効果的なクラウドセキュリティポリシーの作り方：ガイドとテンプレート

機密性の高いデータを保存・処理するためにクラウドサービスを利用するあらゆる組織にとって、堅牢なクラウドセキュリティポリシーは不可欠です。クラウドリソースを保護するための明確な基準と手順を定め、データ保護に関わる役割を詳述し、セキュリティを意識した文化を推進することで、安全性が向上します。さらに、文書化されたクラウドセキュリティポリシーを用意しておくことは、一部のコンプライアンス規制や監査の要件にもなっています。

本書は、効果的なクラウドセキュリティポリシーを作成するためのガイダンスを提供します。含めるべきセクションを詳しく説明し、理解を深めるための例も提示しています。組織の固有の法的およびコンプライアンス要件に合わせて、必要に応じて適宜カスタマイズしてください。

クラウドセキュリティポリシーは、より大きなセキュリティ戦略の一部であることを念頭に置いてください。ネットワークセキュリティやデータ保護ポリシーを含む、他のセキュリティポリシーや運用方針と整合し、相互に補完することで、脅威や脆弱性に対する堅牢な防御を実現できます。

クラウドセキュリティポリシーテンプレート

1. 目的

クラウドセキュリティポリシーの作成は、上位の目標と目的を示す「明確な目的」を定義することから始まります。この明確な目的は、組織のニーズおよび規制要件を満たすために、具体的なセキュリティコントロール、手順、戦略を選択する際の基盤となります。これにより、ポリシーが焦点を定め、関連性があり、組織全体のセキュリティ戦略と整合していることが保証され、ポリシーの開発と実装に向けた明確な方向性が示されます。

例

本ポリシーの目的は、クラウドコンピューティングサービスを通じて取り扱われるデータの機密性、完全性、および可用性を保護することです。規制上の要件を遵守し、クラウドコンピューティングの領域におけるセキュリティガイドラインを遵守するための、責任と対策から成る体系的な枠組みを定めます。

1. 適用範囲

クラウドセキュリティポリシーの適用範囲は、そのカバー範囲を明確にします。組織内において、このポリシーが適用されるクラウドサービス、データ、ユーザー、地理的位置、およびセキュリティ管理策を特定します。

例

本ポリシーは、本書の「2.1. Information Types」セクションで定義されているデータを管理するシステムに関するものであり、関連するすべてのクラウドサービスを対象とします。これは、メール、Web アクセス、または業務タスクに日常的に使用されるサーバー、データベース、デバイスに適用され、新規導入および既存導入の両方を含みます。会社の IT サービスに関わるすべてのユーザーは本ポリシーの対象となり、そのセキュリティ管理上の要件は、承認済みのすべてのクラウドシステムに普遍的に適用されます。

2.1. Information Types

本セクションの目的は、提案するポリシーの対象範囲に含まれる情報タイプの包括的な一覧を提供することです。保存および処理するデータには、data classificationに関するベストプラクティスを用いて、正確にラベル付けする必要があります。

例

本ポリシーは、会社の data classification ポリシーに基づいて機密データとみなされるすべての情報に適用されます。本ポリシーで対象となる機密データの種類には、次のものが含まれます。

アイデンティティおよび認証データ

• パスワード
• 暗号化の秘密鍵
• ハッシュテーブル

金融データ

• 請求書
• 給与データ
• 売上データ
• 売掛金データ

専有データ

• ソフトウェアのテストと分析
• 研究開発

従業員の個人データ

• 氏名および住所
• 社会保障番号
• 運転免許証番号
• 身分証明書番号
• 口座へのアクセスを提供するコードまたはパスワードを含む金融口座番号
• 医療および健康保険情報

3. 所有権と責任

このクラウド セキュリティ ポリシーのセクションは、個人およびチームがクラウド リソースを確保する上での役割を理解し、明確な責任体制を確立し、セキュリティ インシデントのリスクを高めるようなギャップを防ぐために不可欠です。

クラウドのセキュリティ アクションおよびコントロールに関連するすべての役割を列挙し、それぞれに紐づく責任を説明してください。リストの作成をどのように始めればよいか分からない場合は、次の質問を検討してください：

