ルールとロードマップの世界へようこそ！
未来のCPA候補生の皆さん、こんにちは！情報システムとコントロール（ISC）セクションの中で最も重要な章の一つへようこそ。この章では、規制（Regulations）、基準（Standards）、そしてフレームワーク（Frameworks）について深く探究していきます。
IT業界特有の「アルファベットのスープ」（NIST、HIPAA、GDPRなど、略語が多すぎて混乱すること）に圧倒されたことはありませんか？大丈夫です！この章は、ITの世界における「交通ルール」を学ぶものだと考えてください。交通法規がドライバーの安全を守るように、これらの規制やフレームワークはデータを守るために存在します。このノートを読み終える頃には、組織がどのようにして法を遵守し、セキュリティを確保しているのかが手に取るようにわかるはずです。
1. なぜこれらのルールが必要なのか？
具体的な名称に入る前に、まずは「なぜ」必要なのかを理解しましょう。組織がデータを守るのは、単に「いい人」だからではありません。理由は主に3つです。
1. 法律（規制）： 政府によって義務付けられているから（違反すれば巨額の罰金が科せられます）。
2. 信頼（基準）： 顧客は、信頼できると判断した企業にしかデータを提供しないからです。
3. 効率性（フレームワーク）： セキュリティ対策をゼロから考えるより、すでに用意された「設計図」に従うほうが効率的だからです。
クイックレビュー： 規制は強制（やらなければならないこと）であり、フレームワークは規制を達成するための自主的なガイド（やるべきこと）です。
2. 主要な規制：「必ず守らなければならない法律」
米国CPA試験では、どの法律がどの業界に適用されるかを理解しておく必要があります。重要なものを整理してみましょう。
A. HIPAA（医療保険の相互運用性と責任に関する法律）
焦点： ヘルスケアデータ
医療記録や保険証番号などの保護対象保健情報（PHI）を扱う企業は、必ずHIPAAに従う必要があります。
例え： HIPAAは、デジタル時代における「医師と患者の守秘義務」ルールだと考えると分かりやすいでしょう。
B. GLBA（グラム・リーチ・ブライリー法）
焦点： 金融機関
GLBAは、銀行や保険会社に対し、顧客データの共有方法や保護措置を説明することを義務付けています。これにより非公開個人情報（NPI）が守られます。
覚え方： GLBAの「B」はBank（銀行）の「B」と覚えましょう。
C. プライバシー関連法（GDPRとCCPA）
CPA試験は米国の基準に重点を置いていますが、プライバシーの世界では以下の2つが非常に重要です。
- GDPR（EU一般データ保護規則）： EU市民と取引するすべての企業に影響する非常に厳しい欧州の法律です。「忘れられる権利」に重点を置いています。
- CCPA（カリフォルニア州消費者プライバシー法）： カリフォルニア版の「GDPR」とも呼ばれます。消費者に、自分のデータがどのように収集されているかを知る権利を与えています。
重要ポイント： 問題文に「患者（Patients）」とあればHIPAA、「銀行（Banks）」とあればGLBA、「消費者の権利」とあればプライバシー関連法を連想しましょう。
3. セキュリティフレームワーク：「守りの設計図」
フレームワークとは、いわばチェックリストです。会社がセキュリティ対策を整理し、漏れがないようにするためのものです。堅苦しく感じるかもしれませんが、要は「良いアイデア」をリスト化したものに過ぎません。
A. NIST サイバーセキュリティフレームワーク (CSF)
これは米国の「ゴールドスタンダード（黄金基準）」です。5つの主要機能に分かれています。
覚え方：I Prefer Dogs Rather than Rats（私はネズミより犬が好き）：
1. Identify（特定）： どのような資産（PC、データ）があるか把握する。
2. Protect（防御）： 「フェンス」（ファイアウォールやパスワード）を設置する。
3. Detect（検知）： ハッカーの侵入を知るための「警報」を設定する。
4. Respond（対応）： トラブルが起きた時の計画を立てておく。
5. Recover（復旧）： 攻撃の後、平常業務に戻る。
B. COBIT (Control Objectives for Information and Related Technologies)
焦点： ガバナンスと管理
ISACAが作成したもので、「パスワードの設定方法」といった技術面よりも、「取締役会がどのようにITを監督すべきか」に焦点を当てています。ビジネス目標とIT目標の橋渡しをする存在です。
C. ISO/IEC 27001
焦点： 国際基準
世界に対して「私たちは安全です」と証明したい企業が取得するISO 27001認証。国際的な先生から「A+」という評価をもらうようなものです。
クイックレビュー： NISTは実用的な米国の青写真。COBITは経営層向け。ISOは国際的な認定用です。
4. SOCレポート：信頼を構築するもの
CPAとして、SOC（システムおよび組織のコントロール）レポートという言葉をよく耳にします。エリアII（セキュリティ、機密性、プライバシー）では、SOC 2が主役です。
SOC 2レポートはTrust Services Criteria (TSC)に基づいています。これらは「信頼の5つの柱」として捉えましょう：
1. Security（セキュリティ）： システムは不正アクセスから守られているか？（SOC 2で必須の項目です）
2. Availability（可用性）： システムは必要な時に稼働しているか？
3. Processing Integrity（処理の整合性）： システムは正確かつタイムリーに動作しているか？
4. Confidentiality（機密性）： 機密データは秘密に保たれているか？
5. Privacy（プライバシー）： 個人情報（社会保障番号など）は正しく扱われているか？
豆知識： Type Iレポートは、特定の時点におけるコントロールのデザイン（設計）を評価します。Type IIレポートは、一定期間（通常6ヶ月）にわたってコントロールがどれだけうまく機能したかを評価します。Type IIの方がはるかに価値があります！
5. よくある間違いを避けよう
機密性（Confidentiality）とプライバシー（Privacy）の混同： 最もよくある落とし穴です！
- 機密性はビジネス上の秘密に関するものです（コーラのレシピや合併計画など）。
- プライバシーは個人の秘密に関するものです（自宅の住所や社会保障番号など）。
フレームワークを法律と思い込むこと： NISTに従わなくても刑務所行きにはなりませんが、HIPAAに従わなければ、その可能性があるということです！
6. 学習用クイックサマリーテーブル
規制/フレームワーク | 主な対象 | 核心概念
HIPAA | ヘルスケア | PHI（患者データ）
GLBA | 金融サービス | NPI（金融データ）
NIST CSF | 米国の全組織 | 特定、防御、検知、対応、復旧
COBIT | 経営層/取締役会 | ITガバナンス
SOC 2 | サービス組織 | 信頼の基準（セキュリティ、プライバシー等）
試験へのアドバイス：
CPA試験では、特定のシナリオに対してどのルールが適用されるかを識別できるかどうかが問われます。問題を読むときは「医療」「銀行」「ガバナンス」「国際」といったキーワードを探してください。それらのキーワードが正解への地図となります！
最初は覚えるべき名前が多くて大変に感じるかもしれませんが、大丈夫です。そのルールの背後にある意図（結局は、悪意ある人が機密データに近づかないようにすることです）を考えながら学習を進めていきましょう！