ストーリー

主要なコンプライアンスフレームワーク

フレームワーク比較

SOC2（Service Organization Control 2）

Trust Services Criteria（5つの信頼原則）

SOC2対応の技術的コントロール

// soc2-controls.ts - SOC2対応に必要な技術的コントロールの実装

// CC6.1: Logical and Physical Access Controls
interface AccessControlPolicy {
  authentication: {
    mfaRequired: boolean;
    passwordPolicy: {
      minLength: number;
      requireUppercase: boolean;
      requireLowercase: boolean;
      requireNumbers: boolean;
      requireSpecialChars: boolean;
      expirationDays: number;
      historyCount: number;       // 過去N回のパスワード再利用禁止
    };
    sessionPolicy: {
      maxIdleMinutes: number;
      maxSessionHours: number;
      concurrentSessionLimit: number;
    };
  };
  authorization: {
    model: 'RBAC' | 'ABAC';
    leastPrivilege: boolean;
    periodicReview: {
      frequencyDays: number;
      reviewer: string;
    };
  };
}

const soc2AccessControl: AccessControlPolicy = {
  authentication: {
    mfaRequired: true,
    passwordPolicy: {
      minLength: 12,
      requireUppercase: true,
      requireLowercase: true,
      requireNumbers: true,
      requireSpecialChars: true,
      expirationDays: 90,
      historyCount: 12,
    },
    sessionPolicy: {
      maxIdleMinutes: 15,
      maxSessionHours: 8,
      concurrentSessionLimit: 3,
    },
  },
  authorization: {
    model: 'RBAC',
    leastPrivilege: true,
    periodicReview: {
      frequencyDays: 90,
      reviewer: 'Security Team',
    },
  },
};

// CC7.2: Monitoring Activities
interface MonitoringConfig {
  logging: {
    auditLogRetentionDays: number;
    logTypes: string[];
    immutableStorage: boolean;
    encryptedAtRest: boolean;
  };
  alerting: {
    securityEvents: AlertRule[];
    responseTimeSla: Record<string, string>;
  };
}

interface AlertRule {
  name: string;
  condition: string;
  severity: 'critical' | 'high' | 'medium' | 'low';
  notification: string[];
}

const soc2Monitoring: MonitoringConfig = {
  logging: {
    auditLogRetentionDays: 365,
    logTypes: [
      'authentication',         // ログイン/ログアウト
      'authorization',          // 権限チェック
      'data-access',            // データアクセス
      'data-modification',      // データ変更
      'system-configuration',   // 設定変更
      'admin-actions',          // 管理者操作
    ],
    immutableStorage: true,     // ログの改ざん防止
    encryptedAtRest: true,
  },
  alerting: {
    securityEvents: [
      {
        name: 'Multiple Failed Logins',
        condition: 'failed_login_count > 5 within 10min from same IP',
        severity: 'high',
        notification: ['#security-alerts', 'security@company.com'],
      },
      {
        name: 'Privilege Escalation Attempt',
        condition: 'unauthorized_access to admin endpoints',
        severity: 'critical',
        notification: ['#security-incidents', 'oncall-security'],
      },
      {
        name: 'Data Export Above Threshold',
        condition: 'data_export_rows > 10000 within 1hour',
        severity: 'medium',
        notification: ['#security-alerts'],
      },
    ],
    responseTimeSla: {
      critical: '15 minutes',
      high: '1 hour',
      medium: '4 hours',
      low: '24 hours',
    },
  },
};

ISO 27001（ISMS）

Annex A コントロール（ISO 27001

）

ISO 27001

ISMS構築のステップ

1. スコープ定義
   │  対象とする組織・システム・プロセスの範囲を決定
   ▼
2. リスクアセスメント
   │  資産の洗い出し → 脅威の特定 → リスク評価 → リスク対応計画
   ▼
3. 適用宣言書（SoA）作成
   │  Annex Aの93コントロールの適用可否と理由を文書化
   ▼
4. コントロール実装
   │  技術的・組織的・人的・物理的コントロールの実装
   ▼
5. 内部監査
   │  ISMS の有効性を自己評価
   ▼
6. マネジメントレビュー
   │  経営層によるISMSの見直し
   ▼
7. 認証審査（Stage 1 + Stage 2）
   │  認証機関による審査
   ▼
8. 継続的改善（PDCA）
      年次サーベイランス審査 + 3年ごとの再認証

