概要

データセキュリティ (Data Security)

DAMA-DMBOK 2nd Edition — Chapter 7: Data Security

出題割合: 6%（約6問）

1. データセキュリティとは

定義: データのプライバシー・機密性・整合性・可用性を確保するための計画・方針・手順の策定と実施。

CIA トライアド（最重要）

要素	英語	内容
機密性	Confidentiality	権限のある人のみがデータにアクセスできる
整合性	Integrity	データが正確で改ざんされていない
可用性	Availability	必要な時にデータが利用できる

2. データ分類（Data Classification）

データの機密レベルを分類する体系：

レベル	例
Top Secret / 極秘	国家機密
Confidential / 機密	役員の報酬情報
Internal / 社内限	社内ポリシー
Public / 公開	プレスリリース

ビジネス向け分類例：

Public → Internal → Confidential → Restricted

3. データセキュリティの主な手法

3.1 アクセス制御（Access Control）

種類	説明
RBAC（Role-Based Access Control）	役割に基づくアクセス制御（最も一般的）
ABAC（Attribute-Based Access Control）	属性（部門、時間等）に基づく
DAC（Discretionary Access Control）	データオーナーが権限を設定
MAC（Mandatory Access Control）	システムが権限を強制（政府等）

3.2 データ保護技術

技術	説明
暗号化（Encryption）	データを読めない形式に変換（AES, RSA）
マスキング（Data Masking）	本番データを偽データに置換（テスト環境用）
匿名化（Anonymization）	個人を特定できない状態に変換（不可逆）
仮名化（Pseudonymization）	識別子を仮名に変換（GDPR準拠・可逆）
トークン化（Tokenization）	機密データをトークンに置換（PCI DSS）

3.3 監査とモニタリング

データベースアクティビティ監視（DAM）
アクセスログの保持・分析
異常検知・アラート

4. プライバシーと規制

主要な規制

規制	地域	対象
GDPR	EU	個人データ保護（欧州）
CCPA	カリフォルニア州	消費者プライバシー
HIPAA	米国	医療情報
PCI DSS	グローバル	クレジットカード情報
個人情報保護法	日本	個人情報全般

GDPR の主要原則

適法性・公正性・透明性
目的の限定
データの最小化
正確性
保存の制限
完全性と機密性
説明責任（Accountability）

プライバシーの権利（GDPR）

アクセス権（Right of Access）
削除権（Right to Erasure / Right to be Forgotten）
訂正権
データポータビリティ権
処理の制限権

5. データセキュリティのガバナンス

役割

役割	責任
CISO（Chief Information Security Officer）	情報セキュリティ戦略の統括
Data Privacy Officer (DPO)	GDPRでは必須。プライバシー管理
Security Analyst	脅威分析・インシデント対応

セキュリティポリシーの要素

アクセス管理ポリシー
データ分類ポリシー
インシデント対応手順
教育・訓練プログラム

試験ポイント

CIA トライアド（Confidentiality / Integrity / Availability）
RBAC（役割ベースのアクセス制御）が最も一般的
匿名化（不可逆）vs 仮名化（可逆） の違い
データマスキング = テスト環境用の本番データ置換
GDPRの削除権（Right to be Forgotten）
DPO = GDPRで義務付けられたプライバシー責任者