セキュリティポリシー：概要、種類、主要コンポーネント

「security policy」という言葉を聞くと、サイバー攻撃やマルウェア、 data breach など、いろいろなものが頭に浮かぶかもしれません。組織がセキュリティポリシーを作る理由はいくつかありますが、組織のセキュリティポリシーは、デジタル資産だけでなく物理的資産も同様に保護することを対象としています。

では、セキュリティポリシーとは何でしょうか？端的に言うと、セキュリティポリシーとは、組織の物理的資産とデジタル資産へのアクセスに関する事項を扱う「書面の文書」です。National Institute of Standards and Technology（NIST）によれば、セキュリティポリシーは 組織が何を行う必要があるのか、そして なぜそれが必要なのかを明確にします。とはいえ、これらのポリシーは どのように実現すべきかといった具体的な詳細までは踏み込みません。どのようには、状況や利用している技術によって変わり得るからです。

この記事では、セキュリティポリシーの主要な要素と、組織が導入できるさまざまな種類のセキュリティポリシーについて説明します。さらに、セキュリティポリシーの例を提示し、セキュリティポリシーに関してよくある質問にも回答します。

セキュリティポリシーの主要な構成要素

セキュリティポリシーには、次の重要な構成要素を含める必要があります:

ポリシーの目的

各セキュリティポリシーは、1つの特定の主題のみを対象とするべきです。目的のセクションでは、なぜそのセキュリティポリシーが存在するのか、そして何を管理（統制）するのかを説明します。ポリシー文をどのように書くべきか、またどのくらいの長さにすべきかについて、厳格な決まりはありません。最も重要な基準は、セキュリティポリシーの基本的な目的を、効果的かつ明確に言い表していることです。

必要に応じて、このセクションにはポリシーに関する追加の背景情報を含めることができます。たとえば、ポリシーが回避することを目的としている特定の問題を説明したり、組織が満たす必要のあるコンプライアンス要件を列挙したりすることがあります。

適用範囲と適用条件

さまざまな種類のセキュリティポリシーは、セキュリティの異なる側面をカバーします。そのため、セキュリティポリシーの範囲——ポリシーが何を含め、何を含めないのか、またそのルールが適用される場所／されない場所——を必ず詳細に記載することが不可欠です。

このセクションでは、セキュリティポリシーが適用される対象（すべての従業員、請負業者、第三者ベンダーなど）も定義する必要があります。

ポリシーのガイドライン

これはポリシーの本文です。さまざまな関係者（従業員、請負業者など）が「すべきこと／すべきでないこと」を明確に列挙する必要があります。

ガイドラインは特定の技術に依存しないものにすべきです。そうすることで、組織が別のアプリケーション、プラットフォーム、またはデバイスに切り替えても、ポリシーの内容が引き続き関連性を持ち、実行可能な状態を保てます。ただし、ビジネスプロセス、外部リスク、またはコンプライアンス要件に変化がある場合には、ポリシーのガイドラインは通常更新が必要になります。

ポリシーの遵守

ポリシーは、それに関連付けられたフィードバックメカニズムの良し悪しと同じくらいの価値しかありません。基本的に、このセクションでは次の2つの質問に答える必要があります。「ポリシーが機能しているかどうか、どのように判断するのか？」そして「ポリシーに適合しない出来事が起きたとき、どのように把握するのか？」

このセクションには、例外処理のためのガイドラインが含まれる場合もあります。たとえば、例外を承認すべき担当者が誰か、また例外に設ける期限要件を列挙しておくことがあります。

不遵守に対する結果を明確にした正式な声明を含めることもできます。政策にこの種の声明を追加する必要がある場合は、人事チームに相談してください。

役割と責任

セキュリティポリシーでは、セキュリティポリシーや手順に関連し、それらに責任を持つさまざまな役割を特定することもできます。Auditor や CSO のような一般的な役割を定義する必要はありません。ポリシーに固有の役割だけを定義してください。例は次のとおりです。

• 「data security policy」では、データキュストディアンの役割を定義する必要がある場合があります。
• インシデント対応ポリシーでは、セキュリティインシデント対応チームの役割を定義する場合があります。

関連するポリシーおよび手順

これは任意のセクションで、他の関連ポリシーを参照することができます。たとえば、リモートアクセスのポリシーでは、紛失したネットワークアクセスを復元し、忘れたパスワードをリセットする方法を説明するパスワード管理ポリシーの該当箇所を参照することがあります。

