組織が遵守すべきあらゆる規制――GDPRやHIPAA、あるいは業界ごとに適用される規制など――は、難解な法的文書として存在しています。その文書を実用的なガバナンスプログラムに変えるには、誰かが手作業で要件と管理措置を照合し、その対応関係をスプレッドシートで管理し、規制や環境の変化があってもその解釈が通用し続けることを期待するしかありません。このプロセスには、見落としが潜んでいます。 監査は、ある特定の時点の状況を確認するものです。その根底にあるガバナンス・プログラムが実際に機能しているかどうかを測定するものではありません。.
RSAはこれを「クリーン・オーディット・パラドックス」と呼んでいます。つまり、組織は監査に合格しているにもかかわらず、監査では決して明らかにならないガバナンス上の不備やリスクを抱えているという状況です。.
RSAのソリューション「コンプライアンス・アドバイザー」は、規制をガバナンス・プログラムに直接紐付け、その達成度を継続的に測定するAIネイティブな機能です。.
現在、以下の5つの主要な規制に対応しています：一般データ保護規則（GDPR）、刑事司法情報サービスセキュリティポリシー（CJIS）、医療保険の相互運用性と説明責任に関する法律（HIPAA）、 米国国立標準技術研究所（NIST）のフレームワーク、および個人情報保護法（POPIA）の5つの主要な規制に対応しており、これらは要件レベルまで詳細にマッピングされています。今後のリリースではさらに規制が追加される予定です。.
各要件について、Compliance Advisorは、プログラムがその要件の手順をどの程度遵守しているかを測定するKPIを追跡し、基準に達していない点については、一度だけレポートを作成して保管しておくのではなく、継続的に改善すべき点を提案します。 マッピングされた各要件は実際の規制条文に直接リンクされているため、チームはベンダーの説明を鵜呑みにすることなく、マッピング内容そのものを確認することができます。.
RSAの アクティブ・ディフェンス・ガバナンス (ADG)の論文では、定期的なガバナンス、四半期ごとのレビュー、および年次認証が、もはや主要な統制手段として機能し得ない理由が明らかにされています。 アクセス状況はレビューサイクルの合間に絶えず変化しているにもかかわらず、レビューサイクル自体は変わらない。組織の静的なポリシー文書に記されている内容と、動的なシステムが実際に行っていることとの間の隔たりを、本論文では「ネグリジェンス・ギャップ（Negligence Gap）」と呼んでいる。これは、アクセス状況が変化した瞬間に生じるリスクの露出であり、次のレビューで発見されるまでは目に見えないままとなるものである。. RSAガバナンスとライフサイクル 組織がそのギャップを埋めるのを支援します。.
コンプライアンス・アドバイザーは、この考え方をコンプライアンス・マッピングにも適用しています。一度マッピングされた規制を、レビューサイクルごとに照合するだけでは、同じ盲点が生じてしまいます。コンプライアンス・アドバイザーは、前回の監査サイクル時点の「スナップショット」ではなく、そのマッピングに対してガバナンス・プログラムが実際にどのように機能しているかを継続的に可視化することで、この盲点を解消します。.
どのガバナンスソリューションも、あらゆる規制のすべての条項を満たすことはできません。Compliance Advisorも、そうであるかのように装うことはありません。 本ツールは、RSA Governance & Lifecycleがどの要件をカバーしているか、また物理的セキュリティ要件など、IGAプログラムの一般的な適用範囲外となる要件がどれかを正確に示します。カバーされる範囲とそうでない範囲を明確にすることで、チームは別途管理対象とする必要がある項目を正確に把握できます。.
「クリーン監査のパラドックス」を解消するとは、次の監査を待って自社の現状を把握することではありません。それは、監査人が訪れる当日だけでなく、その前後のあらゆる日においても、すでに状況を把握していることを意味します。これこそが、年に一度だけコンプライアンスを満たしているように見えるプログラムから、その間のいつでも取り組みを実証できるプログラムへの転換なのです。.
デモを見る RSA Governance & Lifecycle Compliance Advisor を使用して、規制とのマッピング、KPIの追跡、および推奨事項が実際にどのように機能するかをご確認ください。.
定期的なガバナンスでは対応しきれない理由や、そのギャップを埋めるために何が必要かについての包括的な枠組みについては、, 「アクティブ・ディフェンス・ガバナンス」に関するホワイトペーパーを入手する.
「クリーン・オーディットのパラドックス」とは、コンプライアンス監査に合格することと、実際に健全なガバナンス・プログラムを運用することとの間に生じるギャップを指します。監査は特定の時点の状況を確認するだけであるため、組織は監査のすべての質問に回答して合格しても、監査では決して表面化しないガバナンス上の不備やアクセスリスクを抱えたままになる可能性があります。こうした不備は、次回の審査サイクルが始まるまで見過ごされたままとなるのです。.
RSA Compliance Advisor は、 RSAガバナンスとライフサイクル 規制をガバナンス・プログラムに直接紐付け、そのプログラムが各要件をどの程度遵守しているかを継続的に測定します。プログラムに不備がある場合は、具体的な改善策を提案します。また、紐付けられた各要件には実際の規制文言へのリンクが設定されているため、チームは紐付け内容そのものを確認することができます。.
Compliance Advisorは現在、GDPR、CJISセキュリティポリシー、HIPAA、NISTフレームワーク、POPIAの5つの主要な規制に対応しており、それぞれが要件レベルに紐付けられています。今後のリリースでは、さらなる規制への対応が予定されています。対応している各規制について、Compliance Advisorは、四半期や年次といったレビューサイクルではなく、プログラムの遵守状況を継続的に測定するKPIを追跡します。.
従来の監査では、特定の時点におけるコンプライアンス状況を測定するため、監査が終了してアクセス権限に変更が生じた瞬間、その結果はすでに時代遅れになってしまいます。一方、継続的なコンプライアンス監視では、ガバナンスプログラムが各規制要件に対してどのように機能しているかを継続的に追跡し、監査人が調査に訪れるのを待つのではなく、ギャップが発生した時点で即座にそれを明らかにします。.
「ネグリジェンス・ギャップ」とは、アクセス権限に変更が生じたものの、それを捕捉するための次回のアクセス権限レビューがまだ実行されていない期間、すなわちレビューサイクル間に生じるリスクを指します。RSAの アクティブ・ディフェンス・ガバナンス このフレームワークは、これを定期的なガバナンスモデルの根本的な限界であると指摘しており、 RSAガバナンスとライフサイクル 継続的なアイデンティティ監視を通じて、これを解消するように設計されています。.
含まれる