増え続けるコンプライアンス要求をどう捌くか
個人情報保護法や日本版SOX法など、次々と降りかかるコンプライアンスに対して負担感を大きくしている企業も少なくないだろう。これらの要求は一過性のものではなく継続的な対応を求めるもの。しかも、今後さらに増えることはあっても減ることはないため、そのコストを軽視することは危険だろう。
「日本に先行してSOX法への対応を行った米国企業では、毎年の対策コストが増加し続けていることに懸念を抱き、ツールを使ったオートメーション化を進めている」。パートナー向けにコンプライアンス関連製品の説明会を実施したNANAROQ株式会社 代表取締役社長兼CEOの佐々木慈和氏は語る。
すでに米国では多くのパートナーが関連ツールの提供を開始している。同社が提供するIT ユニファイド・コンプライアンス・フレームワーク（以下、UCF）もそのひとつ。世界各国のコンプライアンス関連法令とそれらが要求している内容をマトリクス図にしたもので、利用者に横断的・俯瞰的な視野を与えるものだ。
「多くの企業は新たなコンプライアンス対策が必要になるたびに、該当法案が要求する項目と自社の対応状況を照らし合わせながらその都度個別に対応することが多い。例えば、すでにPCI DSSに対応している企業がISMSの取得を考えたとする。両者の要求には重複している部分もあり、すでに対応が済んでいる項目も多い。しかし、状況把握が難しいために、始めから全ての項目について検討することが多い」（同社執行役員兼CFO 金子淳氏）という。
UCFで提供するのは1枚のExcelシート。世界各国のコンプライアンス関連法令や各種認証を横軸に、それらが要求する対応内容を縦軸にとったマトリクスが収められている。一覧表を見ると、各法令がどのような要求をしているか、他の法令とどのような重複や差異があるかといった内容が一目で分かる。「新しい対応が必要になった場合にも差分で対応できるため、少ないコストで対応できる」（金子氏）仕組みだ。
また、マトリクスでは自社の対応状況の偏りも俯瞰できるため、相互補完的な認証を取得することでコンプライアンスの穴を埋めるといったことも可能になる。「例えば、PCI DSSではテクニカルセキュリティ部分に重心が置かれており、情報漏えい事故の原因となる人的リスクへの対応要求は少ない。UCFを利用することによって、個別の法令や認証だけを見ていては分からない全体像を把握することができるようになる」（金子氏）。
開発元の米国Network Frontiers社では、同国内の法律事務所と共同でUCFを開発することで法律面での信頼性を担保。世界各国の法改正を取り入れた最新版を3ヶ月ごとにリリースする。NANAROQ社では日本向けに翻訳した上で経済産業省などのガイドラインの追加などを行い、国内での販売を担当している。
「極めてシンプルなツールだが売れ行きは順調だ。SaaS形式でのサービス提供を検討している。また、エンジンとしての提供も行っており、すでにマイクロソフトやオラクルでもUCFを使用した製品が発売されている。パートナー各社と連携して新しい製品の開発も進めていきたい」と代表取締役社長兼CEOの佐々木慈和氏は意気込みを語る。