リスクアセスメントの実装例

// risk-assessment.ts

interface InformationAsset {
  id: string;
  name: string;
  category: 'data' | 'system' | 'service' | 'people' | 'physical';
  owner: string;
  classification: 'Restricted' | 'Confidential' | 'Internal' | 'Public';
  value: number;  // 1-5（資産価値）
}

interface ThreatScenario {
  id: string;
  assetId: string;
  threat: string;
  vulnerability: string;
  likelihood: number;  // 1-5
  impact: number;       // 1-5
  riskScore: number;    // likelihood * impact
  riskLevel: 'Very High' | 'High' | 'Medium' | 'Low' | 'Very Low';
  treatment: 'Mitigate' | 'Transfer' | 'Avoid' | 'Accept';
  controls: string[];
}

function calculateRiskLevel(likelihood: number, impact: number): string {
  const score = likelihood * impact;
  if (score >= 20) return 'Very High';
  if (score >= 15) return 'High';
  if (score >= 10) return 'Medium';
  if (score >= 5) return 'Low';
  return 'Very Low';
}

// リスクアセスメント例
const riskAssessment: ThreatScenario[] = [
  {
    id: 'RISK-001',
    assetId: 'ASSET-DB-001',
    threat: '外部攻撃者によるSQLインジェクション',
    vulnerability: '入力バリデーション不足',
    likelihood: 4,
    impact: 5,
    riskScore: 20,
    riskLevel: 'Very High',
    treatment: 'Mitigate',
    controls: [
      'A.8.25 Secure development lifecycle',
      'A.8.26 Application security requirements',
      'A.8.28 Secure coding',
    ],
  },
  {
    id: 'RISK-002',
    assetId: 'ASSET-CRED-001',
    threat: '従業員の認証情報の漏洩',
    vulnerability: 'フィッシング攻撃への脆弱性',
    likelihood: 3,
    impact: 4,
    riskScore: 12,
    riskLevel: 'Medium',
    treatment: 'Mitigate',
    controls: [
      'A.6.3 Information security awareness, education and training',
      'A.8.5 Secure authentication',
    ],
  },
];

PCI DSS（Payment Card Industry Data Security Standard）

PCI DSS v4.0 の12要件

PCI DSS対応の技術的実装

// pci-dss-controls.ts

// 要件3: カード情報の保護
interface CardDataProtection {
  storage: {
    panEncryption: 'AES-256-GCM';  // PAN暗号化
    panMasking: string;              // 表示時のマスク（前6桁・後4桁のみ表示可）
    cvvStorage: 'PROHIBITED';        // CVV保存禁止
    pinStorage: 'PROHIBITED';        // PIN保存禁止
    keyManagement: 'AWS KMS' | 'HSM';
    keyRotationDays: number;
  };
  tokenization: {
    enabled: boolean;
    provider: string;
    scope: string[];
  };
}

const cardProtection: CardDataProtection = {
  storage: {
    panEncryption: 'AES-256-GCM',
    panMasking: '****-****-****-1234',  // 後4桁のみ
    cvvStorage: 'PROHIBITED',
    pinStorage: 'PROHIBITED',
    keyManagement: 'AWS KMS',
    keyRotationDays: 90,
  },
  tokenization: {
    enabled: true,
    provider: 'Stripe',
    scope: ['payment-processing', 'recurring-billing'],
  },
};

