SAPにおけるPOPIAコンプライアンス：2026年に見過ごせない潜在リスクとは

SUMMARY: 南アフリカでは、個人情報保護法（POPIA）への対応が、単なる形式的なコンプライアンスから厳格な法執行の段階へと移行しています。情報規制当局（Information Regulator）は監督・執行活動を大幅に強化しており、多くのSAPユーザー企業は、非本番環境へのデータコピー、レガシーECCシステム、過剰に公開された個人データ、不十分なアクセス管理、一貫性のないデータマスキング、適切に管理されていないデータ保持などの領域で依然として大きなリスクを抱えています。コンプライアンス違反のリスクを回避するためには、自動化されたデータスクランブル、コンテキストに応じたデータマスキング、ILM（Information Lifecycle Management）といった具体的な対策の導入が不可欠です。

2021年、南アフリカの多くの企業は、個人情報保護法（POPIA）の施行に伴う猶予期間の期限に対応するため、急ピッチで準備を進めました。SAPを中核システムとして利用する多くの企業では、その対応は「チェックボックス型」のアプローチにとどまり、情報責任者（Information Officer）の任命、プライバシーポリシーの策定、そして基本的なSAP権限管理の実装といった取り組みが中心でした。

しかし、2026年1月を迎えた現在、状況は大きく変化しています。コンプライアンスはもはや理論上の要件ではなく、厳格な法執行の対象となっています。情報規制当局（Information Regulator）は、助言機関としての役割から、高度に機能する執行機関へと移行しました。現在の状況を踏まえると、企業が問うべきことは「当社はコンプライアンスを遵守しているか」ではありません。むしろ、「当社のコンプライアンス体制が持続可能であり、かつデータ侵害が発生した場合でもその有効性を証明できるか」が重要な課題となっています。

2026年における成熟した法執行環境

この1年だけを見ても、情報規制当局（Information Regulator）は監督・執行活動を大幅に強化しています。2025年後半には、複数の公的機関および民間企業が過去に発行された執行通知（Enforcement Notice）に従わなかったことを受け、規制当局は複数の違反通知（Infringement Notice）を発行しました。特に、基礎教育省（Department of Basic Education）に対して科された500万ランド（約4,000万円）の行政罰金は重要な前例となり、「まずは対応を試みる」という段階がすでに終わったことを明確に示しています。

2025年から2026年にかけて得られた最も重要な教訓の一つは、データ侵害が繰り返し発生しているという現実です。南アフリカの大手小売企業では、2025年後半にサードパーティサービスプロバイダーに起因する2度目の重大な情報セキュリティインシデントが発生し、顧客とのコミュニケーションデータが影響を受けました。この事例が示しているのは、プライバシー保護は一度きりのプロジェクトではなく、継続的に維持・運用すべき取り組みであるということです。POPIA対応を単発のコンプライアンス施策として捉えていた企業は、ますます高度化するサイバー脅威の環境の中で、過去から残る管理上のギャップが顕在化しつつあります。

SAPに潜む盲点：リスクはどこに潜んでいるのか

長年にわたり問題意識が高まっているにもかかわらず、多くのSAPユーザー企業は依然として以下の6つの領域において重大なリスクにさらされています。

1) 非本番環境: 本番環境は通常、厳格に保護されています。しかし、品質保証（QA）環境、開発環境、サンドボックス環境には、本番データの完全なコピーが保護されないまま保持されているケースが少なくありません。これらはSAPランドスケープにおける「最も脆弱な部分」と言えます。

2) レガシーECCシステム: 企業がS/4HANAへの移行を進める中で、旧ECCシステムは参照専用アーカイブとして稼働し続けることがあります。しかし、こうしたシステムには最新のセキュリティパッチが適用されていなかったり、新しい環境と同等の厳格なアクセス管理が実施されていなかったりするケースが少なくありません。

3) 過度に公開された個人データ: 過剰に広範な権限設定により、本来は業務遂行に必要な範囲を超えて、多くのユーザーが南アフリカのID番号、銀行口座情報、給与情報などの個人データを閲覧できる状態になっている場合があります。

4) 不十分なアクセス管理: 不要になったユーザーアカウントや、長年の権限追加による「ロールクリープ（Role Creep）」によって、SAP認証情報が一度侵害されるだけで、攻撃者がシステム全体へアクセスできてしまう可能性があります。

5) 不十分なデータマスキング: Webフロントエンドでデータをマスキングしていても、バックエンドのSAPテーブルから元データを閲覧できる状態であれば、データを保護しているとは言えません。単に一般ユーザーの目から隠しているだけに過ぎません。

6) 管理されていないデータ保持ルール: POPIA第14条では、個人情報を必要以上に長期間保持してはならないことが明確に定められています。しかし、多くのSAPシステムは「データの墓場」と化しており、本来であれば削除またはアーカイブされるべき20年分もの従業員データや顧客データが保持されたままになっています。

