セキュリティ脅威の状況は絶えず変化しており、より包括的なセキュリティポリシーの導入が求められています。こうした現実を踏まえ、連邦取引委員会（FTC）は、もともと金融機関向けに策定されたセーフガード規則を自動車ディーラーにも適用範囲を拡大しました。この規則は、顧客情報のセキュリティを保護するためのセーフガードを維持し、企業のサイバーセキュリティインシデントに対するレジリエンスを強化することを目的としています。
FTCの新しいセーフガード規則
改訂されたセーフガード規則は、お客様が保有するすべての顧客情報に適用されます。これは、お客様が顧客関係を有する個人に関する情報であれ、お客様に情報を提供した他の金融機関の顧客に関する情報であれ、適用されます。この変更により、この規則の遵守が義務付けられる事業の種類が拡大され、5,000件を超える顧客記録を保有する自動車販売店も含まれます。重要なのは、取引記録だけでなく、すべての記録が対象となることです。
新しい要件は何ですか?
FTC は、5,000 件を超える顧客記録を持つすべてのディーラーが以下の要件を満たす期限を 2023 年 6 月 9 日に設定しました。
- 情報セキュリティ プログラムを監視、実装、および施行する資格のある担当者を指名します。
- 情報セキュリティと既存の安全対策に関するリスク評価を実施します。
- アクセス制御、システムインベントリ、暗号化、安全な開発プラクティス、多要素認証 (MFA)、廃棄手順、変更管理手順、承認されたユーザーアクティビティの監視とログ記録など、リスクを制御するための必須の安全対策を実装します。
- 安全対策、主要な制御、システム、および手順の有効性を定期的にテストまたは監査します。
- 情報セキュリティ プログラムを実施するためのポリシーと手順を担当者に実装します。
- サービス プロバイダーを監視して、セキュリティ ポリシーに準拠していることを確認します。
- 潜在的なサイバーセキュリティ インシデントに備えて、インシデント対応計画を作成します。
- 取締役会または同等の組織に提出する年次報告書を作成し、サイバーセキュリティへの取り組みと、その年に発生した可能性のあるインシデントの詳細を記載します。
リスクを理解する
サイバー攻撃から逃れられる業界は存在しません。中小企業から大企業まで、あらゆる企業がフィッシング、ランサムウェア、その他個人情報を危険にさらすサイバー攻撃の標的となります。こうした侵害の影響は、個人情報の盗難や文書の改ざんからデータの不正流用まで多岐にわたります。
自動車販売店でセキュリティインシデントが発生した場合、FTC（連邦取引委員会）によるコンプライアンス監査の対象となる可能性があります。違反した場合は罰金が科せられる可能性があります。さらに、サイバーセキュリティ保険会社も監査を実施する可能性があります。新しいセーフガードルールへの準拠が不十分であると判断された場合、保険金が支払われない可能性があります。
コンプライアンスへのステップ
2023年6月9日の期限は遠いように思えるかもしれませんが、今こそこれらの重要なセキュリティ規制の導入を開始する時です。検討すべきステップをいくつかご紹介します。
- セキュリティとセーフガードルールのその他の重要な規定のテストを含むネットワーク評価から始めます。
- 一度きりの作業ではなく、計画を策定してください。セーフガードルールでは、定期的なテスト、更新、そして取締役会または同等の組織への報告が義務付けられています。
- 情報セキュリティ計画の作成と管理を行える適切な人材を社内に確保してください。そのような人材がいない場合は、必要なサービスを提供できる資格を持つパートナーを探してください。
- サードパーティベンダーを含む、使用しているすべてのシステムに計画を適用してください。これらの重要なセキュリティ規制を早期に導入すればするほど、ディーラーはサイバーセキュリティ攻撃やコンプライアンス違反の問題に遭遇するリスクを軽減できます。
結論
FTCの新しいセーフガード規則は、顧客情報のセキュリティを保護し、サイバーセキュリティインシデントに対するレジリエンス（回復力）を高めることを目的としています。この規則が自動車販売店にも適用されることは、あらゆる業界におけるサイバーセキュリティの重要性の高まりを示しています。
2023年6月9日の期限が迫る中、FTCセーフガード規則の要件を理解し、コンプライアンスを確保するために必要な措置を講じることが不可欠です。そうすることで、潜在的なサイバーセキュリティインシデントやコンプライアンス問題からビジネスを守るだけでなく、顧客の信頼と安心を確保できます。これは、ビジネスのセキュリティ体制を強化しながら、顧客体験を向上させるという、双方にとってメリットのある状況です。
サイバーセキュリティは一度きりのプロジェクトではなく、継続的な取り組みであることを忘れないでください。環境は動的であり、脅威は常に進化しています。そのため、情報セキュリティ計画を定期的に見直し、更新し、最新のサイバーセキュリティのトレンドとベストプラクティスを常に把握することが不可欠です。
安全とコンプライアンスを遵守しましょう。お客様はあなたを頼りにしています。