privacy-data-security

プライバシーとデータセキュリティ

規制上の状況は2026年6月時点のものです。助言する前に、施行日、金額の基準値、審議中の規則制定について、SEC／FINRA／FinCENの最新情報で確認してください。

基本概念

Regulation S-P（消費者の金融情報のプライバシー）

Regulation S-P（17 CFR Part 248、Subparts A and B）は、SEC に登録された事業体に対して、Gramm-Leach-Bliley Act（GLBA）の Title V を実施するものです。SEC に登録された投資顧問会社、ブローカー・ディーラー、投資会社、証券名義書換代理人に適用されます。この規則には、次の3つの主要な構成要素があります。

プライバシー通知の要件。 企業は、顧客関係を確立する時点で、各顧客に最初のプライバシー通知を提供しなければなりません（17 CFR 248.4）。通知には、次の事項を記載する必要があります：（a）収集する非公開個人情報（NPI）のカテゴリー、（b）第三者に開示するNPIのカテゴリー、（c）NPIを開示する関連会社および非関連の第三者のカテゴリー、（d）特定の開示について顧客がオプトアウトする権利、（e）NPIの機密性および安全性を保護するための企業の方針と慣行、（f）Fair Credit Reporting Act に基づき必要な開示。顧客関係が続く間、毎年のプライバシー通知を各12か月の期間に1回、提供しなければなりません（17 CFR 248.5）。2015年の FAST Act（Pub. L. 114-94, Section 75001）により、年次通知要件の例外が設けられました。（i）17 CFR 248.14 および 248.15 の例外に基づいてのみ NPI を共有し、かつ（ii）直近の通知以降、プライバシーに関する方針および慣行を変更していない企業は、各顧客に郵送する代わりに、プライバシー通知を自社のウェブサイトに明確かつ目立つ形で継続的に掲載することで、年次要件を満たすことができます。

オプトアウトの要件。 NPI を非関連の第三者と共有する前に、企業は顧客にオプトアウトするための合理的な機会を提供しなければなりません（17 CFR 248.7 および 248.10）。オプトアウト通知は明確で目立つものでなければならず、プライバシー通知と併せて、またはその一部として提供する必要があります。オプトアウト要件の例外には、次のものがあります：（a）顧客が依頼した取引を実行、管理、または履行するために必要な開示、（b）NPI の第三者による使用を制限する書面による契約に基づく、サービスプロバイダーおよび共同マーケティングパートナーへの開示、（c）顧客の同意がある開示、（d）詐欺から保護するための開示、（e）法律で義務付けられた開示（17 CFR 248.14 および 248.15）。共同マーケティング契約には、第三者が NPI の機密性を維持し、開示された目的に限って使用することを定めた書面による契約を含める必要があります。

セーフガードルール。 Section 248.30 は、対象となるすべての機関に対し、顧客の記録および情報を保護するための管理的、技術的、物理的なセーフガードに対応する、書面による方針と手順を採用することを義務付けています。管理的セーフガードには、責任者または役員の任命、リスク評価の実施、従業員研修の実施、サービスプロバイダーの監督体制の確立が含まれます。技術的セーフガードには、アクセス制御、暗号化、侵入検知システム、情報システムの監視が含まれます。物理的セーフガードには、記録の安全な保管、施設へのアクセス制御、文書の適切な廃棄が含まれます。方針は、次の目的を合理的に達成できるよう策定する必要があります：（a）顧客の記録および情報の安全性と機密性を確保すること、（b）記録の安全性または完全性に対する予測される脅威や危険から保護すること、（c）顧客に重大な損害または不便が生じるおそれのある、記録への不正アクセスまたは不正使用から保護すること。

廃棄ルール。 Section 248.30(b) は、消費者レポートから得た消費者レポート情報を適切に破棄することを義務付けています。合理的な廃棄措置には、紙の書類の細断、電子媒体の消去または破壊、適切な破壊を義務付ける第三者の廃棄サービスとの契約が含まれます。

Regulation S-ID（レッドフラッグ規則）

Regulation S-ID（17 CFR 248.201-202）は、SEC の規制対象事業者について、Fair and Accurate Credit Transactions Act（FACTA）の第114条および第315条を実施するものです。「対象口座」を保有する金融機関および債権者は、個人情報盗難を検知、防止、軽減するための、書面による個人情報盗難防止プログラム（ITPP）を策定し、実施することが求められます。

対象口座。 対象となる口座は次の2種類です。（a）主に個人、家族、または世帯の目的で利用され、複数回の支払いまたは取引を伴う、もしくはそれを可能にするよう設計された口座（例：証券口座、証拠金口座、継続的なサービスを提供する投資顧問口座）、および（b）個人情報盗難により顧客または金融機関の安全性と健全性に、合理的に予見可能なリスクが生じるその他の口座。これには、財務、業務、コンプライアンス、評判、または訴訟に関するリスクが含まれます。

個人情報盗難防止プログラムの要件。 ITPPには、次の事項を実施するための合理的な方針と手順を含める必要があります。（1）レッドフラッグの5つのカテゴリー（消費者信用情報機関からの警告、通知、または注意喚起、不審な書類、不審な個人識別情報、対象口座の異常な利用または不審な活動、個人情報盗難の可能性に関する顧客、被害者、法執行機関、またはその他の人物からの通知）を参考に、会社の対象口座に該当するレッドフラッグを特定すること、（2）プログラムに組み込まれたレッドフラッグを検知すること、（3）検知したレッドフラッグに適切に対応し、個人情報盗難を防止、軽減すること、（4）顧客および会社の安全性と健全性に関するリスクの変化を反映するため、プログラムを定期的に更新すること。

