避けるべき6つのITコンプライアンスの間違い

公開: 2021-12-06

ITシステムとエンタープライズデータに関連する規制が大幅に増加しています。 IT専門家は、これらの規制のあらゆる側面に注意を払うことが義務付けられています。そうしないと、コンプライアンス違反により多大な経済的影響が生じる可能性があります。

コンプライアンスはあらゆる組織、特に金融サービス、ヘルスケア、政府などの高度に規制されている業界の一部であるという事実を受け入れましょう。コンプライアンスという言葉に言及した瞬間、それは法務、コンプライアンス、およびリスクの各チームの共感を呼んでいます。ただし、組織のコンプライアンスを確実に順守するためには、IT部門がかなり関与しています。

CIOおよびその他の上級技術幹部は、データ、プライバシー、セキュリティ、および技術ランドスケープ内の他の規制コンポーネントに関するさまざまな規制とガイドラインを十分に認識していることが重要です。これらの上級管理職は、コンプライアンス違反がないことを保証する上で極めて重要な役割を果たすことができ、それによって重いペナルティを回避できます。

たとえば、ヘルスケアやその他の関連セクターなどのセクターのITプロフェッショナルは、電子ヘルスケアデータのセキュリティとプライバシーを確保するHIPAAコンプライアンスを確実に順守する必要がありました。ただし、欧州の一般データ保護規則（GDPR）やカリフォルニア州消費者プライバシー法（CCPA）などの多くの新しい規制ガイドラインの進化により、規制の枠組みはますます複雑になっています。

米国に加えて、他の多くの国では、個人のデータを確実に保護するために、常に同様のプロトコルに従っています。 ITシステム、ネットワーク、およびハードウェアデバイスのコンプライアンスと規制のフレームワークは、あらゆる組織の一部です。これは間違いなく、世界中のCIOにとって大きな懸念事項となっています。実際、大手機関であるGartnerの調査によると、個人情報の75％以上が2023年末までにグローバルプライバシー法の対象になると推定されています。

したがって、CIOは、特定の手順に従っていることを確認し、コンプライアンス違反につながるミスを回避する必要があります。 避けるべきITコンプライアンスの間違いのいくつかを次に示します。

1.監査人を敵対者と見なす

監査人と評価者が組織内のITイニシアチブとコンプライアンスへの影響について疑問を呈し始めると、CIOやその他の上級技術幹部が防御的になるのはごく自然なことです。これらの監査人はあなたの思考プロセスについてコメントし始めます。これにより、2つの間に摩擦が生じ、どこにもつながりません。

したがって、建設的かつ対面で話し合い、これらの監査人の視点を理解し、環境を改善するために団結して取り組むことが常に推奨されます。肝心なのは、これらのコンプライアンスガイドラインを作成した人を含め、全員が同じ目標に向かって取り組んでいるということです。目的は、透明性と説明責任を確立することです。 CIOがこれらの内部監査を受け入れ始め、監査人と協力して作業する場合、これらのコンプライアンスプロトコルに簡単に対処できる可能性が高くなります。

2.例外の処理またはむしろ誤った処理

すべてのルールまたはガイドラインにいくつかの例外があるのと同様に、ITフレームワークのコンプライアンスに関する一連の例外もあります。誰もが100％ドットに追随することはほとんどありません。ビジネスシナリオの変化や顧客への影響により、状況は変化します。したがって、ITコンプライアンスに関する例外を管理するためのプロセスを実装することは常に有益です。

それは、従われていることや、既存のコンプライアンスと競合する可能性がある理由などの単純なことを文書化することから始まります。組織は、コンプライアンスの目標を順守するために追加の措置を講じていますか？組織には、本質的に永続的なバイパスルールがありますか、それとも実行される前に監視と承認を受けますか？これらは、組織が定期的に質問し、文書化し、監視しなければならない関連する質問の一部であり、それを嫌うことはなく、むしろそのような例外を当然のことと見なすことはありません。

バイパスされるルールがある場合は常に、そのようなルールがバイパスされると潜在的なリスクが伴うため、適切な説明が必要です。

3.チームの準備の失敗

ITの他の分野と同様に、コンプライアンスの場合でも、適切なスキル、経験、および関連する知識が不足していると、深刻な問題が発生する可能性があります。 ITコンプライアンスに関する強力な戦略を立てるには、強力なチームを編成することが重要です。 CIOは、チームがIT規制コンプライアンスを順守する過程で継続的に学習し、改善していることを確認する必要があります。このようなアプローチを採用することで、ITチームは効率を大幅に向上させることができます。

ITコンプライアンスがITチームの責任だけではないことは避けられません。これは部門の枠を超えた慣行であり、部門全体で組織内のすべての個人に対して同等の責任と説明責任を果たします。

4.セキュリティを制御するコンプライアンス

さまざまなITコンプライアンスの誤り、特に規制プロトコルを順守することは重要ですが、その目的は、組織のビジネス目標と、企業または部門が運営しています。 ITリーダーがこれを考慮に入れ、このアプローチと同期している場合、コンプライアンスは、唯一の目標ではなく、明確に達成された結果になります。

通常、基本的なセキュリティ対策は効果的に管理されておらず、むしろ不十分であり、コンプライアンスの障害になっていることがわかります。この行の例としては、パッチ適用、脆弱性の管理、リモートアクセスでの2要素認証の使用、モバイルデバイスとBYODポリシーの管理などがあります。

5.いくつかの重要なツールを無視する

今日、市場にはITコンプライアンスの間違いに対処するためのツールが多数あります。法務チームとコンプライアンスチームが協力してこれらのツールを完成させ、調達することは明らかです。ITリーダーは、組織内でこれらのソリューションを候補リストに載せ、完成させ、展開するのを支援する上でも重要な役割を果たすことができます。

2021年9月、Gartnerは、コンプライアンスチームがテクノロジーへの投資に集中すべき3つの領域を特定することにより、グローバルなビジネスの友愛を支援しました。

最初の投資は、あらゆる組織の基盤システムとして機能する記録管理のコアシステムに行う必要があります。 2番目の投資は、デジタルワークフローを強化するツールに投資する必要があり、最後に、3番目の投資は、リスクの監視と管理に役立つソリューションです。

組織は、プロセスがいかに単純であっても、今日のシナリオではテクノロジーへの投資が避けられないという事実を無視することはできません。調達と展開の方法ではなく、企業全体のイニシアチブであり、すべての利害関係者をこのプロセスにまとめる必要があります。

6.構造化されていないガバナンス

最後に、企業がプロセスを定義し、これらのプロセスを制御するためのすべての対策を講じている場合でも、通常見逃しているのは、ガバナンス構造とリスクフレームワークです。 CIOおよびその他の上級ITリーダーは、エンタープライズシステム、情報セキュリティ、およびネットワーク/インフラストラクチャチームを組み合わせて、すべてのITコンプライアンスに集合的に準拠するガバナンスマトリックスを考案する必要があります。それが成功を促進する要因になります。その欠如は悲惨なことを証明することができます。

最終的な考え

要約すると、コンプライアンスは、データを保護するだけでなく、組織を機能させるための系統的かつ倫理的な方法を支援するために作成された一連のガイドラインです。はい、これらのITコンプライアンスの間違いを追跡することには課題がありますが、回避することはできますか？答えはいいえだ。実際、企業はこれらの規制順守について常に学び、改善し、生活を簡素化する必要があります。