信頼を獲得・維持するための仕組みをデジタル化
企業の「Trust 」構築に不可欠な機能を網羅したプラットフォーム
OneTrustとは？
OneTrustは、データプライバシー、委託先リスク管理、情報セキュリティ、データガバナンス、AIガバナンスなど、現代企業が直面するデジタルリスクを統合管理・可視化するSaaSプラットフォームです。
2016年設立以来、14,000社以上に導入されており、GDPRや改正個人情報保護法、さらには最新のEU AI Act (欧州AI法）などの法規制対応を効率化するツールとして、世界的に大きなシェアを誇っています。
支持されている理由は？
なぜ、OneTrustは多くの企業から圧倒的な支持を受けているのでしょうか？その理由は、機能の網羅性にあります。データプライバシー、委託先リスク管理、情報セキュリティ、データガバナンス、AIガバナンスは相互に密接に関連していますが、OneTrustはそれらを一括して同一プラットフォームで扱うことができ、それにより高いシナジー効果を発揮します。その網羅性が、競合製品との比較において最も大きな差別化ポイントです。
様々な種類の法規制やフレームワークに対応した豊富なテンプレートやプロセスを効率化するための多様な自動化機能など、業務の負荷を軽減するためにあらかじめデザインされた仕組みも含め、業務で求められる機能をすべて網羅している点が多くのユーザーから評価されています。
導入によるメリット
OneTrustを導入することで、顧客や従業員など個人の権利を尊重し、さまざまな法規制やスタンダードおよびフレームワークを遵守し、データへの不正アクセス等のインシデント・リスクを低減するたけでなく、それと同時に企業の信頼性と透明性をステークホルダーや社会に対して証明することで社会およびステークホルダーからの信頼を獲得する仕組みを構築することが可能です。
OneTrust ソリューション
- プライバシー管理
- サードパーティリスク管理
- データディスカバリー
- AI ガバナンス
- その他 GRC & セキュリティ
プライバシー管理
相次ぐ個人情報漏洩や不正アクセスから個人情報を保護し、管理するためのガバナンス体制を構築
OneTrust プライバシーソリューション
OneTrust プライバシー管理は、企業のプライバシーガバナンスを包括的に支援する統合プラットフォームです。データマッピングによる個人情報の可視化をはじめ、プライバシー影響評価（PIA・DPIA）の自動化、ポリシーや通知の一元管理、データ主体リクエスト（DSAR）への対応、同意・プリファレンス管理まで、個人情報保護に関わる一連の業務を効率化します。
主要機能
データマッピング
データマッピング機能により、企業が取り扱う個人情報の種類、その保存場所、収集方法、アクセス権限のある人、利用方法について、管理台帳（インベントリ）を作成し、個人情報の取扱いプロセス、保存先およびデータのフローを可視化することが可能です。
プライバシー評価自動化
プライバシー影響評価（PIA・DPIA）やその他の評価（法規制・スタンダードのフレームワークに沿ったチェックシートなど）の実施、回答者、承認者のアサイン、特定されたリスクとその緩和策、タスク割り当て、回答内容の記録、台帳へのデータ連携といった一連のプロセスにおいて、評価業務を効率化するために、それを「自動化」するソリューションは必要不可欠です。
ポリシーと通知の管理
ポリシーと通知の管理を使用することで、企業は従業員または顧客向けのプライバシーポリシーを作成し、バージョン管理および多言語化を実現することが可能です。
ポリシーは、電子メール、ウェブサイト、モバイルアプリなど、複数のチャンネルを通じて、これらのポリシーを顧客や従業員に簡単に配布することができます。
データ主体リクエスト対応自動化(DSAR)
プライバシー法規制の強化により、個人情報の開示や削除請求への適切な対応が急務となっています。しかし、現場では「厳格な本人確認」や「法定期限内の迅速な処理」が大きな負担です。
本ソリューションは、リクエストの受付、身元確認、担当者の対応フローまでを安全かつ迅速にサポートします。また、レポート機能で対応状況や頻出するデータ処理業務を可視化。業務プロセスの継続的な改善を可能にし、各種法規制への確実な準拠を支援します。
同意管理
(Consent ＆ Preference)
プライバシー法規制の遵守には、顧客の同意や個人設定（プリファレンス）を正確に把握することが不可欠です。しかし、複数チャネルにまたがるデータの管理や、適切な取得プロセスの構築は複雑化しています。
