自社に関係するコンプライアンス規格は？
何を販売しているか、顧客がどこにいるか、どのようなデータを扱うかについていくつか答えるだけで、顧客から求められるセキュリティ規格と、適用される可能性が高いプライバシー法がわかります。SOC 2、ISO 27001、HIPAA、PCI DSS、GDPR、CCPA、PIPEDA などに対応しています。
規格、法令、そして顧客が求めるもの
必要なものは3つの要素で決まります。プライバシー法やセキュリティ法は、人がどこにいるか、どのようなデータを扱うかによって適用されます。カード情報の PCI DSS や米国防衛案件の CMMC のような契約や業界の制度は、取引相手によって適用されます。そして SOC 2 や ISO 27001 のようなセキュリティ規格は法律で求められることはまれですが、顧客は契約前に求めます。
SOC 2 と ISO 27001 のどちらにすべきですか？
どちらも、自社のセキュリティが管理され、独立した第三者に確認されていることを顧客に示します。SOC 2 は監査人の報告書で、米国の顧客が一般的に求めます。ISO 27001 は認証で、欧州、英国、アジアでより一般的です。統制内容は大きく重なるため、多くの企業は顧客が求める方から始め、もう一方を後から追加します。
プライバシー法は B2B 企業にも適用されますか？
はい。GDPR、UK GDPR、PIPEDA は、顧客の取引先担当者や従業員のデータを含むあらゆる個人データを保護します。CCPA も2023年から従業員や取引先担当者のデータを対象としています。顧客のために個人データを扱う場合、通常は処理者やサービスプロバイダーに該当し、データ処理契約を求められます。
よくある質問
これは法的助言ですか？
いいえ。回答から考えられる規格と法令を、それぞれの理由とともに示し、何を確認すべきかがわかるようにするものです。法令には例外や基準があるため、専門家に確認してください。
クリニックのデータをホストしているだけでも HIPAA は適用されますか？
通常は適用されます。医療機関や医療保険者のために医療情報を作成、受領、保管、送信する企業はビジネスアソシエイトに該当し、ビジネスアソシエイト契約を締結し、HIPAA セキュリティ規則を満たす必要があります。
決済代行サービスを使っていても PCI DSS は必要ですか？
カード情報が決済代行会社のホスト型ページやフォームに直接送られ、自社システムを一切通らない場合、対象範囲は大幅に小さくなり、多くは簡単な自己問診票で済みます。ただし、アクワイアラー（加盟店契約会社）への確認は必要です。
このツールは無料ですか？
はい。アカウントは不要です。連絡先を入力して PDF をダウンロードした場合、「連絡を希望しない」にチェックしない限り、当社チームがサポートできるよう、Sourceably はその連絡先を保存します。