GDPRコンプライアンス

消去の権利

GDPR において、忘れられる権利とも呼ばれる消去の権利は、データ主体が自身の個人データの削除を要求することを認めています。

次のMongoDB Atlasの機能は、この領域におけるコンプライアンスをサポートしています。

• Atlas のデータ暗号化に関するガイダンス（以下の内容を含む）：

  • クライアントサイドのフィールド レベル暗号化

  • Queryable Encryption

• データの取扱い、削除も含まれます。

アクセス権、データポータビリティ権、および訂正権

次のMongoDB Atlasの機能は、この領域におけるコンプライアンスをサポートしています。

• 読み取り可能なドキュメント。

• クエリ可能なドキュメント。

• ドキュメントの作成、表示、更新、および削除が可能です。

• オブジェクト配列のクエリ、フィルタリング、取得が可能です。

• MongoDB Atlas クラスターを管理するためのツールとして、Atlas CLI atlas コマンドがあります。

• MongoDB ドライバーを使用して、ドキュメントを検索できます。

データの保持

GDPR では、個人データは、収集された目的を達成するために必要な期間のみ保存されるべきであると一般的にされています。

次のMongoDB Atlasの機能は、この領域におけるコンプライアンスをサポートしています。

• データの有効期限。

• バックアップポリシー には、スナップショットの保持時間設定が含まれます。

暗号化

効果的な暗号化は、個人データを保護するための最も重要な手段の一つとして認識されています。

• データ暗号化には、転送中の暗号化（TLS）、保管時の暗号化（AES-256、BYOK、CMK、KMS、または TDE）、および使用中の暗号化（CSFLE、ランダム暗号化、または Queryable Encryption）が含まれます。

アクセス制御とネットワーク セキュリティ

強力なアクセスおよび認証制御、堅牢なネットワーク セキュリティ対策を実装するには、以下を参照してください。

• 認証 には、UI、データベース、API、フェデレーティッド、AWS IAM ロール、多要素、X.508 クライアント証明書、SCRAM パスワード、API キー、およびシークレットマネジメントが含まれます。

• 承認には、RBAC、あらかじめ定義されたロール、フェデレーション IdP、ジャストインタイム アクセスなどが含まれます。

• ネットワーク セキュリティには、TLS、IP アクセス リスト、ファイアウォール設定、プライベートエンドポイント、およびネットワーク分離が含まれます。

アラート、監査、モニタリング

個人データがどのようにアクセス・使用・変更・共有されているかを追跡するための監査ログや処理記録を管理・維持するには、以下をご参照ください。

• 監査には、データベース監査、フィルター、イベントの監視が含まれます。

• モニタリングとアラート。

• ストリーム処理。

インシデント対応

個人データに対するリスクを識別・評価・緩和するためのインシデント対応フレームワークを維持する目的で、以下をご参照ください。

• サードパーティ連携には、Datadog、Microsoft Teams、PagerDuty、Prometheus などが含まれます。

高可用性と回復力

個人データへのアクセス性と復旧可能性を確保するために、高可用性および回復力を備えたシステムを設計するには、以下をご参照ください。

• 高可用性には、データベースのレプリケーションおよび自動フェイルオーバーが含まれます。

• 障害復旧には、目標復旧時点（RPO）および復旧時間目標（RTO）が含まれます。