本ソリューションは、法規制に準拠した同意取得フォームや、顧客自身が設定を変更できる画面をノーコードで簡単に作成できます。さらに、既存のWebサイト、CRM、MAツールなどと同意データをシームレスに統合。あらゆる顧客接点での同意情報を一元管理することで、法令を遵守しながら透明性を確保し、顧客との強固な信頼関係の構築を支援します。
サードパーティリスク管理
複雑化するサプライチェーンのリスクを可視化・一元管理。 委託先の選定から終了までを合理化
サプライチェーンのグローバル化やサイバー脅威の増大、国内外の規制強化に伴い、委託先（サードパーティ）に起因するリスク管理の重要性がかつてないほど高まっています。しかし、多くの企業では「見えにくい再委託先（サブベンダー）の実態」「評価基準のばらつき」「情報共有の遅れ」といった運用の課題に直面しています。
「OneTrust TPRM」は、ベンダーのオンボーディング（取引開始）からオフボーディング（取引終了）に至るリスク管理のライフサイクル全体を包括的に合理化するソリューションです。
一貫性のあるリスクベースのアプローチにより、サードパーティに潜むサイバー、コンプライアンス、ESGなどの多様なリスクを正確に可視化。企業と委託先間の情報の非対称性を解消し、強固で透明性の高いガバナンス体制の構築を強力に支援します。
OneTrust サードパーティリスク管理ソリューション
OneTrust のサードパーティリスク管理 (TPRM) は、ベンダーのオンボーディングからオフボーディングまでのサードパーティのリスク管理ライフサイクルを合理化し、リスクベースのアプローチが可能です。
特長
業務にあわせた複雑なワークフローの設定が可能
新規ベンダーの登録フローでは、OneTrustが用意しているオンボーディングのワークフローを元に業務にあわせた複雑なワークフローを作成することが可能です。の右のフロー図の例でいうと、 申請者が新規ベンダー申請を起票後、複数の外部システムとの連携やスコアリングにより自動的にリスクを特定・検出する段階をフローに追加しています。さらに、検出されたリスクレベルに応じて、調達部門やコンプライアンス部門など該当部署へリスク評価依頼を送信する段階をフローに組み込むことも可能です。
自動化ルールによるアラーム設定が可能
契約中のベンダーの定期的なモニタリングを効率化するために、自動化ルールを設定し、指定した頻度でベンダーを対象に評価を送信することが可能です。
また、右のフロー図のように自動化ルールにより社内スコアリングまたは外部システムとの連携などから得られる情報からリスクを検出し、該当部門へベンダーリスク評価依頼を送信することが可能です。
主要機能
複数のベンダーを一元管理可能
複数のベンダーの取引状況、ベンダーが提供する製品やサービスの内容などの一般情報からベンダーに関連づけられているリスクレベルなどの情報をインベントリ（台帳）機能により一元管理することが可能です。
管理項目を自由に追加設定が可能動化
属性を追加、編集、アクティブ化、または非アクティブ化することで管理項目を自由に設定することができます。
効果的なリスクの管理が可能
情報リスクやコンプライアンスリスク可視化し、
効果的にリスクを管理することができます。
エンゲージメント
ベンダーにより提供される特定のアクティビティや
サービスに割り当てられたリソースや時間を
記録することができます。
サードパーティ
リスクエクスチェンジ
ベンダーに問題が発生した場合、セキュリティ スコアカード、RiskRecon などのデータ ソースから必要な情報を取得して、新しいリスクの発生に際して、アクションをトリガーする条件分岐のワークフローを構築することが可能です。
他ベンダーやITアセットと関連付け
有機的な把握が可能
インベントリーの記録を他ベンダーやITアセットと関連づけ、データグラフで視覚化することができます。
データディスカバリー
「どのデータが、どこにあるか」を自動で可視化・保護し、安全なデータ利活用を実現
DXの加速やマルチクラウドの普及に伴い、企業が扱うデータは爆発的に増加し、保管場所も分散化・複雑化しています。手動による管理や従来のセキュリティ手法では、「どこに・どんな機密データが存在するのか」という全体像の把握が難しく、情報漏洩や法規制違反のリスクが日々高まっています。
OneTrust社が提供する「OneTrust Data Discovery」は、散在するデータの把握から機密区分のラベリング、アクセス権の監視、コンプライアンス（個人情報保護法やGDPRなど）対応までを包括的に自動化するDSPMツールです。