管理。 ITPPは、取締役会、取締役会の委員会、または上級管理職の承認を受ける必要があります（17 CFR 248.201(d)）。継続的な管理には、プログラムの実施に関する具体的な責任者の任命、プログラムを実行するための職員研修、サービスプロバイダーとの契約の適切かつ効果的な監督（対象口座に関連するサービスプロバイダーの活動が、個人情報盗難の検知、防止、軽減に向けた合理的な方針および手順に従って実施されることの確認）、ならびに必要に応じたプログラムの更新が含まれます。

SEC のサイバーセキュリティ規則とガイダンス

SEC は、規則制定、解釈ガイダンス、執行を組み合わせて、サイバーセキュリティに対応してきました。

公開企業の開示規則（2023年）。 2023年7月、SECは、公開企業に対し、重要なサイバーセキュリティインシデントについて、重要であると判断してから4営業日以内にForm 8-K（Item 1.05）で開示することを義務付ける規則を採択しました。また、企業はForm 10-K（Regulation S-KのItem 1C）で、サイバーセキュリティリスクの管理、戦略、およびガバナンスについて開示する必要があります。開示が必要な事項には、サイバーセキュリティリスクの評価、特定、管理のプロセス、サイバーセキュリティリスクが企業の事業戦略、業績、または財務状況に重大な影響を与えたか、または合理的に予想して重大な影響を与える可能性があるかどうか、サイバーセキュリティリスクに対する取締役会の監督、およびサイバーセキュリティリスクの評価と管理における経営陣の役割が含まれます。 2024年のReg S-P改正 — インシデント対応と侵害通知。 2024年5月、SECはRegulation S-Pの改正（Release No. 34-100155）を採択しました。この改正により、SEC登録ブローカー・ディーラー、投資顧問会社、投資会社、名義書換代理人に対し、連邦レベルで初となる一般的な侵害対応要件が課されます。対象機関は、（a）顧客情報への不正アクセスまたは不正使用を検知し、対応し、復旧するために合理的に設計された、書面によるインシデント対応プログラムを策定、実施、維持すること、（b）機密性の高い顧客情報が不正にアクセスまたは使用された、あるいはその可能性が合理的に高い、影響を受けた個人に対し、可能な限り速やかに、かつインシデントを認識してから30日以内に通知すること、（c）サービスプロバイダーにおける侵害の通知を機関が受け取れるようにする規定を含め、サービスプロバイダーを監督するための書面による方針を維持することが求められます。遵守期限は、大規模事業体が2025年12月3日、小規模事業体が2026年6月3日です。2026年6月現在、これらの要件はすべての対象機関に適用されています（新規登録企業に対する移行ガイダンスがあるか確認してください）。

独立したサイバーセキュリティ規則制定の状況。 SECが2022年2月／3月に提案した、投資顧問会社およびファンド向けのサイバーセキュリティリスク管理規則（Release No. IA-5956）は、係属中の他の13件の提案とともに、2025年6月に正式に撤回されました。2024年のReg S-P改正に加え、SECは既存の権限に基づき、Reg S-Pのセーフガード規則（17 CFR 248.30）、帳簿・記録に関する規則（SEC Rule 17a-4、IA Act Rule 204-2）、一般的な詐欺防止規定を通じてサイバーセキュリティ上の義務を執行しています。将来的な要件について助言する前に、現行の規則制定アジェンダを確認してください。

SEC EXAMS（旧OCIE）の検査優先事項。 サイバーセキュリティは2014年以降、SECの検査における最優先事項の一つです。検査対象となる主な分野には、ガバナンスとリスク評価（取締役会または上級管理職による監督、CISOまたは同等の役割、文書化されたリスク評価）、アクセス権とアクセス制御（最小権限、多要素認証、アクセスログの記録、退職した従業員のアクセス権の速やかな削除）、データ損失防止（不正なデータ転送の監視、保存時および転送時の暗号化、エンドポイント保護）、ベンダー管理（サードパーティのサービスプロバイダーに対するデューデリジェンス、契約上のセキュリティ要件、継続的な監視）、インシデント対応（書面による計画、テストと机上演習、エスカレーション手順）、トレーニング（実施頻度、内容、フィッシングシミュレーションの結果）が含まれます。

SECの執行措置。 SECは、Reg S-Pのセーフガード規則および個人情報盗難のレッドフラッグ規則に基づき、サイバーセキュリティ上の不備を理由として登録企業に対する執行措置を講じてきました。主な執行上の論点には、顧客情報を保護するための書面による方針および手順の不備、アクセス制御の不十分さ（例：認証情報の共有を許可する、多要素認証を導入しない）、既知の脆弱性を検知して対応することの不履行、侵害後のサイバーセキュリティ対策に関する誤解を招く開示が含まれます。

