ソフトウェア・プロジェクトにおけるデータ・プライバシーとデータ保護を強化するには？
前書き
データ・プライバシーの重要性を過小評価することは決してできない。なぜなら、ユーザーから入手した機密データの適切な取り扱いに多くの問題があるからだ。 オンライン世界は、有用なもの、極めて重要なもの、一刻を争うもの、それほど重要でないものなど、さまざまなデータの巨大な貯蔵庫である。 電子メールを開き、電子メールとパスワードを入力するとき、あなたはサービスプロバイダーに個人情報を預けることになります。 あなたが使っている何百ものモバイルアプリケーションも同じだ。 個人情報を入力し、それが安全に保たれると思っていたのに、ハッキングされて悪用されてしまった！ それなら、失うものも大きい！ そのような個人情報を共有する場合、それらを保護する法律もあるはずですよね？
データプライバシーに関する法律と原則を理解する
ハイランズ＆アイランズ大学の原則によると、個人データの合法的処理には7つの原則があります。 7つの原則は、収集、整理、保管、変更、構造化、使用、削除、破棄を含むデータ処理を対象としている。 その7つの柱は、ウェブサイトに掲載されている：
適法性、公正性、透明性– 関係する個人のデータ処理は、公正で透明性があり、適法でなければならない。
目的の制限– 処理されるデータは、データを収集される対象者に詳細に特定されなければならず、データはその1つの目的にのみ使用されなければならない。
データの最小化– 目的に必要なデータのみを使用するため、必要なデータのみを使用する。
正確性– 個人情報は正確かつ正確に保たれなければならない。
保存の制限– データは、データ所有者に言及された期間のみ保存されなければならず、それ以上は保存してはならない。
完全性と機密性（セキュリティ）– データ処理は、すべての機密性、完全性、およびセキュリティを維持しながら、適切に行われなければならない。
説明責任– データ管理者が誰であれ、GDPRの原則を遵守しなければならない。
データマイニングの専門家やデータを扱う人々は、規制とコンプライアンスに準拠した処理の原則に従わなければならない。 この規則はデータ管理者にも適用され、データ管理者は原則と規則を遵守する責任を負う。 データを処理する際には、コンプライアンスを実証しなければならない。
ヨーロッパはデータのプライバシーとセキュリティに関してはかなり厳しい。 データ・セキュリティがしばしばドックに投げ込まれ、侵害や違反が日常茶飯事になっているのだから、それも無理はない。
GDPR（一般データ保護規則）は、欧州連合（EU）が起草・可決した世界で最も厳しいセキュリティとプライバシーの法律であり、プライバシーとセキュリティの基準に違反した者は、重い罰金と罰則を受けることになる。 GDPRの遵守は、中小企業にとってかなり威圧的になってきており、GDPRを遵守している間に課題に直面するかもしれない。
顧客データを管理し、EU市民の個人データや機密データを処理するすべての企業経営者は、GDPRの原則を遵守しなければならない。 そうでない者には、非常に高い罰金が科される。
では、プライバシーとデータのルールを守り、ビジネスを展開するにはどうすればいいのだろうか？
顧客データの管理と取り扱いは、頭の上に短剣を突きつけられているようなものだ。 油断した瞬間に頭を打ち、血を抜かれる。 データ盗難やデータの不正使用に関しては、不当な扱いを受けた顧客の場合も同様だ。 その顧客を永遠に失うことになる。
規制遵守を理解する
上記で説明したように、厳密に従う必要があるデータ規則や規制がいくつかある。 これらの規則やガイドラインの中には、OECD（経済協力開発機構）、APEC（APECプライバシーフレームワーク）、CCPA（カリフォルニア州消費者プライバシー法）などが定めているものもある。 これは、組織が個人データを使用する際に従わなければならない規則を定めたものである。 データに関する規則や規制は確かに国によって大きく異なることがあるが、規則の要点は顧客の完全性を維持し、データをいかに保護するかということである。
プロジェクト計画ソフトウェアの導入
ソフトウェア開発者がプロジェクト管理ソフトウェアを使う場合、二要素認証、暗号化、安全なデータ保存などのセキュリティ機能が組み込まれたものを使うのが賢明だろう。 どのプロジェクト管理ソフトウェアがあなたの要件に最も適しているかを判断するために、インシデントの実績と会社のセキュリティ慣行があるものを入手することを忘れないでください。
機密情報へのアクセス制限
機密情報の保護を確実にするもう一つの方法は、機密情報にアクセスできるのは権限を与えられた担当者のみとすることである。 これは、ロールベースのアクセス制御を実装することによって行われる。 これによって、情報を利用する必要のある人だけが情報を手にすることができる。 このようにアクセスを制限することで、偶発的・意図的なデータ漏洩を防ぐことができる。
プライバシー・バイ・デザインの原則の採用
ソフトウェア開発チームは、アプリケーション自体を開発しながら、プライバシー・バイ・デザインの原則を取り入れることができる。 これによって、プライバシーへの配慮を設計段階そのものに組み込むことが可能になる。 これを通じて、プライバシーに対する積極的な姿勢を打ち出し、データ保護がシステム・アーキテクチャの最上位にあることを確認することもできる。 これは、開発者が弾力性があり安全なソフトウェア・プロジェクトを作成するのに役立つ。 この原則の助けを借りて、プロジェクトにアクセシビリティとアカウンタビリティの文化を浸透させることも可能である。
透明性とユーザー・コントロールが優先される
すべてのソフトウェア・アプリケーションは、ユーザーにとって信頼できるものでなければならない。 自分のデータがどのように保存され、収集され、共有されるかをユーザーに知らせれば、ユーザーは自分の情報を喜んで提供するだろう。 キャッシュに何を残すかを選択できるようにし、どのようなデジタル足跡を残すかをよりよく管理できるようにする。
サードパーティ製エコシステム使用時の注意
多くの開発者は、サードパーティの統合やAPIを利用している。 このような第三者のエコシステムのプライバシーを検証し、評価することは非常に重要である。 これらのサードパーティ統合のセキュリティ対策とデータ取り扱いポリシーは、貴社のポリシーと一致している必要があります。
定期的なセキュリティ監査とペネトレーションテストの実施
定期的なセキュリティ監査と侵入テストは、いずれもセキュリティの脆弱性を特定し、対処するために重要である。 また、第三者のセキュリティ専門家に依頼して、ソフトウエアプロジェクトのセキュリ ティ態勢を理解し、評価することもできる。 セキュリティ専門家は、セキュリティの抜け穴に対処し、潜在的な弱点に対処できるよう、実際のシナリオで倫理的ハッキング演習を実施する。
結論
上記の慣行に従うことは必須であるが、ソフトウェア開発プロジェクトマネジャーは、開発チーム全体にセキュリティ意識の文化を浸透させることも重要である。 安全なコーディング技術、データの取り扱い、サイバー脅威の最新動向に関するベストプラクティスやルールについて、定期的に最新情報を提供する。 そうすることで、より良い結果を出し、ユーザーの心に響く安全で安心なアプリケーションを作ることができる。 これも成功への近道だ。
興味深いリンク：
ソフトウェア開発におけるデータプライバシー：知っておくべきこと
写真：Canva
著者：Sascha Thattilは、YUHIROグループの一員であるSoftware-Developer-India.comで働いています。 YUHIROは、IT企業、代理店、IT部門にプログラマーを提供するドイツとインドの企業です。
