情報セキュリティポリシー：定義、メリット、ベストプラクティス

組織は、さまざまなニーズに応じて複数の IT ポリシーを作成することがよくあります。たとえば災害復旧、データ 分類、データ プライバシー、リスク評価、リスク管理などです。これらの文書は通常相互に関連しており、意思決定や対応の指針となる価値観を会社が設定するための枠組みを提供します。

組織には、情報セキュリティポリシー（InfoSec policy）も必要です。これは、従業員が IT 資産を適切に扱えるようにするための管理策と手順を提供します。この記事では、情報セキュリティポリシーを作成するメリット、ポリシーに含めるべき要素、成功のためのベストプラクティスについて説明します。

情報セキュリティポリシーとは何ですか？

米国の国立科学技術研究所（National Institute of Science and Technology、NIST）は、information security policyを次のように定義しています。「組織が情報をどのように管理し、保護し、配布するかを規定する指令、規則、規程、ルール、および実践の総体」。

組織によってビジネス上の要件、コンプライアンス上の義務、体制（人員配置）が異なるため、情報セキュリティポリシーの基準や実践方法を誰にでも同じにすることはできません。代わりに、各 IT 部門は自社の特定のニーズに最も適したポリシーの選択を検討し、高位のステークホルダーやパートナーの承認を得られる、分かりやすい文書を作成するべきです。

情報セキュリティポリシー vs データセキュリティポリシー

情報セキュリティポリシーは データセキュリティポリシーと同じものではない、という点に注意することが重要です。むしろ、データセキュリティポリシーは、組織全体の情報セキュリティポリシーの一部（サブセット）です。これは、機密性の高い情報や機微情報、または専有情報などを含み得る、組織のデータ資産の保護と適切な取り扱いに焦点を当てます。本ポリシーでは、組織が機微データを データ漏えい、開示、改ざん、または破壊から守るために用いる、詳細なルール、手順、および実務を示します。

情報セキュリティポリシーとデータセキュリティポリシーの主な違いは次のとおりです。

• 範囲： 情報セキュリティポリシーは、データセキュリティを含む、組織内の情報セキュリティのあらゆる側面を包括します。一方でデータセキュリティポリシーは、関心の対象を、データ（デジタルおよび物理の両方）を、許可されていないアクセス、使用、開示、妨害（ディスラプション）、改変、または破壊から守ることに限定します。
• 具体性： 情報セキュリティポリシーは、一般的な指針と原則を示します。データセキュリティポリシーに含まれる、具体的な詳細や手順までは踏み込みません。
• 対象：情報セキュリティポリシーは、通常、最高レベルのマネジメントやステークホルダーを対象としています。これに対して、データセキュリティポリシーは、データ資産を保護するための具体的な指示を必要とする IT 担当者およびデータ取り扱い担当者にとってより関連性があります。

情報セキュリティポリシーのメリットは何ですか？

情報セキュリティポリシーと手順は、次の理由から不可欠です：

データの機密性、完全性、および可用性を確保する

しっかりしたポリシーを整備することで、データの機密性、完全性、および可用性に対するリスクを特定し、軽減するための標準化されたアプローチが提供されます（CIA triad）。さらに、問題に対する適切な対応手順も含まれます。

リスクを最小化する

情報セキュリティポリシーでは、組織が IT の脆弱性を発見・評価し、脅威を阻止してセキュリティインシデントを防ぐためにどう緩和するかを詳しく説明します。さらに、システム障害や データ侵害 の後に復旧するために用いるプロセスも含まれます。

Netwrix では、組織のデータ侵害を最小化するのに役立つ複数のソリューションを提供しています。これには次のものが含まれます：

• 情報ガバナンス ソフトウェア: このソフトウェアは、データのライフサイクル全体を通じてデータを安全に保つのに役立ちます。データが作成された瞬間から情報を見つけて分類し、その機密度を判断し、公式な記録として保持すべきかどうかを決められます。これにより、組織が必要以上のデータを収集しないように管理し、確実にすることができます。
• データアクセス ガバナンス ソフトウェア: このソリューションは、機密情報を保護し、誰がそれにアクセスできるかを制御することに重点を置いています。構造化データであっても非構造化データであっても、どこにあってもデータを発見して分類します。また、役割に基づいて適切な人だけが特定のデータにアクセスできるようにするほか、許可なく機密データへアクセスしようとするなどの異常な活動も見つけるのに役立ちます。
• ランサムウェア保護ソリューション: このソリューションにより、たとえば「ファイルに対して過剰な権限を持つ人が多すぎる」といった問題を特定できます。さらに、特定のタスクに必要な分だけの権限を持つ一時アカウントを作成することも可能です。加えて、ランサムウェア攻撃が発生している最中に検知できるため、迅速に対応して大きな被害を防ぐことができます。