インシデント対応要件

規制上の期待に応えるため、金融機関は包括的なインシデント対応能力を維持する必要があります。

インシデント対応計画の文書化。 SECは、登録企業に対し、以下を含む文書化されたインシデント対応計画の維持を求めています。明確な役割とエスカレーション権限を持つインシデント対応チームの指定、重大度に応じてインシデントを検知・分類する手順、インシデントの範囲と影響を限定する封じ込め手順、証拠保全プロトコル（フォレンジックイメージング、ログの保持、証拠の受け渡し履歴の文書化）、駆除および復旧手順、社内エスカレーションと報告のタイムライン（上級管理職、取締役会、法律顧問、コンプライアンス部門への報告）、外部への通知手順（必要に応じて顧客、規制当局、法執行機関への通知）、根本原因と是正措置を特定するためのインシデント後レビューのプロセス。

顧客への通知。 2024年のReg S-P改正に基づき、対象となる機関は、機微な顧客情報が権限なくアクセスまたは使用された、あるいはその可能性が合理的に高いと認識してから30日以内に、影響を受けた個人へ通知する必要があります（大規模な事業体は2025年12月3日から、小規模な事業体は2026年6月3日から遵守が必要です）。合理的な調査の結果、機微な顧客情報が、重大な損害や不都合をもたらす方法で使用されておらず、そのように使用される可能性も合理的に高くないと機関が判断した場合、通知は不要です。連邦要件に加えて、全50州、コロンビア特別区、米国領土では州のデータ侵害通知法が適用され、発動条件や通知内容の要件はそれぞれ異なります。ほとんどの州では発見から30～60日以内の通知が義務付けられています。フロリダ州（Fla. Stat. 501.171に基づき30日以内）やコロラド州（C.R.S. 6-1-716に基づき30日以内）など、一部の州ではより短い期限が定められています。複数の州で事業を展開する企業は、影響を受けた個人が居住する各州の通知要件を遵守する必要があります。そのため、連邦法の30日期限と併せて、最も厳格な基準に合わせて設計することが多くなります。

規制当局への通知。 顧客への通知に加え、特定の状況では規制当局への報告が必要になります。（a）侵害に金融犯罪の可能性が関係する場合、BSA/AML規則に基づくSARの提出義務が適用されることがあります。（b）FINRAは、加盟企業に対し、重大なサイバーセキュリティインシデントをFINRAに通知することを求めています。（c）ニューヨーク州DFSの規制対象事業体は、通常業務に重大な損害を与える合理的な可能性があるサイバーセキュリティ事象について、72時間以内にDFSへ通知する必要があります（23 NYCRR 500.17）。

法執行機関との連携。 企業は、インシデント発生前に、関係する法執行機関（FBI、シークレットサービス、州司法長官）との連携体制を確立しておく必要があります。データ侵害が発生した場合、捜査の妨げにならないよう、法執行機関から公表通知の延期を要請されることがあります。企業は弁護士と連携し、この要請と州のデータ侵害通知期限とのバランスを取る必要があります。

SARの提出。 サイバーセキュリティインシデントに金融犯罪の可能性が関係する、または関連している場合、たとえば、資金の窃取、アカウントの乗っ取り、不正取引を助長するための個人情報の盗用につながる不正アクセスがあった場合、企業はBSA/AML上の義務に基づき、疑わしい取引に関する報告書（SAR）を提出すべきか評価する必要があります。SARには、サイバーセキュリティインシデント、疑われる犯罪行為の内容、顧客口座への影響を記載する必要があります。

州のプライバシー法

金融機関を取り巻く規制環境は多層的であり、連邦証券プライバシー規則と州のプライバシー法およびサイバーセキュリティ法が交差しています。 カリフォルニア州（CCPA/CPRA）。 カリフォルニア州消費者プライバシー法（Cal. Civ. Code 1798.100 et seq.）は、カリフォルニア州プライバシー権法（2023年1月1日施行）による改正を経て、カリフォルニア州居住者に対し、個人情報を知る権利、削除する権利、訂正する権利、個人情報の販売または共有をオプトアウトする権利など、個人情報に関する幅広い権利を認めています。金融機関は、GLBAの適用対象であり、GLBAに基づいて個人情報を収集、処理、販売、または開示する範囲において、CCPA/CPRAの適用が一部免除されます。ただし、この免除が適用されるのは、GLBAの対象として収集、処理、販売、または開示される情報に限られます。GLBAの適用範囲外の情報（従業員データ、ウェブサイトのトラッキングデータ、マーケティングデータなど）には、引き続きCCPA/CPRAが適用される場合があります。企業は、どのデータがGLBAの免除対象となり、どのデータが対象外となるかを慎重に分析する必要があります。

ニューヨーク州（DFS 23 NYCRR 500）。 ニューヨーク州金融サービス局のサイバーセキュリティ規則は、DFSのライセンス、登録、または認可のもとで事業を営む、または営むことを義務付けられているすべての事業体、もしくはその他の形でDFSの規制を受ける事業体に適用されます。これには、ニューヨーク州で事業を営む多くのブローカーディーラーや投資顧問が含まれます。主な要件には、最高情報セキュリティ責任者（CISO）の任命、リスク評価に基づくサイバーセキュリティプログラムの策定および維持、指定された14の分野（情報セキュリティ、データガバナンスと分類、資産目録、アクセス制御、事業継続、システムおよびネットワークのセキュリティ、監視、インシデント対応、ベンダー管理、暗号化など）を対象とするサイバーセキュリティポリシーの策定、年1回の侵入テストと半年ごとの脆弱性評価、外部ネットワークから内部ネットワークにアクセスする際の多要素認証、転送中および保存時のNPIの暗号化、重大なサイバーセキュリティ事象が発生した場合のDFSへの72時間以内の通知（23 NYCRR 500.17）、取締役会または上級役員による年次の書面でのコンプライアンス証明（23 NYCRR 500.17(b)）、およびCISOが少なくとも年1回、取締役会または上級統治機関に書面で報告する要件があります。DFSは同意命令や民事制裁金を通じて、23 NYCRR 500を積極的に執行してきました。

