スキップしてメイン コンテンツに移動

FRB等連邦金融監督機関が中小金融機関向け「情報セキュリティ・ガイドライン遵守ガイド」を公表

 　


　Last Updated : March 28,2021

2005年12月14日に米国連邦準備制度理事会（FRB）、連邦預金保険公社（FDIC）、連邦財務省通貨監督庁（OCC）、貯蓄機関監督局（OTS）は連名で標記ガイドを公表した。FDICのリリース（FDIC-PR-127-2005）の内容は以下のとおりである。

　「情報セキュリティ・ガイドライン」はグラム・リーチ・ブライリー法（Gramm-Leach-Bliley Act (GLB Act）501条b項および「2003年公正適正信用取引法（Fair and Accurate Credit Transactions Act of 2003 (FACT Act）」 216条を根拠とするもので、金融機関における顧客情報の安全性、機密性、適切性および適切な廃棄処分を確立するため、管理面、技術面、物理面からセキュリティ対策を定めたものである。

　本遵守ガイドは、金融機関が取り扱う個人情報の保護についてなすべき義務の内容を要約し、また個別の状況下において「情報セキュリティ・ガイドライン」の規定をいかに適用するかにつき説明するものである。

　すなわち、本ガイドは金融機関が、①漏洩等リスクのアセスメント、②情報セキュリティ・プログラムの設計・適用、③消費者や顧客の個人情報の適切な処分、④顧客情報に対する違法なアクセス事故・犯罪への対応、⑤顧客情報にアクセス可能なサービス・プロバイダーの監督について、ガイドラインで定める中心的な用語の詳細を解説するものである。

　なお、本ガイドはセキュリティ・ガイドラインを代替するものではない。金融機関がセキュリティ・ガイドラインのもとでの義務の内容のみを定めるもので、顧客の記録や情報を保護するための方針や実践に関する連邦法、州法その他諸規則の適用を目的とするものでない。

添付資料「Interagency Guidelines Establishing Information Security Standards:Small -Entity Compliance Guide　」中小金融機関における情報セキュリティ規格の確立のための関係省庁共通ガイド

〔ガイドの項目〕
1. 序論
(1)本ガイドの目的と範囲
(2)セキュリティ・ガイドライン策定の法的背景と概要
(3)セキュリティ・ガイドラインとプライバシー保護に関する各種規則の区分

2. セキュリティ・ガイドラインで使用される重要用語
(1)顧客情報
(2)顧客情報システム
(3)情報セキュリティ・プログラム
(4)サービス・プロバイダー

3. 情報セキュリティ・プログラムの開発と提供
(1)合理的に予見できる内部・外部からの脅威の特定
(2)特定された脅威の見込みと潜在的損害の査定
(3)方針と手続き十分な調査
(4)リスクアセスメントを行うための社外コンサルタントの採用
(5)進行中のリスクアセスメントのプロセスへの関与

４. セキュリティ・コントロールの設計
(1)対応プログラムの開発と適用
(2)顧客への通知に関する環境
(3)暗証番号等顧客の機微情報の意義

5.担当者の教育

6.テストについての主要なコントロール

7.サービス・プロバイダーの監督
(1)サービス・プロバイダーとの契約締結
　(2)サービス・プロバイダーの業務のモニタリング

8．セキュリティ・プログラムの調整

9.取締役会に対する責任と報告
　（付属資料：参考となる関係機関）


******************************************************************

（以下の部分は2010年10月22日現在、白紙であるが、適正な委託先が見つかればあらためて検討したい）

　標記ガイドは現在仮訳（要約）作業中であり、訳文を希望される方は次のメールアドレスまでご連絡いただければ後日当方から通知する予定である。

　なお、従来本ブログで取り上げてきたテーマについて、今後は詳細版は別途メーリングリスト登録者（当分の間、無料）のみ通知する方式に変更するので、詳細資料版を希望される方は個人、法人を問わず下記内容を記入のうえ申し込んでいただきたい。また、登録いただいた内容については、個人情報保護法ならびに関係省庁のガイドラインに基づき「×××」が善良なる管理者の注意義務を厳格に履行し、ブログ情報の発信のみに利用すること、ならびに第三者へ情報提供を行わないこととする。
(1)本件 欄：メーリングリスト申込
(2)本文：①登録希望メールアドレス
②法人の場合：企業名（フリガナ）
個人の場合：姓名（フリガナ）

******************************************************************

（今回のブログは2005年12月15日登録分の改訂版である)

Copyright © 2005-2010 芦田勝．All Rights Reserved．No reduction or republication without permission．

