注: 以下の翻訳の正確性は検証されていません。AIPを利用して英語版の原文から機械的に翻訳されたものです。
プライバシーと市民的自由の原則は、組織がシステムのライフサイクル全体を通じて、意思決定、プロセス、技術的な制御に反映することで意味を持ちます。まず、ワークフローの目的と、その目的を達成するために必要なデータを定義します。誰にアクセス権を付与すべきか、どの意思決定に人によるレビューが必要か、いつデータを保持または削除するかを明確にします。
このページで紹介する機能は、組織独自のポリシーを実践し、責任を果たすために役立ちます。ただし、利用が合法で、必要性があり、目的に照らして適切な範囲に収まっているかどうかを判断するものではなく、法律、規制、ポリシーへの準拠を保証するものでもありません。組織のデータ所有者、およびプライバシー、法務、コンプライアンス、セキュリティ、ガバナンスの各チームと協力して、適切な制御を選択し、維持してください。
比例性とは、ワークフローにおけるデータの利用とその影響が、正当な目的に照らして適切かどうかを問う原則です。最小化とは、収集、アクセス、利用、保持を、その目的に必要な範囲に絞ることです。データを取り込む前にこれらの原則を検討し、ワークフローや目的が変わったときには再検討します。
Sensitive Data Scanner を使用して、組織固有の機密性の定義に一致するデータを特定します。マーキングとプロジェクトロールを使用して、中央で管理される適格性の基準とプロジェクト内の責任に応じてアクセスを制限します。ワークフローで直接識別子が必要ない場合は、Cipher を使用して、ハッシュ化や暗号化など、プライバシー保護を強化する暗号学的変換を適用します。
これらの制御が最小化に役立つのは、必要なデータとアクセスについて慎重に検討した判断が、その設定に反映されている場合に限られます。検出、制限、難読化は、その判断の代わりにはなりません。
製造チームが、設備の保守が必要になる時期を予測する Pipeline Builder ワークフローを構築します。ソースレコードには、機械のテレメトリー、作業指示のメモ、技術者の連絡先情報が含まれています。チームは Sensitive Data Scanner を使用して機密性の高いフィールドを特定し、予測ワークフローに役立たない連絡先情報を削除します。また、一致時のアクションを設定して、生のデータセットにマーキングを適用します。繰り返し発生するサービスのパターンをワークフローで識別する必要がある場合は、Cipher を使用して技術者の識別子を一貫した値にハッシュ化します。
比例性と最小化を早い段階で適用することで、機密データがモデル、アプリケーション、下流のデータセットに伝播する前に、どのフィールドが必要かを判断できます。この分析と、それを支える制御がなければ、予測ワークフローの改善に寄与しないにもかかわらず、技術者の連絡先情報が下流のアセットにコピーされる可能性があります。その結果、必要のない収集とアクセスを減らしながら、保守に役立つ情報を保持するワークフローになります。
目的の限定とは、データの収集、アクセス、利用を、具体的かつ正当な目的に結び付けることです。アクセス権を付与する前に許可される目的を定義し、その目的が終了または変更されたときには権限を再評価します。
Checkpoint では、機密性の高いインタラクションの前にユーザーに理由の入力を求め、その記録をレビュー用に保持できます。Approvals では、変更やアクセスの申請を指定されたレビュアーに回付できます。そのうえで、マーキングとプロジェクト権限を使用して、組織が定めるアクセスの境界を適用できます。これらの機能を組み合わせることで、承認された申請がどの目的にも適切であるとみなすことなく、ポリシー、理由、レビュー、アクセスを結び付けることができます。
業務チームが、サプライヤーの納入記録を計画システムに送信する Data Connection のエクスポートを作成します。チームはエクスポートを納入予測に必要なフィールドに限定し、プロジェクト権限を使用してエクスポートを設定できるユーザーを制限します。エクスポート用プロジェクトへのアクセス権のリクエストは、Approvals を通じて回付します。ユーザーが Workshop の計画アプリケーションから詳細なサプライヤーオブジェクトをエクスポートする場合、Checkpoint を使用して、エクスポートを必要とする出荷や計画タスクを記録するよう求めることができます。
目的を限定することで、データを共有する前に許可される目的を定義し、新しい受信者、フィールド、利用方法について追加のレビューが必要となるタイミングを特定できます。このような境界がなければ、後の変更によって、再度精査することなく、無関係なフィールドや受信者が既存のエクスポートに追加される可能性があります。承認は、ある時点での判断を記録するものであり、将来の無関係な利用を許可するものではありません。
