スキップしてメイン コンテンツに移動

FRB等連邦金融監督機関が中小金融機関向け「情報セキュリティ・ガイドライン遵守ガイド」を公表

 　


　Last Updated : March 28,2021

2005年12月14日に米国連邦準備制度理事会（FRB）、連邦預金保険公社（FDIC）、連邦財務省通貨監督庁（OCC）、貯蓄機関監督局（OTS）は連名で標記ガイドを公表した。FDICのリリース（FDIC-PR-127-2005）の内容は以下のとおりである。

　「情報セキュリティ・ガイドライン」はグラム・リーチ・ブライリー法（Gramm-Leach-Bliley Act (GLB Act）501条b項および「2003年公正適正信用取引法（Fair and Accurate Credit Transactions Act of 2003 (FACT Act）」 216条を根拠とするもので、金融機関における顧客情報の安全性、機密性、適切性および適切な廃棄処分を確立するため、管理面、技術面、物理面からセキュリティ対策を定めたものである。

　本遵守ガイドは、金融機関が取り扱う個人情報の保護についてなすべき義務の内容を要約し、また個別の状況下において「情報セキュリティ・ガイドライン」の規定をいかに適用するかにつき説明するものである。

　すなわち、本ガイドは金融機関が、①漏洩等リスクのアセスメント、②情報セキュリティ・プログラムの設計・適用、③消費者や顧客の個人情報の適切な処分、④顧客情報に対する違法なアクセス事故・犯罪への対応、⑤顧客情報にアクセス可能なサービス・プロバイダーの監督について、ガイドラインで定める中心的な用語の詳細を解説するものである。

　なお、本ガイドはセキュリティ・ガイドラインを代替するものではない。金融機関がセキュリティ・ガイドラインのもとでの義務の内容のみを定めるもので、顧客の記録や情報を保護するための方針や実践に関する連邦法、州法その他諸規則の適用を目的とするものでない。

添付資料「Interagency Guidelines Establishing Information Security Standards:Small -Entity Compliance Guide　」中小金融機関における情報セキュリティ規格の確立のための関係省庁共通ガイド

〔ガイドの項目〕
1. 序論
(1)本ガイドの目的と範囲
(2)セキュリティ・ガイドライン策定の法的背景と概要
(3)セキュリティ・ガイドラインとプライバシー保護に関する各種規則の区分

2. セキュリティ・ガイドラインで使用される重要用語
(1)顧客情報
(2)顧客情報システム
(3)情報セキュリティ・プログラム
(4)サービス・プロバイダー

3. 情報セキュリティ・プログラムの開発と提供
(1)合理的に予見できる内部・外部からの脅威の特定
(2)特定された脅威の見込みと潜在的損害の査定
(3)方針と手続き十分な調査
(4)リスクアセスメントを行うための社外コンサルタントの採用
(5)進行中のリスクアセスメントのプロセスへの関与

４. セキュリティ・コントロールの設計
(1)対応プログラムの開発と適用
(2)顧客への通知に関する環境
(3)暗証番号等顧客の機微情報の意義

5.担当者の教育

6.テストについての主要なコントロール

7.サービス・プロバイダーの監督
(1)サービス・プロバイダーとの契約締結
　(2)サービス・プロバイダーの業務のモニタリング

8．セキュリティ・プログラムの調整

9.取締役会に対する責任と報告
　（付属資料：参考となる関係機関）


******************************************************************

（以下の部分は2010年10月22日現在、白紙であるが、適正な委託先が見つかればあらためて検討したい）

　標記ガイドは現在仮訳（要約）作業中であり、訳文を希望される方は次のメールアドレスまでご連絡いただければ後日当方から通知する予定である。

　なお、従来本ブログで取り上げてきたテーマについて、今後は詳細版は別途メーリングリスト登録者（当分の間、無料）のみ通知する方式に変更するので、詳細資料版を希望される方は個人、法人を問わず下記内容を記入のうえ申し込んでいただきたい。また、登録いただいた内容については、個人情報保護法ならびに関係省庁のガイドラインに基づき「×××」が善良なる管理者の注意義務を厳格に履行し、ブログ情報の発信のみに利用すること、ならびに第三者へ情報提供を行わないこととする。
(1)本件 欄：メーリングリスト申込
(2)本文：①登録希望メールアドレス
②法人の場合：企業名（フリガナ）
個人の場合：姓名（フリガナ）

******************************************************************

（今回のブログは2005年12月15日登録分の改訂版である)

Copyright © 2005-2010 芦田勝．All Rights Reserved．No reduction or republication without permission．

コメント

コメントを投稿

このブログの人気の投稿

米大統領令(EO: Executive Order 14110)の具体的内容と意義およびそれに基づく責任の履行を支援するためNIST「情報提供依頼文書 」の具体的内容

