CIS Control 3：データ保護

Center for Internet Security (CIS) は、Critical Security Controlsの一連のセットを提供し、組織がサイバーセキュリティと規制コンプライアンスを強化できるよう支援します。CIS Control 3 は、コンピューターおよびモバイルデバイスに対するデータ管理を通じてデータ保護を確実にすることに関する内容です。具体的には、データの識別、分類、安全な取り扱い、保持、破棄（処分）を行うためのプロセスと技術的統制について詳しく説明しています。（バージョン8以前は、このトピックは CIS Control 13 で扱われていました。）

CIS Control 3 では、データを保護するために組織が採用できる包括的な保護策とベンチマークのリストが提供されており、その詳細は次のセクションで説明します:

3.1 データ管理プロセスの確立と維持

組織は、データの機密性（sensitivity）、保管（retention）、保存（storage）、バックアップ（backup）、廃棄（disposal）に対応したデータ管理プロセスを備える必要があります。データ管理プロセスは、組織が対象としている規制に整合する、十分に文書化された企業レベルの標準に従うべきです。

3.2 データインベントリの確立と維持

組織が作成（produces）し、保持（retains）し、利用（consumes）しているデータが何か、またそれがどの程度機密性の高い（sensitive）データなのかを特定することが重要です。このインベントリには、文書や写真のような非構造化データと、データベースに保存されているデータのような構造化データの両方を含め、年に1回更新する必要があります。正確なデータインベントリは、リスクアセスメントを含むさまざまなセキュリティプロセスにとって不可欠です。

3.3 データのアクセス制御リストを設定する

次に、各ユーザーが業務を行うために必要なデータ、アプリケーション、およびネットワーク上のシステムにのみアクセスできるようにしてください。特に、アクセス制御を導入して、機密データがアクセスしてはいけない人に見られないよう保護することが重要です。

アクセス制御を適用することで、企業は社内外の脅威によるリスクを低減できます。ユーザーが、見てはいけないファイルをうっかりまたは意図的に閲覧して data breach を引き起こす可能性が下がり、アカウントを侵害された攻撃者はアクセスできるデータ量も少なくなります。

アクセス制御リストは定期的に見直し、従業員が別の役割や部署に異動したときのように、ユーザーが必要としなくなった権限は速やかに削除してください。

3.4 データ保持を強制する

組織は、さまざまな種類のデータをどれくらいの期間保持すべきかを定めるコンプライアンス規制の対象となる場合があります。データ保持プロセスを可能な限り自動化することで、コンプライアンスの徹底に役立ちます。

3.5 データを安全に廃棄する

組織が電子データまたは物理的なデータを廃棄する必要が生じるシナリオは数多くあります。データが古くなって役に立たなくなっている場合もあれば、規制によって一定期間経過後に削除が求められる場合もあります。

データ廃棄のプロセスとツールは、各種類のデータの機密性と形式に合わせて整備する必要があります。データ廃棄サービスを利用すれば、会社のデータが不適切な第三者の手に渡ってしまうのを防ぐことに役立ちます。

3.6 エンドユーザー デバイス上のデータを暗号化する

エンドユーザー デバイス上のデータを暗号化することは、デバイスが侵害された場合にデータが悪用されるのを防ぐのに役立つため、セキュリティ上のベストプラクティスです。暗号化ツールはオペレーティング システムによって異なることがあります。例として、Windows BitLocker、Linux dm-crypt、Apple FileVault などがあります。

3.7 データ分類スキームを確立して維持する

明確に定義され、厳格な基準を用いてデータを分類することで、機密性が高く重要なデータをそれ以外のデータから区別しやすくなり、CIS Control 3 の他の保護策の実装が促進されます。基本的なスキームの一例として、データを機密、プライベート、または公開のいずれかにラベル付けする方法があります。

データ分類は毎年見直し、また貴社の データ保護ポリシー に重大な変更が加えられた場合にも見直す必要があります。

3.8 データフローを文書化する

組織内でデータがどのように移動しているか、また企業の内外でどのように入出力されているかを把握することで、サイバーセキュリティを弱め得る脆弱性を特定しやすくなります。

3.9 リムーバブルメディア上のデータを暗号化する

外付けハードドライブ、フラッシュドライブ、その他のリムーバブルメディアに保存されているデータは、デバイスが盗難に遭った場合に悪用されるリスクを低減するため、暗号化する必要があります。

3.10 転送中の機密データを暗号化する

重要なデータは、保存時だけでなく転送中も暗号化する必要があります。この種の暗号化には、Open Secure Shell (OpenSSH) や Transport Layer Security (TLS) など、いくつかの選択肢があります。 暗号化には認証を含める必要があります。たとえば、 TLS では、信頼でき有効な認証局によって署名された認証証明書を用いることで、有効な DNS 識別子を使用します。

3.11 静止（保存中）の機密データを暗号化する

組織は、サーバー、データベース、およびアプリケーション上に保存されているすべての機密データを、保存時（at rest）に暗号化する必要があります。 （エンドユーザー端末の暗号化は CIS Control 3.6 で扱われます。） 保存データを暗号化することで、ほかの人がストレージデバイスにアクセスできたとしても、認可された当事者だけが閲覧および利用できるようにするのに役立ちます。

3.12 機密性（センシティビティ）に基づいてデータの処理と保存を分離する

また、データ分類 に基づいてデータの処理と保存を分離することも重要です。これにより、機密データが他のクラスのデータよりも慎重に取り扱われるようにします。通常は機密性の低いデータを管理する資産が、同時に機密データを管理するべきではありません。攻撃者がアクセスするのを阻止するための適切なセキュリティ設定がない可能性があるためです。

3.13 データ損失防止（DLP）ソリューションの導入

自動化された data loss prevention（DLP）ソリューションを使用して、オンサイトとリモートの両方のデータ、特に機密性の高いコンテンツを、データの持ち出し（exfiltration）から保護してください。とはいえ、 CIS Control 11 に詳述されているとおり、データのバックアップ戦略も依然として必要です。

3.14 機密データへのアクセスをログに記録する

アクセス、変更、廃棄など、機密データに関わるすべての操作をログに記録することは、悪意のある活動をいち早く検知し、適切に対応するために不可欠です。データアクセスのログは、攻撃後の調査や分析にも役立ち、犯行に関与した人物の責任追及にもつながります。

まとめ

CIS Control 3 の各構成要素は、最初のコントロールから始まります。最初のコントロールは、包括的なデータ保護および管理計画の必要性を強調しています。この計画は、重要なデータを特定し、「誰が」「いつ」そのデータにアクセスできるべきかを制御することで、それを保護するための確かな土台となります。

会社のデータを発見し分類することで、データの価値と機密性に基づいて保護できます。制御されたアクセスには、各ユーザーの権限を制限するための予防措置が含まれます。さらに、攻撃者がアクセスしたデータを悪用できないように、保存時および転送中の両方でデータを暗号化します。また、不審な活動を早期の段階で見つけるために、ネットワークおよびアカウントを監視し、データ侵害に対処するためのインシデント対応計画を用意することも必要です。これらのコントロールを導入することで、組織はサイバーセキュリティの態勢を改善し、データ保護規制に準拠しやすくなります。