🦉 Episode 8: ルールの森 --- 法規制とフレームワーク

翌週の月曜日。カイロウのデスクに分厚い資料が積まれていた。先輩が近づいてきた。

💼「先週のNexTech社の件で、経営層からセキュリティ体制の見直しを依頼された。まずは『どんなルールに従うべきか』を整理する必要がある」

🦉「ルール、ですか」

💼「そう。セキュリティには2種類のルールがある。『守らなければ罰則がある法律』と、『守ることが推奨されるベストプラクティス』だ」

---

法律とフレームワーク --- 「建築基準法」と「設計ガイドライン」

💼「建物の耐震基準で例えてみよう。建築基準法は最低限の耐震基準。これを守らなければ違法で、建物を建てられない。一方、耐震設計ガイドラインは『より良い設計のための推奨事項』。従うかどうかは任意だが、従えば品質が上がる」

🦉「つまり、GDPRやHIPAAが『建築基準法』で、NIST CSFやCIS Controlsが『設計ガイドライン』……」

💼「その通り。法律に違反すると制裁金や罰則がある。フレームワークは任意だが、採用することでセキュリティの品質が体系的に向上する」

---

NIST CSF --- 「5つの歯車」

先輩はホワイトボードに5つの円を描いた。

💼「NIST Cybersecurity Frameworkは、サイバーセキュリティの管理を5つの機能で整理している。Identify、Protect、Detect、Respond、Recover」

🦉「守るだけじゃなくて、見つける・対応する・復旧するまで含まれているんですね」

💼「そう。大事なのは、これが一方向のプロセスじゃないこと。Recoverの後、またIdentifyに戻って改善を続ける。5つの歯車が常に回り続けるイメージだ」

カイロウはメモを取りながら、森の生態系を思い出した。フクロウの世界でも、危険を認識し（Identify）、巣を守り（Protect）、異変に気づき（Detect）、敵に対処し（Respond）、嵐の後に巣を修復する（Recover）。サイクルは同じだ。

---

GDPR --- 「権利の盾」

💼「次はGDPR。EUの個人データ保護規則だ。これは法律だから、違反すると最大2,000万ユーロ、または全世界売上高の4%のいずれか高い方の制裁金が科される」

🦉「2,000万ユーロ……！　大企業なら売上の4%のほうが高くなりそうですね」

💼「そう。しかもGDPRの特徴は域外適用。EU外の企業でも、EU市民のデータを扱えば適用される」

🦉「つまり日本やアメリカの企業も？」

この章の試験での位置づけ

CPA Exam Blueprint（試験設計図） とは、AICPA（米国公認会計士協会）が公式に公表している「試験で何が、どのくらいの比率で、どのレベルで問われるか」を定めた文書です。 全ての出題はこのBlueprintに基づいて作成されます。つまり Blueprintを知ることは、試験の設計者の意図を知ること です。

このChapterのポイント: 法規制とフレームワークは、暗記ではなく「どの場面でどれが適用されるか」を理解することが重要。法規制（GLBA・HIPAA・SOX §404・GDPR・CCPA/CPRA） と フレームワーク（NIST CSF・NIST SP 800-53・ISO/IEC 27001/27002・PCI DSS・AICPA Privacy Management Framework） を区別し、それぞれの「法的義務か任意か」「保護対象」「域内か域外適用か」を即答できるようにする。

前提知識 --- この章に入る前に、分かっているとラクなこと

---

1. なぜこの論点が必要か（Why）

ISCの全体像マップ --- 今どこにいるか

【ISCの全体フロー】

情報システム基礎   ITガバナンス    IS部門の役割    内部統制     リスク管理      BCP        DRP
    (Ch1)    →    (Ch2)    →    (Ch3)    →   (Ch4)   →   (Ch5)   →  (Ch6)  →  (Ch7)

→ 法規制とFW(Ch8) → セキュリティ管理(Ch9) → 脅威と攻撃(Ch10) → TSC(Ch11) → SOC報告書(Ch12)
   ^^^^^^^^^^^^^^
   ← 今ここ →