技術的および組織的措置

自らまたは他者に代わって個人情報を収集、処理、または使用する組織は、データ保護法の規定（GDPR第32条）の遵守を確保するために必要な技術的および組織的措置を講じる必要があります。その措置は、個人情報の性質と分類に基づいて適切に保護されるものでなくてはなりません。その措置は、意図された保護の目的に関して十分な効果がある場合のみ必要となります。

データ処理の安全性における要求を満たすため、制御組織である Infortrend Technology Inc., 8F, 102, Section 3, Jhongshan Road, Jhonghe District, New Taipei City, Taiwan, R.O.C., e-mail: privacy@infortrend.com,は、次の措置をとります:

1. 2.1 物理的アクセス制御

   以下の措置を実施することで、権限のない人がデータ処理施設に侵入することを防ぎます:

   • セキュリティサービスを慎重に選択する
   • ビルとデータセンターの入り口をビデオで監視する
   • 守衛と受付で人間が対応する
   • 来訪者帳で来訪者の記録を残す
   • 従業員が伴った来訪者のみ受け入れる
   • 入場制御システムを導入する
   • 極秘エリア（例えばサーバールーム）には、入退室記録システムを導入する
   • リモートワーク: 従業員には可能な限り居住空間とは別の書斎などで作業するよう指導する
   • 全ての従業員が賛同し、必要に応じて適用できる社内「データ保護規定」を作成する
   • 例えば清掃業者のような外部業者の選定は慎重に行う
     データ保護と機密保持を遵守する義務を課す
2. 2.2 データアクセス制御

   以下の措置を実施することで、権限のない人がデータ処理システムにアクセスすることを防ぎます:

   • ユーザー名とパスワードによる認証を行う
   • アンチウイルスソフトウェアを使用する
   • ファイアウォールを設置する
   • 安全なデータ転送プロトコルを用いてデータを転送する
   • ユーザーパーミッションを管理する
   • データ保護あるいは安全に関する一般的な企業方針を策定する
   • 安全なパスワードの使用に関する企業方針を策定する
   • 「削除/廃棄」に関する社内規則を策定する
   • 離席の際にデスクトップを手動でロックすることを定めた指針を策定する
3. 2.3 データ使用制御

   以下の措置を実施することで、権限のない人に個人情報がアクセスされないことを保証します:

   • 認可および管理の概念を導入し、管理者の数を最小に抑える
   • 要求と認可権限の概念を導入する
   • ユーザーの役割/グループの概念を導入する
   • 管理者によってユーザーの権利を管理する
   • 文書をシュレッダーにかけるあるいは廃棄と指定された文書を安全に保存する
4. 2.4 分離制御

   以下の措置を実施することで、さまざまな目的で収集された個人情報が個別に処理されることを保証します:

   • 本番システムとテストシステムを分離する
   • （ソフトウェア上で）論理クライアントを分離する
   • 権限に関する概念を作成する
   • データベース使用権を設定する

1. 3.1 転送制御

   個人情報は、転送中あるいはデータ通信会社のストレージ上にあるとき、権限なく読まれたり、コピーされたり、変更されたり、削除されたりすることがないよう保証されなければなりません。また、個人情報が誰あるいはどんな団体に渡ったかを確認できなければなりません。以下の措置を実施することで、それが可能となります:

   • アクセスおよび取り扱いについての記録をとる
   • 暗号化を介した接続、例えばSFTPやHTTPS を用いてデータを提供する
2. 3.2 入力制御

   以下の措置により、誰がいつデータ処理システムで個人情報を処理したかを確認することができます:

   • データの入力、変更、削除を記録する
   • 個人のユーザー名（ユーザーグループではない）により、データの入力、変更、削除を追跡できる
   • 権限の概念に基づいたデータの入力、変更、削除の権限を付与する
   • 削除に関する責任を明確化する
   • 参照後にのみデータを削除するよう従業員に指導する

以下の措置により、個人情報が事故による破壊や損失から保護され、利用者が常に利用できるようにします:

• 火災および煙感知器を設置する
• サーバールームの空調と（温度および湿度の）監視を行う; CO₂消火装置を設置する
• サーバールームに保護機能付き電源ソケットを使用する
• RAIDストレージを使用する
• バックアップと回復の概念を策定する
• バックアッププロセスを制御する
• データ回復のための定期試験とその結果を記録する
• バックアップメディアをサーバールーム外の安全な場所へ保管する
• 定期的なバックアップ、追加のバックアップとテストバックアップを実施する
• 実効性が確認された緊急事態の対処方針を持つ
• ウィルススキャナーと「NGFW」（次世代ファイアウォール）を実装する
• 定期的にソフトウェアをアップデートする
• 適切なデータ保管庫にバックアップを保管する

1. 5.1 データ保護管理

   以下の措置は、データ保護法規の基本的な要件に合致した組織を確保することを目的としています:

   • 従業員にデータの秘密保持を義務付ける
   • 従業員に情報セキュリティに関するトレーニングを定期的に実施する
   • 処理活動の概要を把握する
   • データ保護に配慮したデフォルト設定を用いる
   1. - 基本的に、事業の目的に適切であり、必要なデータのみを収集し、処理する。自動的なデータの収集と処理のための手順は、必要な情報のみを集めるよう設計する。
   2. - 目的に沿ったもの以外の個人情報は収集しない。
   3. - データの対象者が取り消しを簡単に実施できる技術的な方法を提供する。
2. 5.2 事故対応管理

   安全上の問題に対応できる組織と技術プロセスを定義し、実装しておきます。それと共に、安全上の事故/故障が見つかったり、疑われたりした場合は、統一的な対応あるいは手順科された処理を実施します。更にこの対応には、持続的な改善プロセスの一環として統一的なフォローアップと監視も含まれます。

   • データ漏洩通知プロセスを実装する
   • 重要度、範囲、期待される解決策を吟味し、情報部門トップに通知する
   • 事故処理を行う
   • 事故やデータ漏洩の際、データ保護担当の参加のもと、改善措置をレビューする