組織全体でセキュリティプログラムを連携・徹底する

どのようなセキュリティプログラムでも、まとまりのある InfoSec ポリシーを作成する必要があります。これにより、部門ごとに判断が食い違う事態、またはさらに悪いことにポリシーがまったくない部門が生まれてしまうことを防げます。このポリシーでは、有用なセキュリティ機能を実行しない余計なツールやプロセスを組織がどのように特定するかを定めます。

第三者および外部監査人にセキュリティ対策を周知する

セキュリティポリシーを明文化することで、組織は IT 資産やリソースをめぐる自社のセキュリティ対策を、従業員や社内の関係者だけでなく、外部監査人、委託先、パートナー、その他の第三者にも容易に伝えることができます。

コンプライアンス要件を満たす

適切に整備されたセキュリティポリシーを持つことは、組織が complianceの監査を通過するために重要です。HIPAA や CCPAのようなセキュリティ基準および規制に対応するためです。監査員は一般的に、内部統制に関する証拠書類の提出を企業に求めます。情報セキュリティポリシーは、次のような必要なタスクを実施していることを示すのに役立ちます：

• 現在の IT セキュリティ戦略の妥当性を定期的に評価する
• 技術または業務フローにおける脆弱性を特定し、軽減するためにリスク評価を実施する
• データの整合性およびサイバーセキュリティに関して、既存システムの有効性を分析する

Netwrix のコンプライアンス監査ソリューション を利用することで、監査に向けた本来は時間がかかり、ストレスの大きい準備プロセスを効率化できます。コンプライアンス評価の過程で発生し得る想定外の問い合わせにも、効率的かつ迅速に対応できます。さらに、得られるメリットは単なるコンプライアンスにとどまりません。包括的なエンドツーエンドのセキュリティを実現できるためです。

情報セキュリティポリシーを作成する際に、どのような資料を参照すべきですか？

情報セキュリティポリシーの策定は、大きな取り組みになる可能性があります。次のフレームワークは、セキュリティポリシーを開発し、維持する方法に関する情報セキュリティガイドラインを提供しています:

• COBIT: COBITは、セキュリティ、リスク管理、そして 情報 ガバナンスに重点を置いています。特に Sarbanes-Oxley (SOX) コンプライアンス に有用です。
• NIST Cybersecurity Framework: このフレームワークは、リスク 分析 および リスク マネジメント の5つのフェーズ（識別、保護、検知、対応、復旧）に対応したセキュリティコントロールを提供します。公用事業、交通、エネルギー生産などの重要インフラ分野でよく利用されています。
• ISO/IEC 27000: この シリーズ は、国際標準化機構（International Standards Organization）が提供する、最も幅広いフレームワークの1つです。あらゆる種類・規模の組織に合わせて適用でき、さまざまなサブスタンダードは特定の業界向けに設計されています。たとえば ISO 27799 は医療分野の情報セキュリティを扱っており、HIPAA 準拠 が求められる組織に役立ちます。このシリーズの他の標準も、クラウドコンピューティング、デジタル証拠の収集および保管のセキュリティなどの領域に適用できます。