このセクションには、次の内容を詳しく説明する具体的な手順へのリンクも含めることができます。どのようにポリシーを実施すべきか。

ポリシーの見直しと更新

最後に、各ポリシーには、いつ、どのように見直しおよび更新を行うかについて明確な記述を含める必要があります。セキュリティポリシーの作成は、一度きりのプロジェクトではありません。脅威が進化し、組織が変化するのに伴って、ポリシーもそれに合わせて更新されるべきです。したがって、ポリシーの見直しと更新の実施方法、およびその頻度をあらかじめ整理しておく必要があります。

セキュリティポリシーの種類

組織の運用やミッションに応じて、利用できるセキュリティポリシーにはいくつかの種類があります。SANS のように確立された情報源は、セキュリティポリシーを作成するための有益なガイダンスやテンプレートを提供しています。

組織が作成する可能性のあるセキュリティポリシーの例をいくつか紹介します：

情報セキュリティポリシー

情報セキュリティポリシーは、組織全体のセキュリティポリシーの土台です。データ、技術、そして人を含む情報のあらゆる側面が保護されることを確実にしながら、一貫した連携のとれたセキュリティ活動のための枠組みを提供します。

データセキュリティポリシー（データ保護ポリシー）

データセキュリティポリシーは、サイバー攻撃の主要な標的となる機密性の高いデータや機密データを保護するうえで不可欠です。これにより、そのデータが適切に取り扱われ、組織が GDPR および HIPAA のようなデータ保護に関する法律を遵守できるようになります。また、データの機密性・完全性・可用性を維持するために、データがどのように収集、保存、処理、共有されるかを扱います。

データ分類ポリシー

「データ分類ポリシー」は、組織が取り扱うデータをどのように分類するのかを示します。これにより、使用中のデータの種類を全員が理解でき、データの取り扱いに関するルールを整理して提示するとともに、データを適切に保護するための適切な対策が整っていることを確認するのに役立ちます。

データ分類ポリシーは通常、データを目的と機密性（センシティビティ）に基づいて整理します。データの目的とは、そのデータをなぜ保有しているのか、そして何のために使用するのかを指します。機密性は、そのデータが組織の業務、評判、法的責任にとってどれほど重要かを見ます。

リスクアセスメントポリシー

このポリシーは、組織の運用および資産に関連するリスクを特定、評価、管理する方法を定義します。通常、次の詳細が強調されます:

• 潜在的なリスクを特定し、カタログ化するための方法と手順
• 特定されたリスクの潜在的な影響と可能性を評価するための基準とプロセス
• リスクが特定され評価された後に、それを低減、緩和、または移転するための戦略
• リスク評価を実施し、リスクを評価し、緩和策を実施する責任者は誰か
• 報告書の頻度や形式を含め、リスク評価の結果が関連するステークホルダーにどのように共有されるか
• 状況、技術、脅威が変化することに適応するため、リスク評価はどれくらいの頻度で実施され、どれくらいの頻度で見直しおよび更新されるか

インシデント検知ポリシー

このポリシーでは、組織内でセキュリティインシデントを検知するために使用する手順とツールを概説します。セキュリティ上の侵害、またはデータ侵害を早期に検知し、封じ込めるために不可欠です。インシデントの種類、インシデント検知における役割と責任、および侵入検知システム（IDS）、ログ監視、その他のツールの使用方法を定義します。

従業員のセキュリティ意識およびトレーニング方針

従業員は、サイバーセキュリティの脅威に対する防衛の最前線であることがよくあります。したがって、従業員のセキュリティ意識およびトレーニング方針は、セキュリティインシデントの管理と予防に不可欠です。この方針では、従業員に対してセキュリティのベストプラクティス、リスク、そして安全な職場環境を維持するうえでの責任を教育します。また、トレーニングの要件、トピック、および頻度を示します。さらに、従業員のセキュリティ意識をテストするための施策が含まれる場合もあります。

パスワード管理方針

強固なパスワードの運用は、パスワードを安全に管理することで、機密情報やシステムを不正アクセスから保護するのに役立ちます。パスワードの複雑性要件、有効期限ポリシー、アカウントのロックアウト規則、安全な保管方法などを含みます。

