GLBA｜サイバーセキュリティ.com

  1. ホーム /
  2. セキュリティ用語集 /
  3. GLBA
             

GLBA

GLBA（Gramm-Leach-Bliley Act）は、アメリカ合衆国で1999年に制定された法律で、正式名称を金融サービス近代化法（Financial Services Modernization Act of 1999）といいます。この法律は、金融機関が顧客情報を適切に保護し、その取り扱いについて透明性を確保することを義務付けるものです。

GLBAは、金融機関のプライバシー保護を強化すると同時に、銀行、証券、保険の各業界間での統合的なサービス提供を可能にするための法的枠組みを提供します。特に、顧客データのセキュリティとプライバシーを確保するためのルールが重要な部分を占めています。

GLBAの主な目的

  1. 金融サービスの統合
    • 銀行、保険、証券などの異なる金融業態が統合してサービスを提供できるようにする。
  2. 消費者プライバシーの保護
    • 金融機関が顧客の個人情報を保護し、その取り扱いについて消費者に通知する。
  3. セキュリティ基準の設定
    • 顧客情報を保護するための適切なセキュリティ対策を義務付ける。

GLBAの適用範囲

GLBAは、以下のような金融機関に適用されます。

1. 対象となる金融機関

  • 銀行
  • 保険会社
  • 証券会社
  • 融資会社
  • 投資顧問
  • クレジットユニオン

2. 対象となる顧客情報

  • 顧客の名前、住所、連絡先
  • 銀行口座番号、クレジットカード情報
  • 社会保障番号（SSN）
  • 資産情報や取引履歴

GLBAの主な要件

GLBAは、大きく分けて以下の3つの主要なコンポーネントから構成されています。

1. プライバシールール（Privacy Rule）

  • 金融機関は、顧客の非公開個人情報（NPI: Nonpublic Personal Information）をどのように収集し、共有し、保護するかについて顧客に通知する必要があります。
  • 顧客に対して、自身の情報を第三者と共有することを拒否するオプトアウト権を提供しなければなりません。

2. セーフガードルール（Safeguards Rule）

  • 顧客情報を保護するための包括的なセキュリティプログラムを実施することを義務付けています。
  • セキュリティプログラムの要素:
    • リスク評価
    • 保護策の設計と実装
    • プログラムの継続的な見直しと更新

3. プレテキスティング防止（Pretexting Protection）

  • 不正な手段（例: 社会工学や偽装）による顧客情報の取得を防止するための対策を講じる必要があります。

GLBAに基づく金融機関の義務

  1. プライバシー通知の配布
    • 顧客に対して、情報の取り扱いに関する通知を提供。
    • 通知は年に1回以上配布される必要がある。
  2. セキュリティプログラムの策定
    • 顧客情報を保護するための物理的、技術的、管理的な対策を整備。
  3. 従業員教育
    • 情報保護に関する従業員教育を実施し、内部不正やセキュリティリスクを軽減。
  4. 第三者サービスプロバイダーの管理
    • 外部ベンダーが顧客情報を適切に取り扱うよう監督。

GLBA違反のリスクと罰則

違反のリスク

  • 顧客情報の漏洩や不適切な共有が発生した場合、金融機関は法的および財務的な制裁を受ける可能性があります。
  • 企業の評判の低下や顧客の信頼喪失。

罰則

  • 民事罰: 違反1件あたり最大100,000ドルの罰金。
  • 刑事罰: 経営者や従業員が違反した場合、個人に対して最大10年の懲役や罰金が科される可能性。

GLBA遵守のためのベストプラクティス

1. 情報保護ポリシーの策定

  • 顧客情報の収集、保存、共有に関する明確なポリシーを作成。

2. 定期的なリスク評価

  • 情報保護体制のリスクを評価し、必要に応じて対策を強化。

3. 従業員トレーニング

  • 従業員に対してGLBA要件やセキュリティプロトコルの重要性を教育。

4. 技術的対策の導入

  • 暗号化: 顧客情報の転送中および保存中の暗号化。
  • アクセス制御: 顧客情報へのアクセスを必要最小限に制限。
  • ログ監視: システムの使用状況を監視して不正な活動を検出。

5. ベンダー管理

  • 外部プロバイダーが顧客情報を適切に保護していることを確認。

GLBAに関連する法規制

  1. HIPAA（Health Insurance Portability and Accountability Act）
    • 医療情報の保護を規定する法律。
  2. PCI DSS（Payment Card Industry Data Security Standard）
    • クレジットカード情報の保護を規定する業界標準。
  3. GDPR（General Data Protection Regulation）
    • ヨーロッパ連合（EU）で適用されるデータ保護規則。
  4. CCPA（California Consumer Privacy Act）
    • カリフォルニア州で施行されている消費者プライバシー保護法。

まとめ

GLBA（Gramm-Leach-Bliley Act）は、金融機関が顧客情報を適切に管理し、プライバシーとセキュリティを保護することを義務付ける重要な法律です。この法律は、金融サービスの透明性を確保すると同時に、情報漏洩や不正アクセスのリスクを低減するための包括的なフレームワークを提供します。

企業や金融機関がGLBAに準拠することで、顧客の信頼を守るだけでなく、規制違反による罰則や評判の損失を防ぐことができます。定期的なリスク評価、従業員教育、技術的対策の導入を通じて、GLBA遵守を徹底することが求められます。

関連コラム（あわせて、以下の記事もよく読まれています）

製品・サービス（当該コラムの内容に関連する製品・サービスはこちら）


SNSでもご購読できます。