マサチューセッツ州（201 CMR 17.00）。 マサチューセッツ州個人情報保護基準は、マサチューセッツ州居住者の個人情報を所有、ライセンス供与、保存、または管理するすべての事業体に対し、包括的な情報セキュリティプログラム（WISP）を書面で策定、実施、維持することを義務付けています。必須要素には、責任者の任命、リスク評価、従業員研修、プログラムの監視、違反に対する懲戒、退職した従業員による記録へのアクセス防止、サービスプロバイダーの監督、物理的アクセスの制限、不正アクセスを検知するためのシステム監視、個人情報を含む送信記録の暗号化、ノートパソコンおよび携帯端末に保存されるすべての個人情報の暗号化、合理的に最新のファイアウォールとオペレーティングシステムのセキュリティパッチの使用、および最新のマルウェア対策の使用が含まれます。

複数州にまたがるコンプライアンス。 複数の州に顧客を持つ企業は、各州のプライバシー法およびデータ侵害通知法を把握し、遵守する必要があります。主な違いには、通知義務の対象となる「個人情報」の定義（生体データ、健康情報、オンラインアカウントの認証情報など、より幅広いカテゴリーを含む州もあります）、通知期限（30日以内から、期限が定められていない「合理的な期間」まで）、通知内容の要件、州司法長官またはその他の州機関への通知要件、および信用モニタリングや個人情報盗難防止サービスの提供要件があります。複数の州で事業を営む企業にとって、州ごとの要件を対応付けた侵害通知マトリックスを維持することは、ベストプラクティスです。

ベンダーおよびサードパーティのリスク管理

SEC と FINRA は、顧客データ、情報システム、または重要な事業機能にアクセスできるサービスプロバイダーを、登録業者が入念に監督することを求めています。業務を外部委託しても、コンプライアンス上の責任は委託されないという原則は基本です。データの処理場所や保管場所にかかわらず、顧客データのセキュリティに対する責任は引き続き当該業者にあります。

契約前のデューデリジェンス。 顧客の NPI または重要なシステムにアクセスできるベンダーと契約する前に、業者はベンダーの情報セキュリティ体制を評価する必要があります。評価項目には、ベンダーの文書化された情報セキュリティポリシーおよび手順、SOC 2 Type II 監査報告書（または同等のもの）、事業継続および災害復旧の能力、インシデント対応の手順と実績、下請業者およびサブプロセッサーの利用状況、データセンターのセキュリティ（物理面および論理面）、暗号化の実施状況、アクセス制御の仕組み、従業員の審査および研修、財務の安定性が含まれます。

契約上の保護措置。 サービスプロバイダーとの契約には、以下を含める必要があります。すべての顧客 NPI および専有データを対象とする秘密保持義務、最低限の情報セキュリティ基準（NIST CSF、ISO 27001、SOC 2 の基準など、広く認知されたフレームワークを参照）、侵害通知要件（業者のデータに影響するセキュリティインシデントを発見した場合に、通常は 24～72 時間以内など、定められた期間内にベンダーが業者へ通知することを規定）、ベンダーのセキュリティ慣行を監査し、監査報告書を受領する業者の権利、契約終了時にデータを速やかに返却または破棄する要件、契約したサービス以外の目的で業者のデータを使用することに対する制限、業者による下請業者の利用に関する条項（重要な再委託について業者が承認する権利、または通知を受ける権利を含む）、ベンダーのセキュリティ上の不備に起因する損失に対する補償、重大なセキュリティ上の不備を理由に契約を解除する業者の権利です。

継続的な監視。 デューデリジェンスは一度限りの取り組みではありません。業者は、更新された SOC 報告書または同等の評価を毎年確認し、定期的にセキュリティに関する質問票や評価を実施し、報告されたセキュリティインシデントや規制当局による措置を監視し、ベンダーの事業継続および災害復旧テストの結果を確認する必要があります。また、提供されるサービス、アクセスされるデータ、またはベンダーの所有関係や財務状況に重大な変更があった場合は、ベンダーのリスクプロファイルを再評価する必要があります。

クラウドサービスプロバイダーに関する考慮事項。 SEC は、クラウドセキュリティに特化したリスクアラートを公表しています（SEC EXAMS Risk Alert、2020 年 1 月）。主な期待事項には、共有責任モデルの理解（クラウドプロバイダーはインフラストラクチャを保護し、業者はクラウド内のデータと設定を保護する）、不正なパブリックアクセスを防ぐためのクラウドストレージの適切な設定、クラウド環境における強力な ID およびアクセス管理、クラウドサービス内の保存中および転送中のデータの暗号化、クラウド環境のアクティビティのログ記録と監視、クラウドプロバイダーのデータの保管場所、バックアップ、災害復旧の慣行の理解が含まれます。

