Business-to-Consumer のコンプライアンス対応の準備
B2C IAM 実装のローンチ前に実施すべきコンプライアンスチェック。
プライバシーとコンプライアンスに関しては、いくつかの要件があります。Auth0 は、プライバシーやその他の規制上の義務について法的な助言を提供することはできませんが、そうした義務の履行に役立つ可能性のある機能として Auth0 が提供している、プライバシー関連要件の厳選リストを以下に示しています。ローンチ前に、プライバシーに関する義務をすべて満たしていることを確認するとともに、以下で紹介する機能を見直し、プライバシーおよびコンプライアンス要件への対応に役立つ Auth0 の機能を十分に活用できているか確認してください。
ユーザーに関する個人データを収集または処理する場合は、プライバシーポリシーを公開し、運用がその内容に準拠することを確実にするための手順を確立しておく必要があります。また、情報の収集および処理について、ユーザーの同意を得る必要もあります。Auth0 には、プライバシーポリシーへのリンクを表示し、ユーザーの同意を保存するためのオプションが用意されています。
プライバシー関連の法令では、ユーザーに対し、自分に関して保持されているデータを閲覧し、修正する権利を認めることが一般的です。データ管理者である場合は、そのための仕組みを提供する必要があります。Auth0 の顧客は、 を介してデータにアクセスし、修正できる self-service 機能を構築できます。
あなたがデータ管理者である場合、ユーザーが自身のuser dataを持ち運び可能な形式でシステムからエクスポートできる手段を提供する義務を負うことがあります。Auth0 では、この義務の履行を支援するために user data portability の仕組みを提供しており、手動でのエクスポート機能と、ユーザー向けの self-service 機能を実装できる Management API の両方を利用できます。
プライバシーポリシーと同意の対象となる処理の目的に照らして、ユーザーについて収集する個人データが正当に必要なものであることを確認するため、その内容を見直しておく必要があります。また、収集するデータを最小限に抑え、データ保持ポリシーを定めていることも確認してください。さらに保護を強化するために、必要に応じてユーザーメタデータに保存するデータを暗号化することもできます。
公開済みのデータ保持ポリシーを策定し、その適用を自動化する必要があります。Auth0 Management API または を使用すると、ユーザーアカウントの消去を実施できます。
データ管理者であるかデータ処理者であるかにかかわらず、ユーザーに関して保有する個人データを保護する義務があります。これには、可能な場合は暗号化を使用することや、ユーザーアカウントを保護するために合理的なセキュリティ対策を講じることが含まれます。ローンチ前に、そのために役立つ Auth0 の利用可能なセキュリティ機能をすべて活用しているか確認する必要があります。たとえば、Brute Force Detection、 (ユーザーと管理者の両方を対象) 、さらにパスワードを使用する場合は強力なパスワードポリシーなどです。また、ブルートフォース攻撃に対応するための手順も準備しておく必要があります。
もう1つの一般的なコンプライアンス上の義務として、個人データを開示するサードパーティのサプライヤーについて、そのセキュリティに関するデューデリジェンスレビューを実施することが挙げられます。Auth0 については、この作業に役立つ情報が Auth0 のセキュリティと認証ページに掲載されており、Auth0 が取得しているセキュリティ認証を確認できます。
コンプライアンス要件に役立つ参考資料として、以下があります。
推奨する戦略の詳細をご確認いただけるよう、ダウンロードして参照できる PDF 形式の計画ガイドをご用意しています。
B2C IAM プロジェクト計画ガイド