// 要件10: ログ記録と監視
interface PciAuditLog {
  requiredEvents: string[];
  retentionPolicy: {
    onlineRetentionDays: number;
    archiveRetentionMonths: number;
    immutable: boolean;
  };
  syncRequirements: {
    ntpServer: string;
    maxDriftSeconds: number;
  };
}

const pciAuditConfig: PciAuditLog = {
  requiredEvents: [
    'user-authentication',         // ログイン成功/失敗
    'access-to-cardholder-data',   // カード情報へのアクセス
    'admin-actions',               // 管理者操作
    'audit-log-access',            // 監査ログ自体へのアクセス
    'system-level-events',         // システムイベント
    'security-events',             // セキュリティイベント
  ],
  retentionPolicy: {
    onlineRetentionDays: 90,       // 即時利用可能: 3ヶ月
    archiveRetentionMonths: 12,    // アーカイブ: 12ヶ月
    immutable: true,               // ログの改ざん防止
  },
  syncRequirements: {
    ntpServer: 'time.aws.com',
    maxDriftSeconds: 1,
  },
};

GDPR（General Data Protection Regulation）

7つの原則

データ主体の権利への技術対応

// gdpr-data-subject-rights.ts

interface DataSubjectRightsHandler {
  // アクセス権（第15条）: データ主体のデータを全て提供
  handleAccessRequest(userId: string): Promise<PersonalDataExport>;

  // 削除権（忘れられる権利 第17条）: データの完全削除
  handleErasureRequest(userId: string): Promise<ErasureResult>;

  // データポータビリティ権（第20条）: 機械可読形式でデータ提供
  handlePortabilityRequest(userId: string): Promise<PortableData>;

  // 処理の制限権（第18条）: データ処理の一時停止
  handleRestrictionRequest(userId: string): Promise<void>;
}

// 削除権（忘れられる権利）の実装
class GdprErasureHandler {
  async handleErasure(userId: string): Promise<ErasureResult> {
    const result: ErasureResult = {
      requestId: crypto.randomUUID(),
      userId,
      requestedAt: new Date().toISOString(),
      systems: [],
    };

    // Step 1: 全システムからユーザーデータを特定
    const dataSources = [
      { name: 'user-db', handler: this.eraseFromUserDb },
      { name: 'order-db', handler: this.anonymizeOrders },
      { name: 'analytics', handler: this.eraseFromAnalytics },
      { name: 'logs', handler: this.anonymizeLogs },
      { name: 'backups', handler: this.scheduleBackupPurge },
      { name: 'third-party', handler: this.notifyThirdParties },
    ];

    for (const source of dataSources) {
      try {
        await source.handler(userId);
        result.systems.push({ name: source.name, status: 'completed' });
      } catch (error) {
        result.systems.push({
          name: source.name,
          status: 'failed',
          error: (error as Error).message,
        });
      }
    }

    // Step 2: 監査ログ記録（削除自体の記録は保持義務あり）
    await this.auditLog.record({
      action: 'GDPR_ERASURE',
      userId,
      result,
      timestamp: new Date().toISOString(),
    });

    return result;
  }

  // 注文データは法的保持義務があるため匿名化
  private async anonymizeOrders(userId: string): Promise<void> {
    await prisma.order.updateMany({
      where: { userId },
      data: {
        customerName: 'ANONYMIZED',
        customerEmail: 'anonymized@deleted.local',
        shippingAddress: 'ANONYMIZED',
        phoneNumber: null,
      },
    });
  }
}

interface ErasureResult {
  requestId: string;
  userId: string;
  requestedAt: string;
  systems: { name: string; status: string; error?: string }[];
}

interface PersonalDataExport {
  format: 'JSON';
  data: Record<string, unknown>;
  generatedAt: string;
}

interface PortableData {
  format: 'JSON' | 'CSV';
  data: Record<string, unknown>;
}

監査準備のベストプラクティス

コントロールマッピング（フレームワーク横断）

ポイント: 共通するコントロールを1つの実装で複数のフレームワークに対応させる「統合コンプライアンスアプローチ」が効率的です。

まとめ

チェックリスト

• SOC2のTrust Services Criteriaを説明できる
• ISO 27001のリスクアセスメントプロセスを設計できる
• PCI DSSのカード情報保護要件を実装できる
• GDPRのデータ主体の権利に技術的に対応できる
• 複数フレームワークの共通コントロールを効率的に実装できる

次のステップへ

次は「インシデント対応計画」です。セキュリティインシデントが発生した場合の対応プロセスとコミュニケーション計画を学びましょう。

推定読了時間: 30分