集中リスク。 複数の業者が同じ重要なサービスプロバイダーに依存している場合の集中リスクについて、規制当局は懸念を示しています。業者は、主要ベンダーの障害がシステミックリスクを生じさせるかどうかを評価し、ベンダーの障害シナリオに対応する事業継続計画を維持し、実行可能な場合は重要なサービスの分散を検討する必要があります。

金融機関におけるデータガバナンス

効果的なデータガバナンスは、プライバシーおよびセキュリティに関する規制要件を満たすための運用上の枠組みを提供します。

データ分類。 金融機関は、機微性と規制要件に基づいてデータを分類する必要があります。また、分類に基づき、アクセス制御、暗号化、監視、および廃棄要件を適用する必要があります。SEC の規制対象となる金融機関にとって重要なカテゴリは、改正 Reg S-P で定義される「顧客情報」と「機微な顧客情報」（インシデント対応および通知義務の範囲を定めたもの）、廃棄規則の適用対象となる消費者レポート情報、および情報隔壁による管理の対象となる重要な未公開情報です。

アクセス制御。 最小権限の原則では、従業員、システム、およびサービスプロバイダーに対し、それぞれの機能を果たすために必要な最小限のアクセス権のみを付与する必要があります。ロールベースアクセス制御（RBAC）は、個人の識別情報ではなく職務に基づいて権限を割り当てることで、一貫した適用と効率的な権限の付与および削除を可能にします。職務分掌により、不正や不正アクセスにつながるおそれのあるプロセスを、単独の個人が最初から最後まで管理することを防ぎます。アクセス権のレビューは少なくとも年に一度実施し、特権アカウントについてはさらに頻繁に実施する必要があります。

暗号化。 データの暗号化は、保存時（保存データ）と転送時（ネットワーク上を移動するデータ）の両方に適用する必要があります。保存時には、フルディスク暗号化、データベース暗号化、およびファイルレベルの暗号化が一般的な方法です。転送時には、NPI を含むすべての通信に TLS 1.2 以降を使用する必要があります。鍵の生成、保管、ローテーション、破棄を含む暗号鍵管理については、金融機関のセキュリティポリシーで定める必要があります。

データの保持と破棄。 金融機関は、データ最小化の原則と帳簿・記録の保持要件とのバランスを取る必要があります。SEC Rule 17a-4（ブローカーディーラー）および IA Act Rule 204-2（投資顧問）は、記録の種類に応じて通常 3 年から 6 年の、各種記録に関する具体的な保持期間を定めています。データは適用される最長の保持期間にわたって保管し、保持期間の終了後は安全に破棄する必要があります。破棄方法は、データを復元不可能な状態にする必要があります。物理メディアは裁断し、電子メディアは暗号学的消去または物理的破壊を行います。

データ損失防止（DLP）。 DLP システムは、金融機関の内外における機微データの移動を監視および制御します。一般的な DLP 制御には、NPI パターン（例：社会保障番号、口座番号）を対象とする電子メールおよびウェブトラフィックの監視、機微なファイルの外部への不正な転送（USB ドライブ、個人用電子メール、クラウドストレージ）のブロック、機微な文書の印刷活動の監視、通常とは異なるデータ移動パターンに対するアラートの生成などがあります。DLP 制御は、金融機関のデータ分類体系に合わせて調整する必要があります。

監視とログ記録。 金融機関は、機微なシステムおよびデータへのアクセスについて、以下を含む包括的なログを保持する必要があります。ユーザー認証イベント（成功および失敗）、顧客口座記録へのアクセス、アクセス権限の変更、データのエクスポートおよび転送、システム管理者の活動。ログは、インシデント調査および規制当局による検査を支援するのに十分な期間保持する必要があります（SEC の検査官は、アクセスログについて 12～24 か月分を頻繁に要求します）。時間外のアクセス、通常とは異なる場所からのアクセス、大量のデータダウンロードなど、通常とは異なる活動パターンに対する自動アラートを設定する必要があります。

従業員のトレーニングと意識向上

コンプライアンスに関する具体的な要件は次のとおりです。Reg S-P Safeguards Rule は、書面による情報セキュリティポリシーの一環として従業員のトレーニングを義務付けています。FINRA Regulatory Notice 21-18 は、加盟企業における従業員の意識向上とトレーニングの重要性を強調しています。また、New York DFS 23 NYCRR 500.14 は、全従業員を対象とする定期的なサイバーセキュリティ意識向上トレーニングを明確に義務付けています。トレーニングは少なくとも年1回実施し、新入社員が顧客の NPI にアクセスする前に、オンボーディング時にも実施する必要があります。すべてのトレーニングについて、日付、参加者、トピック、教材を記録し、少なくとも5年間保管する必要があります。SEC の検査官はサイバーセキュリティ検査の際に、トレーニング記録やフィッシングシミュレーションのクリック率を定期的に求めており、測定可能な成果を伴わない年次スライド資料は、ますます不十分と見なされています。

実例

例1：退職する従業員がクライアントのNPIを個人用USBドライブにダウンロード

シナリオ： SECに登録された投資顧問会社が定期的なアクセスレビューを実施したところ、最近退職したポートフォリオマネージャーが、850人のクライアントの氏名、社会保障番号、生年月日、口座残高などのクライアントNPIを含むファイルを、最終出勤日に個人用USBドライブへダウンロードしていたことが判明しました。同社のITチームは、エンドポイント監視ログからこの転送を特定しました。従業員はすでに同社を退職し、競合するRIAに入社しています。 コンプライアンス上の問題：

