• 監査証跡
• 顧客とのビジネスアソシエイト契約

まずは、お使いのSaaSプロバイダーのカスタマイズ機能を確認することから始められます。 導入 必要なセキュリティ管理。

PCI-DSSは、決済カード情報を取り扱う際に安全な環境を維持することを義務付けており、その目的は不正行為の防止です。 PCI DSSは法律ではなく業界標準です。その策定団体であるPCI Security Standards Councilは、2006年にAmerican Express、Discover、JCB International、Mastercard、およびVisaによって設立されました（PCI SSC). その 標準 はクレジットカード会社によって作成され、以下のことを要求します：

• 安全な あなたの ネットワーク： 保存されたデータを保護し、デフォルト設定を変更します。また、ファイアウォールをインストールする必要があります。
• カード会員データを保護する： カード会員データのセキュリティには データ送信中の暗号化 および特定の機密データの保存を避けることが含まれます。これらの慣行からの逸脱は、非準拠につながる可能性があります。
• セキュリティを維持する：ウイルス対策ソフトウェアを使用し、システムとアプリを最新の状態に保つ。
• アクセスを制御: クラウド内の各人にユーザーアクセスパラメータを設定し、一意の ID を割り当てます。
• 監視とテスト: セキュリティ対策をテストし、アクセスを追跡して侵害を回避します。
• セキュリティポリシー： セキュリティポリシーを作成し、頻繁に見直して変更を加えてください。

SaaS GDPR コンプライアンスのための次の手順に従ってください。

• 最小化：収集する のみ 必要な個人データのみを収集し、必要な期間のみ保存します。
• 同意: データ収集または処理を行う前に、同意や契約などの法的根拠を確保してください（GDPR第6条).
• データ主体権: 個人に自分のデータへのアクセス権を与え、必要に応じて修正および削除できるようにします。
• 設計段階でのデータ保護: 製品設計段階を通じてプライバシーを考慮します。
• データ侵害通知: 報告する 侵害をあなたの 監督機関 72時間以内に 人々を危険にさらす可能性が低い場合を除き、 そして、最小限に抑えるための措置を講じます その 影響を。

EU 内のどこで事業を展開していても、GDPR は必須です。英国やスイスなどの近隣諸国にも、独自の法律を遵守する必要があります。