データガバナンスの最適化（Data Use Governance）を実現し、社内外のサイバー脅威から重要な資産を守り抜くとともに、保有データを「安全に活用できる戦略的資産」へと変革します。
OneTrust データディスカバリーソリューション
OneTrust データディスカバリー は、企業内のデータを幅広くスキャンして、個人情報や企業秘密情報など、事前に提示された条件に一致するデータを検出します。それらを、検出された場所やデータの特徴とともに通知し一元的に可視化します。
さらに、データマッピング等の OneTrust の他のモジュールと連携し、さらなる情報の構造化を促進し、そこから必要な是正対応の効率化・自動化を行います。
主要機能
データディスカバリー＆分類
- AIによる自動データ分類
- 40以上のデータタイプに対応
- 自動化されたスキャン
- カスタム分類ルールの設定
リスク可視化
- カスタマイズ可能なダッシュボード
- リスクスコアリング
- トレンド分析
- アラート設定
自動ポリシー適用
- テンプレートベースのポリシー設定
- 条件に基づく自動アクション
- ワークフロー設定
- 監査ログ
インシデント対応
- 異常検知
- 対応の自動化
- インシデントワークフロー
- レポート作成
AIガバナンス
AIのリスクと活用状況を可視化・一元管理。「責任あるAI」の実装とライフサイクル管理を合理化
AIや機械学習（ML）の急速な普及に伴い、ビジネスへの利活用が進む一方で、管理や監督が行き届かないAIがもたらす社会的・倫理的なリスクへの対策が急務となっています。しかし、多くの企業では「社内で利用されているAIの把握」「公平性や透明性の担保」「グローバルな法規制への対応」といった運用の課題に直面しています。
「OneTrust AI ガバナンス」は、AIやMLを活用するプロジェクト、モデル、データセットの最新情報をインベントリで一元管理し、開発ライフサイクル全体のリスクを包括的に管理するソリューションです。
MLOpsツールとの統合によるAIモデルの自動検出や、データの偏り・公平性に基づくリスクレベルの自動割り当てにより、潜在的なリスクを初期段階から正確に可視化。企業が規定したポリシーや法律に準拠した「責任あるAI」の運用を実現し、安全で透明性の高いガバナンス体制の構築を強力に支援します。
OneTrust AIガバナンスソリューション
OneTrust AIガバナンスは、AIプロジェクトやモデル、データセットを一元管理し、組織全体のAI活用状況を可視化します。AI開発ライフサイクル全体を通じてリスクを評価・管理するとともに、企業のポリシーや法規制、各種ガイドラインに基づいたガバナンスを実現します。さらに、ダッシュボードによるリスクの可視化や継続的なモニタリングを通じて、「責任あるAI」の実践を支援します。
特長
AIがどこで利用されているかを把握
- AIやMLテクノロジーを活用するプロジェクト、モデル、データセットについて最新の情報をインベントリとして管理する必要があります。
- MLOpsツールと統合することでAIモデルを自動検出し、一元化されたインベントリと同期することが可能です。
- モデル、データセット、プロジェクト間の関係性を定義し、AIが活用されている取り組みを把握し、AIシステムに関する詳細な台帳を構築するとともに、それらに対してプライバシーリスク評価を実行します。
AI開発ライフサイクルの管理
- AIのユースケースを評価し、リスクを顕在化させ、AI開発プロジェクトの各フェーズにおいて管理します。
- プロジェクトのライフサイクルの初期段階で、AIプロジェクトのコンテキストを把握し、潜在的なリスクをあぶり出します。
- AIシステムの利用目的も含め、各AIイニシアチブと関連情報をトラッキングします。
リスクの軽減
- 企業側で規定した責任ある使用ポリシー、グローバルな法律、およびフレームワークに照らしてAIを評価します。
- 偏り、公平性、透明性のためにリスクレベルを自動的に割り当てます。
- リスクの高いプロジェクトを適切な組織（または人）やプロセスへエスカレーションします。
- ダッシュボードとレポートを使用して、モデルのリスクレベルを容易に特定し、リスクの高いAIプロジェクトの数を把握します。
主要機能
プロジェクト
プロジェクトは、AIの取り組みを管理する単位です。プロジェクトを開始する前に、NIST AI RMFなどのあらかじめ定義済みの評価テンプレートを使用することで、すぐに評価を開始するとともに、プライバシー・バイ・デザインの実現をサポートします。