• Reg S-Pセーフガード規則（17 CFR 248.30）は、顧客記録への不正アクセスを防ぐための書面によるポリシーと手順を定めるよう求めています。同社は、既存の管理策がこの種の情報持ち出しを防ぐのに十分だったか、またポリシーが遵守されていたかを評価する必要があります。
• 同社のポリシーで個人用USBデバイスの使用が禁止されていた場合、またはNPIを含むファイルのリムーバブルメディアへの転送をブロックするDLP管理策が求められていた場合、それらのポリシーを徹底できなかったこと自体がセーフガード規則の不備に該当します。
• 同社にそのようなポリシーがなかった場合、その欠如はセーフガード規則違反の可能性があります。ポリシーは不正アクセスを防ぐために合理的に設計されていなければならないためです。
• Reg S-Pのインシデント対応および通知要件が適用されます。社会保障番号は機微な顧客情報であるため、同社はインシデント対応プログラムを実施し、不正アクセスを認識してから30日以内に影響を受けた個人に通知する必要があります。
• 州のデータ侵害通知法も適用されます。同社は影響を受けた850人全員の居住州を特定し、該当する各州法の通知要件を遵守する必要があります。
• カリフォルニア州（Cal. Civ. Code 1798.82）、マサチューセッツ州（M.G.L. c. 93H, Section 3）、ニューヨーク州（N.Y. Gen. Bus. Law 899-aa）など、複数の州では、影響を受けた個人と州司法長官の両方への通知が義務付けられています。通知期限は異なりますが、通常、発覚から30～60日以内です。
• 同社は、退職した従業員の行為が金融犯罪の可能性（営業秘密の窃取、個人情報窃盗の助長、または競合する顧客勧誘のための顧客情報の不正利用）に該当するかを評価する必要があります。該当する場合、BSA/AML上の義務に基づくSARの提出が必要となる可能性があります。 分析： 同社は直ちに次の措置を講じる必要があります。（1）エンドポイント監視ログ、従業員のアクセスログ、アクセスまたはコピーされたファイルの記録など、データ転送に関するすべての証拠を保全します。（2）州のデータ侵害通知義務を評価し、調査に関する弁護士・依頼者間秘匿特権を管理するため、弁護士に依頼します。（3）弁護士を通じて元従業員と競合会社に連絡し、すべての顧客データの返却または削除証明書付きの破棄を要求します。コピーが残っていないことを示すフォレンジック証明書も求めます。（4）元従業員のワークステーションとアクセス履歴をフォレンジック分析し、追加のデータが漏えいしたかどうかを判断します。（5）該当する州法に従って影響を受けたクライアントに通知します。漏えいしたデータの内容、同社が講じている措置、信用情報の監視や個人情報窃盗対策のためのリソースに関する情報を提供します（複数の州では、同社が費用負担なしで信用情報の監視を提供することが義務付けられています）。（6）監督のため、インシデントを上級管理職および取締役会（または同等の統治機関）に報告します。（7）既存のアクセス管理策を強化すべきか評価します。たとえば、USBポートのブロック、NPIのリムーバブルメディアへの転送を防ぐDLP管理策、従業員の退職手続き期間中の監視強化を導入または徹底します。（8）すべての是正措置を記録します。SECの検査担当者は、同社が根本原因を特定し、是正措置を実施したことを示す証拠を確認しようとするためです。

例2：サードパーティベンダーへのランサムウェア攻撃による顧客データの漏えい

シナリオ： 中規模のブローカーディーラーが、約15,000件の口座の顧客口座データを処理・保管するため、サードパーティのポートフォリオ会計ベンダーを利用しています。ベンダーから、脅威アクターがシステムを暗号化する前にデータを窃取したランサムウェア攻撃を受けたとの通知がありました。ベンダーの初期評価では、窃取されたデータに顧客の氏名、住所、口座番号、社会保障番号、口座保有資産が含まれている可能性があります。同社の顧客は38州に居住しています。ベンダーがインシデントを発見してから10日後に、同社はベンダーから通知を受けました。 コンプライアンス上の問題：