アクセスガバナンスには、特定の種類のデータを扱う適格性と、特定のワークフローにおける個人のロールの両方を反映する必要があります。最小権限のアクセスを適用し、可能な場合はグループを使用して、責任の変更に応じてアクセス権を見直します。
マーキングは、保護されたリソースと派生データに引き継がれる強制アクセス制御を提供し、プロジェクトロールと権限は、プロジェクト内のアクセスを管理します。Approvals を使用すると、アクセス権のリクエストのワークフローに人によるレビューを組み込めます。Compass は、リソースをプロジェクトに整理し、リソースの所在を把握し、ガバナンスが適用されたワークフローを通じてアクセス権をリクエストするために役立ちます。
単一の権限モデルだけで組織のポリシーが定まるわけではありません。データ所有者と管理者は、強制アクセス制御、ロール、グループ、プロジェクトの境界、レビュープロセスをどのように組み合わせるのが適切かを判断する必要があります。
施設管理チームが、建物の収容能力に関するデータと仕入先との契約を組み合わせた Workshop アプリケーションを構築します。大半のユーザーには拠点単位の集計値が必要ですが、少人数の契約チームには詳細な取引条件が必要です。チームは契約リソースにマーキングを適用し、プロジェクトロールを使用してアプリケーションの作成者と閲覧者を分離し、所有者を Compass に記録します。例外的なアクセス権がリクエストされた場合は、Approvals によってレビューの機会を設けます。
適格性とワークフロー固有の必要性を分けて考えることで、契約データへのアクセス権を誰に付与すべきかを判断できます。基盤となるリソースに個別の制御がなければ、施設管理アプリケーションへのアクセスによって、すべての閲覧者に詳細な契約条件が公開される可能性があります。これらの制御により、アプリケーションへの広範なアクセスが、その基盤となるすべてのリソースへの広範なアクセスにつながることを防ぎます。
プライバシーを強化する変換は、直接識別子を置き換えたり、元の値を利用できるタイミングを制限したりすることで、データが露出するリスクを低減できます。ワークフローの目的、再識別のリスク、および権限を持つユーザーによる復元が必要かどうかに基づいて、手法を選択します。
Cipher は、業務ワークフローにおけるハッシュ化、暗号化、および制御された復号をサポートします。これらの変換をアクセス制御やガバナンスプロセスと組み合わせ、データを変換または開示する権限が、定義された責任と目的に対応するようにします。値を変換しても、データが自動的に匿名化されたり、プライバシーリスクがなくなったりするわけではありません。
サポートチームが Pipeline Builder パイプラインを作成し、サービス記録全体で繰り返し発生する問題を分析します。分析担当者は同じアカウントに関連する記録をグループ化する必要がありますが、直接的なアカウント識別子は必要ありません。パイプラインは Cipher を使用して各識別子を一貫したハッシュ値に置き換えます。一方、元の記録は、権限を持つユーザーが追加調査できるよう、制限付きのプロジェクトに保持されます。
プライバシーを強化する変換を早期に検討することで、チームは一貫した識別子が必要かどうかを判断し、ほかのフィールドから依然として属性が明らかになる可能性があるかどうかを評価できます。変換を行わない場合、直接的なアカウント識別子が、それを必要としない人が使用する派生分析やエクスポートに広がる可能性があります。難読化は露出リスクを低減しますが、チームは変換後のデータセットへのアクセスと、それをソースに再び結び付けられるプロセスを引き続き管理する必要があります。
人間の主体性と監督は、重大な結果を伴うアクションをレビュー可能な状態に保ち、指定された意思決定者が、提案された方針に疑問を呈したり、承認、拒否、変更したりできるようにするために役立ちます。人間の判断が必要な箇所を特定し、レビュー担当者が実質的な判断を下せるよう、十分なコンテキストを提供します。
Approvals は、変更が適用される前に、適格なレビュー担当者に変更を回付します。Checkpoint は、機密性の高いインタラクションを中断し、理由の説明や確認を求めることができます。承認や確認を形式的な手続きとして扱うのではなく、実質的なレビュー基準と明確な責任の所在に沿って、これらの機能を設定します。