責任あるAIを実現するためにAIモデルを責任を持って管理し、公平性、正確性、説明可能性やセキュリティについて期待される基準を満たしていることをプロジェクト全体で保証します。
モデル
モデルについて責任のあるAIを実現するための仕組みを提供します。
モデルのバイアスや挙動を評価・管理し、サードパーティリスク管理を一緒に使用することで、モデルを提供する外部のソリューションベンダーを管理することも可能です。
データセット
AIモデルのトレーニングに使用される予定もしくはすでに使用されたデータセットをトラッキングすることは、透明性、説明責任、バイアスを特定することにより責任あるAIを実現するのに不可欠です。
データセットを確認することで、透明性や説明責任によってデータ品質や法令遵守に役立ちます。
また、データディスカバリを使用すれば、データを自動的に分類し、どういったカテゴリのデータがパイプラインを通じてデータセットにもたらされているかを把握することが可能です
例えば要配慮情報のような機微データ（民族的出自や人種など）が含まれると判定された場合、リスクを自動的に作成し、リスクを低減するためのコントロールと改善のトラッキングまで管理することが可能です。
リスク評価テンプレート
OneTrust AIガバナンスでは、AIシステムのリスク評価を行うためのテンプレートが複数（英語版の場合、９種類）用意されています。
EUのAI法などの主要なAI規制に合わせて、AIプロジェクトにおけるリスクの評価と管理をサポートする「AI Intake Assessment」（日本語翻訳あり）を使えば、ジェネレーティブAIシステムを含む多くのAIテクノロジーに適応可能です。また、EU AI法に対応したものやNIST AI RMF Playbookをもとに構築されたテンプレートも使用することができます。
さまざまな法律やフレームワークでAIの評価を実施し、リスクを自動的に検知することでリスクを特定するプロセスを標準化し、評価結果をレポート化して分析、理解、必要な措置を講じることにより、AIリスクの軽減に役立てることができます。
その他 GRC & セキュリティ
複雑化するIT環境におけるリスク・コンプライアンス管理を最適化し、限られたリソースで効率的な運用を実現
グローバルでの脅威は日々進化し続け、人々や組織に新たな予期せぬリスクをもたらしています。しかし、企業とサプライチェーンは、サイバー攻撃の脅威、世界的な危機、自然災害といったリスクに直面したとしても、 商品やサービス提供を継続し維持するためにレジリエントである必要があります。
OneTrust の GRC & セキュリティ は、こうした脅威に対し、企業のディフェンス力を強化します。これにより、企業は、顧客、パートナー、ステークホルダーとの信頼関係を構築し、リスク情報に基づく適切な意思決定により、より良い環境で業務を遂行することができます。
OneTrust GRC & セキュリティソリューション
OneTrust GRC & セキュリティは、企業にとって最も重要なリスクを特定し、優先順位付けをサポートします。GRC & Assurance Cloud により、企業はリスク、セキュリティ、コンプライアンス、監査といったそれぞれ部門によってサイロ化されたプロセス、ワークフロー、さらにデータを解放し、リスクとコンプライアンスに関する活動を組織のオペレーションに組み込むことが可能です。
GRC & Security Assurance Cloud は、500社以上のベンダーとの統合を活用しながら、すぐに使えるセキュリティ・プライバシーのフレームワーク、規制コンテンツ、カスタマイズ可能なワークフローを活用することで、リスクとセキュリティ機能を強化することが可能です。
主要機能
IT セキュリティリスク管理
複雑なITエコシステム全体のリスクを考慮
ビジネス全体にわたるシステム、データ、リスクの流れの相互接続の性質を反映する、資産、プロセス、ベンダーの常緑の IT インベントリ全体でリスクを特定して監視します。
コンテキストに基づいてリスクを標準化および定量化
標準的なマトリックスから自動計算まで成熟できるスケーラブルなリスク方法論を使用して、定性的および定量的な指標のバランスをとり、重要なビジネス コンテキストを失うことなくリスクの優先順位付けを通知します。
IT やセキュリティなどの部門レベルにとらわれず、リスクオーナーシップを強化
評価やコントロール管理などの主要なリスク活動を自動化し、関係部門と連携して情報を収集し、影響を評価し、是正するための戦略を実行します。
プログラムのパフォーマンスのレポート