コメント

コメントを投稿

このブログの人気の投稿

米国CFTCがオハイオ州の男性とその所有企業をデジタル資産取引スキームにおける1200万ドル(約16億214万円)以上の不正勧誘と不正流用を理由に民事起訴

  　 　米国の 商品先物取引委員会(CFTC) は8月12日、オハイオ州ニューオルバニー市住の ラスナキショア・ギリ(Rathnakishore Giri) と彼が所有するオハイオ州に本拠を置く NBD Eidetic Capital, LLC および SR Private Equity, LLC に対して、オハイオ州南部地区連邦地方裁判所に 民事法執行訴訟 を起こしたと 発表 した。 　 同訴状 は、ギリと彼の会社が150人以上の顧客から1200万ドル以上と少なくとも10ビットコインを不正に勧誘し、またギリと彼の会社がデジタル資産取引を目的とした顧客資金を不正に流用したと主張している。 　さらに訴状は、ギリの両親であるギリ・スブラマニ(Giri Subramani)とロカ・パヴァニ・ギリ(Loka Pavani Giri)を、正当な利害関係のない資金を所有している 救済被告 (注1) として起訴している。 　今回のブログは、(1)本起訴の詳細、(2)CFTC/SECの投資家アラート:ビットコイン先物における資金取引の注意喚起の概要について概観する。 1. 起訴の内容 　CFTCは、その継続的な訴訟において、詐欺被害にあった顧客への補償(restitution)、不正に得た利益の返還(disgorgement of ill-gotten gains)、民事上の金銭的罰則(civil monetary penalties)、恒久的な取引および登録禁止(permanent trading and registration bans)、および ｢商品取引法(Commodity Exchange Act :CEA)｣ および 「CFTC規則(CFTC regulations)」 のさらなる違反に対する永久的差止命令(permanent injunction)を求めている。 ２．本事件の背景 　訴状は、2019年3月頃から現在まで、被告が運営しているとされるさまざまなデジタル資産投資ファンドに投資するために、少なくとも150人の顧客から1200万ドル以上と10ビットコイン以上を勧誘し、受け入れた詐欺的なスキームに関与したと訴えている。同訴状によると、被告は顧客への勧誘において、利益の保証やギリのデジタル資産トレーダーとしての成功話など、多数の虚偽で誤解を招くような声...
コメントを投稿
続きを読む

米大統領令(EO: Executive Order 14110)の具体的内容と意義およびそれに基づく責任の履行を支援するためNIST「情報提供依頼文書 」の具体的内容

  　筆者は、12月6日の本ブログで2023年10月30日の大統領令(EO: Executive Order 14110)(以下、「EO」という)を受けたNISTの具体的行動につき 「 NISTからこのほど公開された「 NIST SP 800-226 草案」および「差分プライバシー保証を評価するためのガイドライン草案」に対するパブリックコメントの背景と意義」 を取り上げた。 　しかし、執筆後もいまいち大統領令(EO)のファクトシートも含め真の目的や商務省の規則案のとりまとめ期限など疑問点が残されていた。その内容を補完する意味で今回のブログで補筆するとともに、後段でNISTが2024年2月2日を期限として発布した「情報提供依頼文書 (Request for Information (RFI) )」の概要について解説を試みる。 　また、本ブログでは、わが国では詳しく論じられていない米国「国防生産法（Defense Production Act of 1950 ：DPA）」の意義と最新動向にも言及した。 　なお、今回のブログの内容は12月6日の筆者ブログと重複する部分が一部あるが、 Kilpatrick Townsend & Stockton LLPの和文解説 と併せ読まれたい。 Ⅰ．大統領令 (EO: 14110) の具体的内容の解析  　 JD Supra, LLCの 「The highly-anticipated US Executive Order on artificial intelligence: Setting the agenda for responsible AI innovation」 を要約しつつ仮訳する。 　このEOは、多くの点で AI に関するこれまでのバイデン政権の行動を超えている。 この広範囲かつ堅牢な大統領令は、AI を規制するために既存の当局を利用することを想定して、米国の行政部門および政府機関 (機関) に、①標準、②フレームワーク、③ガイドライン、④最善実践内容を開発するよう指示した (また、独立機関にも同様に奨励する)。 また政府機関は、AI の責任ある使用に関係するほぼすべての連邦法、規則、政策に対して具体的な措置を講じる必要があるとする。 　EOは、AI の使用から得られる利点を認識する一方で、国家...
コメントを投稿
続きを読む

DONATE(ご寄付)のお願い

  本ブログの継続維持のため読者各位のご協力をお願いいたします。特に寄付いただいた方で希望される方があれば、下記の筆者のメールアドレス宛にご連絡いただければ個別に対応することも検討中でございます。   ◆みずほ銀行　船橋支店(店番号　282) ◆普通預金　１６３１３０８ ◆アシダ　マサル ◆E-メールアドレス：slutian165@gmail.com   【本ブログのブログとしての特性】 １．100%源データに基づく翻訳と内容に即した権威にこだわらない 正確な訳語づくり 。 ２．本ブログで取り下げてきたテーマ、内容はすべて電子書籍も含め公表時から即内容の陳腐化が始まるものである。筆者は本ブログの閲覧されるテーマを毎日フォローしているが、10年以上前のブログの閲覧も毎日発生している。 このため、その内容のチェックを含め完全なリンクのチェック、確保に努めてきた。 ３．上記2.のメンテナンス作業につき従来から約4人態勢で当たってきた。すなわち、海外の主要メディア、主要大学(ロースクールを含む)および関係機関、シンクタンク、主要国の国家機関(連邦、州など)、EU機関や加盟国の国家機関、情報保護監督機関、消費者保護機関、大手ローファーム、サイバーセキュリテイ機関、人権擁護団体等を毎日仕分け後、翻訳分担などを行い、最終的にアップ時に責任者が最終チェックする作業過程を毎日行ってきた。 このような経験を踏まえ、データの入手日から最短で1～2日以内にアップすることが可能となった。 なお、海外のメディアを読まれている読者は気がつかれていると思うが、特に米国メディアは大多数が有料読者以外に情報を出さず、それに依存するわが国メデイアの情報の内容の薄さが気になる。 本ブログは、上記のように公的機関等から 直接受信による取材 → 解析・補足作業 → リンク・翻訳作業 → ブログの公開(著作権問題もクリアー) が行える「 わが国の唯一の海外情報専門ブログ」 を目指す。 ４．内外の閲覧者数の統計数(google blogger and WordPress) (1)2005.9～2017.8 全期間の国別閲覧数 (2) 2016.8～2020.8 WordPress 世界的な閲覧者数 ４． 他にない本ブログの特性： すべて直接、登録先機関などからデータを受信し、その解析を...
コメントを投稿
続きを読む