• 同社のReg S-P Safeguards Ruleに基づく義務は、サービスプロバイダーの監督にも及びます。同社には、契約上の保護措置や継続的な監視を含む、サービスプロバイダーの監督に関する書面のポリシーおよび手順を整備する義務があります（17 CFR 248.30）。
• 同社は、ベンダー管理プログラムが適切かどうかを評価する必要があります。契約では、ベンダーに対し、指定された期間内（例：24～72時間以内）に同社へ通知することを義務付けていましたか。10日間の遅延は、契約上の不備、またはベンダーによる契約上の義務違反を示している可能性があります。同社は契約前に、ベンダーのセキュリティ体制についてデューデリジェンスを実施しましたか。ベンダーのSOC報告書、または同等の評価を確認しましたか。契約には、監査権、再委託先の管理、補償条項が含まれていましたか。
• 同社がDFSの規制対象である場合、23 NYCRR 500.17により、通常業務に重大な損害を与える合理的な可能性のあるサイバーセキュリティ事象が発生したと判断してから72時間以内にDFSへ通知する必要があります。これには、同社の顧客データに影響を及ぼすサードパーティサービスプロバイダーでのインシデントも含まれます。
• 顧客が居住する38州すべてで、州のデータ侵害通知法が適用されます。顧客との関係を持つのは通常、ベンダーではなく同社であり、そのため通知義務を負うのは同社です（ただし、一部の州ではベンダーも独立した通知義務を負う場合があります）。
• FINRAは、会員企業に対し、重大なサイバーセキュリティインシデントをFINRAに通知することを求めています。社会保障番号を含む15,000件の顧客口座に影響するデータ侵害は重大です。
• 同社にはReg S-Pに基づくインシデント対応プログラムの義務が適用されます。機微な顧客情報が不正にアクセスされた、またはアクセスされた可能性が合理的に高いことを認識してから30日以内に、書面のインシデント対応プログラムを実行し、顧客に通知する必要があります。連邦法上の期限は、州の期限と並行して進みます。 分析： 同社はインシデント対応計画を発動し、以下の措置を講じる必要があります。（1）外部のサイバーセキュリティ専門弁護士とフォレンジック調査会社に依頼し、ベンダーの評価とは独立して侵害の範囲を調査します。（2）ベンダーに対し、詳細なインシデントの時系列、フォレンジック調査報告書、侵害された具体的なデータの確認、ベンダーの是正措置、攻撃経路が封鎖されたことを示す証拠を要求します。（3）38州すべてについて、州ごとのデータ侵害通知要件の整理を開始します。各法域で確実に遵守できるよう、最も厳しい期限（おそらく同社がインシデントを発見してから30日）をすべての通知の目標期限に設定します。（4）該当する各州の内容要件に準拠した顧客通知書を作成し、侵害されたデータの種類、同社の対応措置、信用情報のモニタリングサービスに関する情報を記載します（同社は影響を受けた顧客に対し、費用を負担して信用情報のモニタリングサービスを提供する必要があります）。（5）同社が23 NYCRR 500の適用対象である場合、72時間以内にDFSへ通知します。（6）FINRAにインシデントを通知します。（7）データ侵害が不正取引、口座の乗っ取り、その他の潜在的な金融犯罪を引き起こした、または助長したかどうかを評価し、適切な場合はSARを提出します。（8）ベンダーとの関係を再評価します。契約のデータ侵害に関する条項と補償を受ける権利を確認し、ベンダーのセキュリティ対策が継続的な契約に十分かどうかを検討し、再評価の内容を文書化します。（9）インシデントと是正措置を取締役会または上級管理職に報告し、インシデントで明らかになった不備に対処するため、同社の書面による情報セキュリティプログラムを更新します。（10）審査および監査に備え、インシデント、調査、通知、是正措置に関するすべての文書を保管します。

例 3：サイバーセキュリティに重点を置いた SEC の検査

シナリオ： AUM が 50 億ドルの SEC 登録投資顧問会社が、SEC 検査局から検査通知書を受け取ります。文書提出要求リストにはサイバーセキュリティが重点分野として含まれており、会社の書面による情報セキュリティポリシー、インシデント対応計画、ベンダー評価、アクセス制御関連文書、従業員研修記録、ならびにサイバーセキュリティに関する取締役会または経営陣への報告書の提出を求めています。 コンプライアンス上の問題：

• 検査では、管理上、技術上、物理上の保護措置に関する書面によるポリシーおよび手順を義務付ける Reg S-P Safeguards Rule への会社の準拠状況が確認されます。
• 会社が Reg S-ID の適用対象である場合、検査官は会社の個人情報盗難防止プログラムと、その実施を示す証拠も求める可能性があります。
• SEC の検査官は、書面によるポリシーの有無だけでなく、その実際の実施、テスト、更新状況も評価します。書類上は存在していても遵守されていないポリシーは不備となります。
• サイバーセキュリティに関連して SEC の検査でよく指摘される不備には、包括的な書面による情報セキュリティポリシーがないこと、現在の脅威、テクノロジー、または業務慣行を反映するようにポリシーが更新されていないこと、不十分なアクセス制御（例：パスワードの共有、多要素認証の未導入、従業員の退職時にアクセス権を速やかに解除しないこと）、書面によるインシデント対応計画がないこと、または机上演習による計画のテストを実施していないこと、不十分なベンダーデューデリジェンスの文書化（SOC レポート、セキュリティ質問票、契約上の保護措置がないこと）、不十分な従業員研修記録（研修の証拠がないこと、研修を毎年実施していないこと、フィッシングシミュレーションプログラムがないこと）、定期的なリスク評価を実施していないこと、保存中および転送中の NPI を暗号化していないこと、ならびに不十分な取締役会または上級経営陣の監督（サイバーセキュリティリスクに関する定期報告がないこと、取締役会レベルの関与がないこと）が含まれます。 分析： 検査に備えるため、会社は次の対応を行う必要があります。（1）提出期限までに、要求に該当するすべての文書を取りまとめます。これには、書面による情報セキュリティポリシー、リスク評価、インシデント対応計画、ベンダー管理ポリシーおよび個別のベンダー評価（SOC レポート、セキュリティ質問票、セキュリティ条項を含む契約書）、アクセス制御関連文書（ユーザーアクセスリスト、特権アカウントの一覧、アクセスレビュー記録、MFA 導入の証拠）、少なくとも過去 2 年間の従業員研修教材および出席記録、フィッシングシミュレーションの結果、インシデントログ（重大なインシデントが発生していない場合も含みます。検査官はログ記録のプロセスを確認したいと考えています）、サイバーセキュリティに関する協議や報告を示す取締役会または経営委員会の議事録、ならびに第三者による侵入テストまたは脆弱性評価レポートが含まれます。（2）検査開始前に、SEC の検査における期待事項に照らしたギャップ分析を実施します。不備を特定し、直ちに是正に着手してください。不備が存在していても、積極的な是正は検査官から好意的に評価されます。（3）CISO、CCO、および関連する IT・コンプライアンス担当者に検査面談の準備をさせます。検査官は、ポリシーが実務でどのように実施されているか、インシデントがどのようにエスカレーションされるか、ベンダーをどのように監視しているか、進化する脅威にどのように対応しているかについて質問します。（4）最近の SEC EXAMS のリスクアラートおよびサイバーセキュリティ関連の不備通知を確認し、検査チームが重点を置く分野を予測します。（5）会社の書面によるポリシーが最新であり、実際の業務慣行を正確に反映していることを確認します。書面上のポリシーと実際の業務慣行との重大な乖離は、重大な不備となります。（6）過去の検査指摘事項、内部監査の指摘事項、または会社が自ら特定した不備について、会社による是正内容を文書化します。