AIP Logic 関数が機器のテレメトリーとサービス記録を分析し、オントロジー 内で表現される保守スケジュールを変更するアクションを提案します。Automate は、機器の状態が変化したときにこの関数を実行し、人間によるレビューのための提案としてアクションをステージングします。保守計画担当者は、提案を承認または拒否する前に、根拠となる情報とエージェントの判断ログを確認できます。担当者が代わりに Workshop アプリケーションから手動でスケジュール変更アクションを実行する場合、Checkpoint でその理由を記録するよう求めることができます。
人間の主体性と監督の原則を適用することで、チームは人間の判断を必要とするアクションと、レビュー担当者に必要なコンテキストを特定できます。アクションが適用される前にレビューを行わないと、誤った提案や根拠が不十分な提案によって、保守作業が自動的に変更され、業務に支障をきたす可能性があります。人間によるレビューが実質的な意味を持つのは、レビュー担当者が結果を変更するための十分な情報、権限、および時間を持っている場合に限られます。
説明責任を果たすには、組織がワークフローの責任者を定義し、レビュー、調査、および改善を支える記録を維持する必要があります。ガバナンス上の判断を文書化し、制御が意図どおりに機能しているかを監視し、問題に対応するプロセスを確立します。
監査ログ は、ユーザーが監視および分析できる、Foundry 全体のアクションの記録を提供します。送信された Checkpoint はユーザーによる理由の説明を記録し、Approvals で完了した申請は、提案された変更に関する判断を保持します。Compass は、わかりやすいプロジェクトとリソースの構造を提供し、チームが所有権を把握して、ガバナンスの対象となるリソースを管理するのに役立ちます。
記録だけで説明責任を果たせるわけではありません。組織は、どのイベントをレビューするか、誰がレビューを行うか、どの程度の頻度で行うか、および活動がポリシーに抵触した場合に何を行うかを決定する必要があります。
組織が Workshop アプリケーションを使用して、契約をレビューし、契約ステータスのアクションを実行します。Compass はプロジェクトの所有者を明示し、送信された Checkpoint は契約のエクスポートやアクションの実行に関する理由の説明を記録します。また、監査ログは権限の変更やオブジェクトのエクスポートなどの活動を記録します。ガバナンスチームは、定められたスケジュールに従って関連するイベントをレビューし、プロジェクトで明示された目的と一致しない活動を調査します。
説明責任の原則を適用することで、組織はどのイベントが重要か、誰がそれを調べるべきか、および調査結果をどのように対応につなげるかを決められます。所有者とレビュープロセスが明確に定義されていないと、不適切な権限の変更やエクスポートが、Foundry に記録されていても見過ごされる可能性があります。このアプローチは、説明責任を果たすためのプロセスで必要とされる量を超えて、監視データを収集または保持することを避けるのにも役立ちます。
保持および削除のポリシーは、データを保持する目的、適用される義務、およびデータシステム全体に及ぶ削除の影響を反映する必要があります。これらの要件を早期に定義し、目的が変わったときに見直し、派生コピーも考慮します。
Data Lifetime を使用すると、組織はデータセットとその派生データについて、リネージを考慮した保持ポリシーを設定できます。Compass は、リソースをゴミ箱に移動する操作やプロジェクトの管理など、リソース管理のワークフローをサポートします。ポリシーの責任者を割り当て、対象範囲を検証し、必要な記録を保存し、結果を確認する、より広範な保持プロセスの一環として、これらの機能を使用します。
チームが、期間を限定した保証調査のために、機器の診断、サービス記録、および派生分析を組み合わせる Compass プロジェクトと Pipeline Builder ワークフローを作成します。作業を開始する前に、データの所有者は生データと派生データを保持する期間を定義し、異なる保持期間が必要な記録を分離します。Data Lifetime はデータセットのリネージを通じて選択された削除ポリシーを適用し、Compass はプロジェクトの所有者を明示し、監査ログはポリシー変更のレビューを支えます。
保持と削除を早期に計画することで、チームは無期限の保持をデフォルトにすることを避け、プロジェクトが終了する前に下流のコピーを考慮できます。リネージを考慮したポリシーがないと、一時的な生データや派生データセットが、調査終了後も長期間にわたって利用可能な状態で残る可能性があります。それでもチームには、ポリシーの適用範囲、削除の結果、および必要な記録の保存を確認するプロセスが必要です。
機密データとガバナンス上の責任に関するより詳細なガイダンスについては、データ保護とガバナンスを参照してください。