リスク分析ダッシュボードを使用することで、重要なアセット、サービス プロバイダー、またはプロセスにわたる潜在的なリスクの領域とともに、主要リスク指標 (KRI) または特定されたリスクを簡単に把握することが可能です。事前に構築されたテンプレートを使用するか、テンプレートをカスタマイズして、IT リスク管理プログラムの健全性を可視化します。
コンプライアンス自動化
適用範囲に応じたコンプライアンス要件を自動生成
フレームワーク適用範囲調査（スコーピングサーベイ）に基づき、お客様の事業・運用に必要な統制項目（コントロール）や証跡収集タスクを自動で生成します。
統制管理を効率化
織全体で共通利用できる統制や、システム・業務プロセス固有の統制を適切に管理することで、重複する作業や運用負荷を削減し、効率的な統制管理を実現します。
証跡収集を効率化
エビデンスフレームワークを活用し、複数の標準規格、フレームワーク、法規制に共通して利用できる証跡を一元管理。「一度対応すれば、何度でも活用できる」仕組みにより、重複した証跡収集や作業を大幅に削減します。
コンプライアンス状況を共有・可視化
認証取得状況、コンプライアンス情報、回答済みのセキュリティ質問票などを一元管理する「Trust Profile」により、社外のステークホルダーに対して透明性の高い情報提供を実現し、ビジネスの信頼性向上と成長を支援します。
企業と組織のポリシー管理
ポリシーの開発とレビューを一元化
堅牢なワークフロー、シームレスな Microsoft との統合、自動通知により、ポリシーの投稿者とレビュー担当者の間のコラボレーションを最適化します。メジャー バージョンとマイナー バージョンの公開オプションを使用して、バージョン管理を次のレベルに引き上げます。
アテステーションの実施と追跡
組織構成に応じて、担当者レベル、事業部単位、またはEUやUSなど地域ごとのポリシー・アテステーションをトラッキングします。目標値を下回っているポリシーを迅速に特定し、世界中の従業員全体で準拠していない従業員に対するリマインダーを自動化します。
ポリシーの例外を管理する
従業員が会社のポリシー、手順、またはスタンダードへの準拠について一時的な例外を要求できるようにします。ポリシーの例外リクエストの承認または拒否を裏付ける理由、コメント、エビデンスを収集することが可能です。また専用のワークフローでそれらのプロセスについてトラッキング可能です。
ポリシーのメンテナンスを自動化する
ポリシーの有効期限を設定して、準拠していないとされる既存のポリシーにフラグを立て、当該ポリシーに対してレビューのためのプロセスを自動的に開始します。ポリシー、手順、またはスタンダードについて他のユーザーと共有するために、常に最新のバージョンへのリンクを生成し、プライベートドメイン（要SSO）とパブリックドメインで共有することが可能です。
ポリシーガバナンスの向上
関連するアセット、手順、スタンダード、コントロールをポリシー、手順、スタンダードに紐づけることで、より広範なリスク管理と規制遵守プロファイルに関する全体像と関係性について把握することが可能です。ポリシー全体のリスクとコンプライアンスについてレポートで確認することが可能です。
監査管理
数回クリックするだけで監査対象スコープへナビゲート
法規制の要求事項を先取りするために内部監査をスケジュールします。監査対象となるスコープについて、フレームワーク、スタンダード、コントロールごとに簡単に設定することが可能です。スタンダード、事業体、ポリシー、プロセス、リスク、管理、アセットにまたがる関係を特定します。
コントロール設計と有効性を文書化して評価
ユーザーフレンドリーな標準化されたテンプレートにアクセスして、ドキュメントをガイドおよび標準化します。是正するための計画を作成し、コントロールとのギャップ、問題、推奨事項を一元化されたログでトラッキングします。
エビデンス収集の合理化
システム、部門、個々の関係者にまたがる不必要なエビデンス探しに無駄な労力をかけるのを回避します。定期的な証拠要求タスクをスケジュールし、それぞれの所有者に対して通知を送信します。
コンプライアンス監査ステータスを監視
ダッシュボードを使用して、監査、調査報告書、調査結果のステータスをトラッキングします。リアルタイムの監査ステータスを追跡し、テスト結果を要約し、有効性に関する監査の結論をモニタリングし、発見事項を特定し、是正措置についてを計画します。
OneTrust製品の専門知識を持つコンサルタントが導入をサポートします。
製品の導入検討やご関心のある方は、こちらからご相談ください