よくある落とし穴

• Reg S-P セーフガード・ルールを運用上の要件ではなく、文書作成の作業として扱うこと — 書面によるポリシーは、作成して保管するだけでなく、実施し、テストし、更新する必要があります
• FAST Act に基づく年次プライバシー通知の免除が適用されることを、許可された例外の範囲内でのみ NPI を共有しており、前回の通知以降にプライバシーポリシーを変更していないことを確認せずに想定すること
• Reg S-ID に基づく対象口座の分析を実施しないこと — 対象口座に該当するのは銀行口座だけだと思い込む企業もありますが、証券口座や継続的な取引がある投資顧問口座も対象となります
• ID 盗難防止プログラムを導入時に実施したまま、顧客層、商品、脅威の状況が変化しても更新しないこと
• ベンダーのデューデリジェンスを継続的なモニタリング義務ではなく、一度限りのオンボーディング作業として扱うこと — 3 年前の SOC レポートでは、現在求められるデューデリジェンスを満たせません
• ベンダーとの契約にセキュリティ基準を盛り込んでも、監査権を行使したり、基準への準拠状況を確認したりしないこと
• ベンダーからの侵害通知だけを、自社のインシデント対応を開始する唯一のきっかけとすること — 企業には、セキュリティインシデントを監視し、検知する独立した義務があります
• インシデント発生前に複数州の侵害通知義務を整理しておかず、短い期限の中で通知が遅れたり、要件を満たさなかったりすること
• CCPA/CPRA の GLBA 免除の対象となるデータと、免除の対象外となるデータを区別しないこと — 従業員データ、ウェブサイトの分析データ、マーケティングデータは、GLBA 免除の対象外となる場合があります
• 通信中のデータは暗号化しても、保存データの暗号化を怠ること、またはその逆
• 従業員の退職後、システムへのアクセス権を速やかに無効化しないこと — SEC の検査官は、アクセス制御の弱点を示す兆候として、元従業員のアクティブなアカウントが残っていないかを定期的に確認します
• 従業員向けのサイバーセキュリティ研修を、効果的な意識向上プログラムではなく、コンプライアンス上のチェック項目として扱うこと — フィッシングシミュレーション、職務別の内容、測定可能な成果を伴わない年次スライド資料は、不十分と見なされる傾向が強まっています
• 机上演習やシミュレーションで一度もテストしていないインシデント対応計画を維持すること — テストされていない計画は、実際のインシデントのプレッシャーの下で機能しないことがよくあります
• データ処理や保存をクラウドプロバイダーに委託すれば、データセキュリティに関する規制上の責任がなくなると考えること — 責任共有モデルでは、クラウド環境内の自社の設定、アクセス制御、データを保護する責任が企業にあります

相互参照

• client-disclosures（コンプライアンスプラグイン）：Reg S-P のプライバシー通知は必須の顧客向け開示文書です。その内容、提供時期、FAST Act の例外については、client-disclosures スキルで扱います
• books-and-records（コンプライアンスプラグイン）：プライバシー規制に基づくデータの保持および破棄要件は、SEC Rule 17a-4 および IA Act Rule 204-2 に基づく帳簿・記録の保持規則と整合させる必要があります
• know-your-customer（コンプライアンスプラグイン）：社会保障番号、生年月日、住所、身分証明書類などの KYC データは、保護が必要な NPI に該当し、Reg S-ID に基づく個人情報盗難の主な標的となります
• anti-money-laundering（コンプライアンスプラグイン）：不正なアカウントアクセス、資金の窃取、個人情報盗難を伴うサイバーセキュリティインシデントは、BSA/AML 要件に基づく SAR 提出義務の対象となる場合があります
• examination-readiness（コンプライアンスプラグイン）：サイバーセキュリティは、SEC 検査部門の検査優先事項の上位項目に常に含まれています。サイバーセキュリティに関する文書の提出要求、面談の議題、よくある不備の指摘は、検査準備の中心となります
• conflicts-of-interest（コンプライアンスプラグイン）：情報障壁、アクセス制御、データ分離ポリシーには、重要な未公開情報の不正利用を防ぐことと、顧客の NPI を内部の不正アクセスから保護することの二つの目的があります