  　筆者は、12月6日の本ブログで2023年10月30日の大統領令(EO: Executive Order 14110)(以下、「EO」という)を受けたNISTの具体的行動につき 「 NISTからこのほど公開された「 NIST SP 800-226 草案」および「差分プライバシー保証を評価するためのガイドライン草案」に対するパブリックコメントの背景と意義」 を取り上げた。 　しかし、執筆後もいまいち大統領令(EO)のファクトシートも含め真の目的や商務省の規則案のとりまとめ期限など疑問点が残されていた。その内容を補完する意味で今回のブログで補筆するとともに、後段でNISTが2024年2月2日を期限として発布した「情報提供依頼文書 (Request for Information (RFI) )」の概要について解説を試みる。 　また、本ブログでは、わが国では詳しく論じられていない米国「国防生産法（Defense Production Act of 1950 ：DPA）」の意義と最新動向にも言及した。 　なお、今回のブログの内容は12月6日の筆者ブログと重複する部分が一部あるが、 Kilpatrick Townsend & Stockton LLPの和文解説 と併せ読まれたい。 Ⅰ．大統領令 (EO: 14110) の具体的内容の解析  　 JD Supra, LLCの 「The highly-anticipated US Executive Order on artificial intelligence: Setting the agenda for responsible AI innovation」 を要約しつつ仮訳する。 　このEOは、多くの点で AI に関するこれまでのバイデン政権の行動を超えている。 この広範囲かつ堅牢な大統領令は、AI を規制するために既存の当局を利用することを想定して、米国の行政部門および政府機関 (機関) に、①標準、②フレームワーク、③ガイドライン、④最善実践内容を開発するよう指示した (また、独立機関にも同様に奨励する)。 また政府機関は、AI の責任ある使用に関係するほぼすべての連邦法、規則、政策に対して具体的な措置を講じる必要があるとする。 　EOは、AI の使用から得られる利点を認識する一方で、国家...
コメントを投稿
続きを読む

米国CFTCがオハイオ州の男性とその所有企業をデジタル資産取引スキームにおける1200万ドル(約16億214万円)以上の不正勧誘と不正流用を理由に民事起訴

  　 　米国の 商品先物取引委員会(CFTC) は8月12日、オハイオ州ニューオルバニー市住の ラスナキショア・ギリ(Rathnakishore Giri) と彼が所有するオハイオ州に本拠を置く NBD Eidetic Capital, LLC および SR Private Equity, LLC に対して、オハイオ州南部地区連邦地方裁判所に 民事法執行訴訟 を起こしたと 発表 した。 　 同訴状 は、ギリと彼の会社が150人以上の顧客から1200万ドル以上と少なくとも10ビットコインを不正に勧誘し、またギリと彼の会社がデジタル資産取引を目的とした顧客資金を不正に流用したと主張している。 　さらに訴状は、ギリの両親であるギリ・スブラマニ(Giri Subramani)とロカ・パヴァニ・ギリ(Loka Pavani Giri)を、正当な利害関係のない資金を所有している 救済被告 (注1) として起訴している。 　今回のブログは、(1)本起訴の詳細、(2)CFTC/SECの投資家アラート:ビットコイン先物における資金取引の注意喚起の概要について概観する。 1. 起訴の内容 　CFTCは、その継続的な訴訟において、詐欺被害にあった顧客への補償(restitution)、不正に得た利益の返還(disgorgement of ill-gotten gains)、民事上の金銭的罰則(civil monetary penalties)、恒久的な取引および登録禁止(permanent trading and registration bans)、および ｢商品取引法(Commodity Exchange Act :CEA)｣ および 「CFTC規則(CFTC regulations)」 のさらなる違反に対する永久的差止命令(permanent injunction)を求めている。 ２．本事件の背景 　訴状は、2019年3月頃から現在まで、被告が運営しているとされるさまざまなデジタル資産投資ファンドに投資するために、少なくとも150人の顧客から1200万ドル以上と10ビットコイン以上を勧誘し、受け入れた詐欺的なスキームに関与したと訴えている。同訴状によると、被告は顧客への勧誘において、利益の保証やギリのデジタル資産トレーダーとしての成功話など、多数の虚偽で誤解を招くような声...
コメントを投稿
続きを読む

英国の Identity Cards Bill（国民ID カード法案）が可決成立、玉虫色の決着

 　2005年5月に英国議会に上程され、英国やEU加盟国内の人権保護団体やロンドン大学等において議論を呼んでいた標記法案 （筆者注1） が上院(貴族院)、下院(庶民院) で3月29日に承認され、国王の裁可(Royal Assent)により成立した。 　2010年1月以前は国民IDカードの購入は義務化されないものの、英国のパスポートの申込者は自動的に指紋や虹彩など生体認証情報 （筆者注2） を含む国民ID登録が義務化されるという玉虫色の内容で、かつ法律としての明確性を欠く面やロンドン大学等が指摘した開発・運用コストが不明確等という点もあり、今後も多くの論評が寄せられると思われるが、速報的に紹介する。 （筆者注3） １．IDカード購入の「オプト・アウト権」 　上院・下院での修正意見に基づき盛り込まれたものである。上院では5回の修正が行われ、その1つの妥協点がこのオプショナルなカード購入義務である。すなわち、法案第11編にあるとおりIDカードとパスポートの情報の連携を通じた「国民報管理方式」はすでに定められているのであるが、修正案では17歳以上の国民において2010年1月（英国の総選挙で労働党政権の存続確定時）まではパスポートの申込み時のIDカードの同時購入は任意となった。 ２．2010年1月以降のカード購入の義務化 　約93ポンド （筆者注4） でIDカードの購入が義務化される。また、2008年からは、オプト・アウト権の行使の有無にかかわりなく、パスポートのIC Chip （筆者注5） に格納され生体認証情報は政府の登録情報データベース （筆者注6） にも登録されることになる。 ******************************************************: （筆者注1） 最終法案の内容は、次のURLを参照。 http://www.publications.parliament.uk/pa/ld200506/ldbills/071/2006071.pdf （筆者注2） 生体認証の指紋や虹彩については、法案のスケジュール（scheduleとは，英連邦の国の法律ではごく一般的なもので、法律の一部をなす。法本文の規定を受け，それをさらに細かく規定したものである。付属規定と訳されている例がある。わが国の法案で言う「別表」的なもの）...
コメントを投稿
続きを読む