サイバーセキュリティ：2026年の脅威の現実

データプライバシーとセキュリティは、今や切り離して考えることのできない関係にあります。IBMの2025年のレポートによると、南アフリカにおけるデータ侵害1件あたりの平均被害額は4,410万ランド（約3億5,000万円） に達しました。AIを活用した防御策の普及により、前年までと比べてわずかに減少したものの、金融業界では依然として平均7,020万ランド（約5億6,000万円） という高額な被害が発生しています。

しかし、罰金は被害全体のほんの一部に過ぎません。現在の南アフリカでは、企業の信用失墜や事業機会の損失による影響（データ侵害1件あたり平均1,310万ランド/約1億円）が、POPIAで定められた最高1,000万ランド（約8,000万円） の罰金を大きく上回っています。

2026年の現実――SAPシステムにおけるデータ侵害は、単なるコンプライアンス違反ではなく、事業継続そのものを脅かす重大なインシデントです。2025/26年度上半期だけでも、情報規制当局（Information Regulator）には約2,000件のセキュリティ侵害が報告されており、前年同期比で40％増加しています。もはや問われるのは、「起こるかどうか」ではなく、「いつ起こるか」です。

証明可能かつ持続可能なコンプライアンスへの移行 

2026年にPOPIA監査やフォレンジック調査に対応するためには、SAPユーザー企業はスプレッドシートによる管理だけでは不十分です。プライバシー・バイ・デザインおよびプライバシー・バイ・デフォルトの考え方に基づき、データを適切に保護していることを証明できる、具体的かつ技術的な対策を講じる必要があります。 

• 自動データスクランブル: 非本番環境では、データを個人が識別できない状態にする必要があります。これは単なるベストプラクティスではなく、POPIAのセキュリティ保護要件（第19条）に基づき、テスト時に識別可能なデータへの不正アクセスを防止するために必要な技術的対策です。

• コンテキストに応じたデータマスキング: ユーザーの役割、所在地、データの機密性に応じて、機密情報を動的に非表示にするUIマスキングを実装します。例えば、給与担当者（Payroll）以外のユーザーにはID番号をマスキングするといった制御が挙げられます。

• 削除権への対応とデータ保持: ILM（Information Lifecycle Management）を活用した自動化を実装し、顧客や従業員との契約終了後には、個人データを体系的に削除または匿名化できるようにします。

あなたのSAPシステムは「見えないリスク」を抱えていませんか？ 

次の3つの質問をご確認ください。 

• もし今日、情報規制当局（Information Regulator）の調査官が貴社を訪れた場合、過去90日間に特定の顧客のID番号へアクセスしたすべてのSAPユーザーを記録したレポートを提示できますか。 
• QA環境において、実際の銀行口座情報へアクセスできる開発者やテスト担当者が一人でも存在していませんか。 
• 法定保存期間の終了後、SAPシステム内のPII（個人を特定できる情報）を削除するための、自動化されたプロセスを文書化していますか。 

これらの質問のいずれか一つでも「いいえ」と答えた場合、貴社は表面化していない重大なリスクを抱えている可能性があります。そのリスクは、将来的に多大なコストを伴う深刻な問題へと発展するおそれがあります。 

2026年に求められるのは、「約束」ではなく「証明」 

2021年のPOPIA対応で求められたのは「準備」でした。しかし、2026年に求められるのは「証明」です。SAP環境において、プライバシー・バイ・デザインおよびプライバシー・バイ・デフォルトの考え方に基づき、個人情報が適切に保護されていることを、技術面・運用面・監査対応の観点から証明できることが求められています。

情報規制当局（Information Regulator）がもはや確認しているのは、プライバシーポリシーの有無ではありません。確認しているのは、セキュリティ管理策が実際に機能しているか、継続的なモニタリングが行われているか、データ保持ルールが自動的に適用されているか、非本番環境が適切に保護されているか、そしてデータ侵害や情報開示請求が発生した際に、数週間ではなく数時間以内に対応できる体制が整っているかという点です。

SAPシステムには、給与情報、銀行口座情報、ID番号、医療情報、取引先情報、顧客データなど、企業にとって最も機密性の高い情報が集約されています。こうしたシステムが適切にガバナンスされ、継続的に監視され、技術的な保護対策が講じられていなければ、単なる業務システムではなく、将来的に重大なリスクをもたらす潜在的な負債となり得ます。

EPI-USE Labsでは、POPIAコンプライアンスにおける課題を可視化し、持続可能かつ監査に耐え得るコンプライアンス体制の構築を支援するため、包括的なデータプライバシーアセスメントを提供しています。

ブログを読む：SAPデータプライバシー：コンプライアンス対応の第一歩として、なぜアセスメントが重要なのか

本ブログは、EPI-USE Labsの中東・アフリカ（MEA）地域でRegional Marketerを務めるChené FerreiraとAmy Breedtが共同で執筆しました。