さらに、さまざまな組織が無料の情報セキュリティポリシーテンプレートを公開しており、最初から作り始める代わりに、自社のニーズに合わせて編集して使うことができます。

情報セキュリティポリシーの主要な要素は何ですか？

一般的に、情報セキュリティポリシーには次のセクションを含める必要があります：

• 目的： 情報セキュリティポリシーの目的を明確にします。ポリシーが組織の遵守を支援することを意図している規制や法律があるかどうかを必ず特定してください。
• 適用範囲： ポリシーの対象となるもの（コンピューターやその他のIT資産、データリポジトリ、ユーザー、システム、アプリケーションなど）を詳しく説明してください。
• タイムライン：ポリシーの発効日を指定します。
• 権限：会社の所有者や取締役会など、ポリシーを後援する人物または組織を特定します。
• ポリシーへの準拠：情報セキュリティポリシーが組織の遵守を支援することを意図しているすべての規制（HIPAA、SOX、PCI DSS、GLBA など）を列挙してください。
• 本文：これらの各領域について、手順、プロセス、統制を説明してください：
  • 資産および情報の分類と管理： セキュリティ分類に基づいてデータにタグ付けする方法と、適切なデータ保護を確実にするためにコントロール（統制）を適用する方法を説明してください。
  • 情報の保管：データをどのように保存し、バックアップするか、また保管期間の期限をどのように強制するかを説明してください。
  • 人的セキュリティ：機密保持契約や人員のスクリーニングなど、人的事項に関するセキュリティ手順を詳述してください。
  • アイデンティティおよびアクセス管理：ユーザーのアクセス、特権、およびパスワードに関する管理方針を説明してください。セキュリティ運用担当者による強固な認証が必要である等、ユーザーの役割と責任に基づく特別な要件について必ず記載してください。このセクションでは、ネットワークセキュリティ、アプリケーションのアクセス制御、およびクラウドセキュリティについても扱います。
  • 変更管理およびインシデント管理：ITシステムの機密性、完全性、または可用性に影響を与える可能性のある変更に対応するための手順を定義してください。また、セキュリティ侵害やシステムの誤動作が発生した場合の適切なセキュリティインシデント対応手順と、それらの作業を担当する具体的な人員についても詳述してください。
  • 許容使用ポリシー：個人が、組織のネットワーク、インターネットアクセスの仕組み、デバイスを業務目的および個人用途の両方でどのように使用できるかを説明します。従業員、契約社員、ボランティア、一般の人々など、さまざまなグループごとに異なる点がある場合は、その内容を詳述してください。
  • アンチウイルスおよびパッチ管理：アンチウイルスの更新およびソフトウェアパッチを適用するための手順を指定します。
  • 物理的および環境的なセキュリティ：制御されたアクセス区域の施錠されたドアのように、物理的セキュリティに関して情報セキュリティの基準を設定します。
  • 通信および運用管理：システムの計画・受入、コンテンツのバックアップ、脆弱性管理などの領域に関する運用手順と責任を説明します。
  • 情報およびソフトウェアの交換：外部の関係者とデータまたはソフトウェアを交換する際の適切な手順を概説します。本セクションは、サードパーティと連携して業務を行う組織、または顧客もしくはサードパーティからのデータ要求に対応する必要がある組織に特に関連します。プライバシーポリシーと整合していることを確認してください。
  • 暗号化コントロール：メールの添付ファイルやノートパソコンに保存されたデータを暗号化するなど、セキュリティ目標を達成するために必要な暗号化の用途を指定します。
• ユーザートレーニング：ユーザーが受ける必要のあるセキュリティ意識の研修およびその他のトレーニング内容と、その研修の開発および実施を担当するチームを説明します。
• 連絡先：情報セキュリティポリシー文書の作成および編集を担当する担当者またはチームの名称を記載します。
• バージョン履歴：すべてのポリシー改訂を追跡します。各更新について、日付と作成者を含めてください。

良いセキュリティポリシーを作成するために、どのようなベストプラクティスに従うべきですか？

これらのベストプラクティスに従うことで、効果的な InfoSec ポリシーを作成できます:

• 経営層の承認を得る。 トップリーダーが承認（サインオフ）すれば、そのポリシーの導入と強制がはるかに容易になります。
• 適用されるすべてのセキュリティ規制を列挙する。 業界を規制するすべての規制に精通していることを確認してください。これらはポリシーの内容に大きく影響します。
• システム、プロセス、データを評価する。 文書を作成する前に、組織の現在のシステム、データ、ワークフローを把握しておきましょう。これは、業務側の担当者と密接に連携して進める必要があります。
• 組織に合わせてポリシーをカスタマイズする。 ポリシーが組織のニーズに合っていることを確認してください。ポリシーの目的を明確にし、そのスコープ（適用範囲）を定義するために時間をかけましょう。
• リスクを特定します。 適切なリスク対応手順を示すには、組織が潜在的なリスクを特定する必要があります。多くの組織は、リスク アセスメントを通じてこれを行います。
• 新しいセキュリティ対策に柔軟に対応しましょう。 特定したリスク によっては、組織が新しいセキュリティ対策を導入する必要がある場合があります。
• 手順を徹底的に文書化します。 情報セキュリティポリシーの多くの側面は、そのポリシーが説明している手順に依存しています。場合によっては、従業員がすでにこれらのワークフローを実施しているため、このステップでは単にそれらを書き留めるだけで済みます。いずれにせよ、手順が正確で完全であることを確認するためにテストしてください。
• 全員に教育を行います。 文書として存在するだけのポリシーでは、情報セキュリティは実現できません。すべての従業員が、セキュリティポリシーの内容および コンプライアンス要件と実践について研修を受けられるようにしてください。

FAQ

情報セキュリティポリシーとは何ですか？

情報セキュリティポリシーとは、組織の情報環境を構成するすべての要素を保護するための包括的な戦略を記載した文書です。

情報セキュリティポリシーの策定プロセスには何が含まれますか？

情報セキュリティポリシーの策定プロセスには、作成するポリシーが包括的で効果的であることを確認するために行うすべての段階が含まれます。段階は組織によって異なる場合がありますが、一般的には次の内容が含まれます。

• ポリシーの範囲と目的を定義する
• リスク評価の実施
• ポリシーの定義
• ポリシーの周知
• ポリシーの実装と維持管理
• ポリシーの監視と更新

情報セキュリティポリシーはどこで確認できますか？

組織が InfoSec（情報セキュリティ）ポリシーを保管・保存する、特定の場所や置き場所はありません。これらのポリシー文書を1か所だけに保存している組織もあれば、会社のイントラネット、社内のソーシャルネットワーク、従業員向けハンドブックやマニュアル、Webベースのポータル、物理的な掲示板など、複数の場所に分けて保管している組織もあります。

情報セキュリティポリシーにはどのような5つの要素がありますか？

情報セキュリティポリシーを有効にするには、次の5つの要素を扱う必要があります。機密性、完全性、可用性、認証、否認防止。