多要素認証（MFA）を導入している組織では、パスワード管理は、より包括的なユーザー認証方針の一部として位置づけられることがあります。この方針では、どのシステムやプロセスを MFA で保護する必要があるかを指定し、例外があればそれを列挙します。

リモートアクセス ポリシー

リモートアクセス ポリシーは、従業員がオフィス外から貴社のネットワークやリソースにアクセスする方法についてのルールと手順を示します。誰がリモートアクセスの対象となるかに加えて、リモートデバイスに対する認証方法、暗号化要件、セキュリティ対策も定義します。

メール ポリシー

メールはビジネス上で最も一般的なコミュニケーション手段であり、メールには機密性の高いデータが含まれることがよくあります。したがって、セキュリティ、プライバシー、コンプライアンスに関するメール関連のリスクから保護するためのメール ポリシーを設けることが不可欠です。メール ポリシーでは、メールの利用ガイドライン、暗号化要件、機密情報の取り扱い、許容されるメール運用を定めます。

BYOD（Bring-Your-Own-Device）ポリシー

本ポリシーは、業務目的での個人端末の使用を規定します。端末のセキュリティ要件、データへのアクセスおよび保存に関するルール、ならびに端末管理に対する責任を定めます。

許容使用ポリシー

許容使用ポリシーは、ネットワークのセキュリティを維持し、法的な責任から組織を守り、従業員が資源を責任をもって利用できるようにするのに役立ちます。インターネットの利用、ソフトウェアのインストール、ソーシャルメディアへのアクセスなどの私的利用といった、組織のコンピューター、ネットワークおよびその他のリソースに関して、許容される行為と許容されない行為を示します。

バックアップポリシー

バックアップは、データ損失、システム障害、セキュリティインシデントから復旧するために重要です。そのため、定期バックアップに関する組織の戦略を定義するポリシーを用意しておくことが不可欠です。このポリシーでは、バックアップの頻度、バックアップ対象となるデータまたはシステムの種類、保存場所、バックアップの保管期間を定めます。

ディザスターリカバリーポリシー

適切に定義されたディザスターリカバリーポリシーは、事業を再開するための手順と戦略を定めることで、災害発生時にダウンタイムやデータ損失を最小限に抑えるのに役立ちます。データおよびシステムの復旧に加え、復旧活動中の役割と責任も対象とします。

まとめ

組織によっては、セキュリティのあらゆる側面を1つのセキュリティポリシードキュメントにまとめるところもあります。別の組織では、セキュリティの各側面ごとに個別のポリシードキュメントを作成します。どちらのアプローチを選んでも、ポリシーが実行可能であり、検証できることを確認してください。

ポリシーを作成するだけでは不十分であることを忘れないでください。変化し続けるセキュリティ上の脅威や技術に適応するためには、効果的な実装、施行、そして定期的な見直しが欠かせません。従業員の関与を促し、研修を提供し、セキュリティ意識の高い文化を育むことも、セキュリティポリシーに掲げた目標を達成するうえで同様に重要です。

よくある質問（FAQs）

セキュリティポリシーとは何ですか？

セキュリティポリシーは、組織がデジタル資産と物理資産を守るための方針を示す基盤となる文書です。

セキュリティポリシーには何を含めるべきですか？

セキュリティポリシーには、組織が資産を保護し、管理するために役立つ情報を含めることができます。ただし、ほとんどのセキュリティポリシーには次の構成要素が含まれます。

• 目的
• 範囲
• コンプライアンス要件
• 見直しおよび更新スケジュール

セキュリティポリシーの例にはどのようなものがありますか？

セキュリティポリシーの例には次のものがあります。

• 情報セキュリティポリシー
• データセキュリティポリシー（データ保護ポリシー）
• データ分類ポリシー
• リスク評価ポリシー
• インシデント検知ポリシー
• 従業員の認識向上および研修ポリシー
• パスワード管理ポリシー
• リモートアクセスポリシー
• メールポリシー
• 私物端末持ち込みポリシー
• 利用可能ポリシー
• バックアップポリシー
• ディザスタリカバリーポリシー

セキュリティポリシーの主な目的は何ですか？

セキュリティポリシーの主な目的は、ネットワークセキュリティの枠組みと一連のガイドラインを確立し、組織がデータ、システム、人員、および物理的リソースを含む資産をどのように保護するかを定義することです。