「データの棚卸し」というのは、管理する個人情報がどこにどのように保存されているのかを把握することです。また、どこにデータがあるのかがわかれば、誰がアクセスでき、誰と共有し、どのアプリケーションがそのデータを処理するのかを調査しなければなりません。「鍵管理」というのは、暗号鍵の管理のことです。データを暗号化しても、その暗号を解く鍵を忘れてしまっては意味がありませんよね。こういう悩みを持った方は「ハードウェアセキュリティモジュール（HSM）」という暗号鍵管理専用ハードウェアを用いてみると良いかもしれません。鍵が流出する可能性が低く、「無くさない」という点で優れています。最後に、「アクセス管理」です。どんなに鍵を強固にしても、誰かが権限を持ったユーザーになりすましていた場合は防ぎようがありません。そこで、データやシステムにアクセスする際にはアクセス認証が、権限に応じてアクセスを許可するアクセス管理が、誰がいつアクセスしたかをみる履歴管理が必要になるのです。具体的な手段としては、2段階認証やワンタイムパスワードなどが挙げられます。
また、業務を行う上でメールのやり取りは欠かせませんが、ここにも個人情報保護違反をしてしまう可能性が潜んでいます。添付ファイルの暗号化を忘れる、宛先を誤る、個人データが漏洩した場合に影響を受けたデータ主体が特定できない、などが主なリスクとして挙げられます。送受信メールセキュリテイ機能を備えたクラウド型サービスを利用するなどして、出来る限りのリスクヘッジをする必要があります。
英国情報委員会事務局（Information Commissioner’s Office、ICO）によって、企業のGDPR対策に向けたガイドラインが公表されています。プライバシー条項の見直しやGDPRへの適合など、プランをしっかりと立てることが必要だとしていますが、ICOはまた、GDPRは現行のデータ保護法と全く同じ原則と概念を多く残しているとも強調しています。つまり、これまで十分対策をし、1995年法を守ってきた企業はそれほど心配することはないと言えるでしょう。もっとも、一度でも過ちを犯せば倒産に繋がりかねませんから、組織を管理する立場にいる方はもう一度自社の体制を見直した方が良いのかもしれません。