• クラウド サービスを利用しており、セキュリティ ポリシーを認識しておく必要があるのは、どの個人またはチームですか？
• クラウド環境におけるセキュリティ設定の構成および保守は、誰が担当していますか？
• クラウドの導入（デプロイ）が、関連するコンプライアンス要件および社内ポリシーに一致していることを、誰が保証していますか？
• クラウドソリューションの選定に関する意思決定の責任者は誰ですか？

例

• クラウドセキュリティ管理者： アクセス管理、暗号化、監視など、クラウド環境内のセキュリティ設定および管理策（コントロール）を構成・維持する責任があります。
• データオーナー： データ分類、アクセス制御、データ保管（レテンション）ポリシーなど、クラウドに保存されている組織のデータに対して責任を負う個人またはチームです。

4. クラウド コンピューティング サービスの安全な利用

本セクションでは、クラウドサービスの適切な利用（acceptable use）に関する要件を概説します。準備するために、各クラウドサービスごとに次の手順を行う必要があります：

• 社内ユーザーと社外ユーザーの両方を含め、サービス利用者を特定します。
• クラウドサービスの種類（SaaS、PaaS、IaaS）を、詳細な仕様とともに文書化します。
• サービスに保存するデータの種類を指定します。
• 暗号化、監視、バックアップなど、必要なセキュリティソリューションと設定内容を詳細に記載します。
• 選択したクラウド プロバイダーに関連する過去のセキュリティ インシデントの履歴をまとめてください。
• 利用可能なセキュリティ認証に関する書類を依頼してください。
• クラウド プロバイダーとのサービス レベル アグリーメント（SLA）およびその他の契約書のコピーを確保してください。

4.1 承認済みサービス

クラウドベースのインフラストラクチャについて、各部門に対応する承認済みサービスのカタログを含めて要約してください。サービス導入を承認するためのプロセスを説明します。未承認のサービスの一覧を含めることも検討してください。

例

第 4.1 項に記載された承認済みのクラウドベースのソリューションのみ使用が許可されます。組織所有のデバイスおよび IT インフラストラクチャの構成要素への無許可のソフトウェア導入は禁止されています。クラウド セキュリティ管理者は使用前にサードパーティのクラウドサービスを承認する必要があり、無許可のサービスは警告の発報およびアクセスのブロックを必ず行わなければなりません。

Infrastructure as a Service (IaaS)

• Amazon Web Services (AWS) — IT 部門
• Microsoft Azure — IT 部門

サービスとしてのソフトウェア（Software as a Service、SaaS）

• Office 365 — 全部門
• Salesforce — 営業・マーケティング部門のみ

5. リスク評価

リスク評価セクションでは、クラウドサービスに関連するセキュリティリスクを特定、評価し、優先順位付けすることに関するパラメータと責任を定めます。

例

クラウド セキュリティ管理者および IT セキュリティ チームは、リスク評価の実施を担当します。リスク評価は次の場合に実施する必要があります。

• 新しいクラウド サービスを導入したとき
• 既存のクラウド サービスに対して大幅なアップグレードまたは更新を行った後
• クラウド サービスの構成に変更が加わった後
• セキュリティイベントまたはインシデントへの対応として
• 既存のすべてのクラウドサービスに対して四半期ごとに

加えて、外部のリスク評価の専門家が6か月ごとにリスク評価を実施します。

6. セキュリティ管理策

このセクションでは、組織の内部セキュリティ管理策と、クラウドサービス提供者が提供する管理策の両方について詳しく説明します。セキュリティ管理策の例には、サーバーへのアクセス権、ファイアウォールのルール、VLAN ACLS、ネットワークのセグメンテーションなどがあります。

コントロールを、アクセス制御、データ保護、インシデント対応、コンプライアンスなどの論理的なカテゴリに整理します。各コントロールの目的とスコープを明確に説明してください。該当する場合、これらのコントロールが満たすのに役立つ規制要件や業界標準（例：ISO 27001、NIST、GDPR）を参照してください。

例

コントロール 23：多要素認証（MFA）

• 説明：クラウドサービスにアクセスするすべてのユーザーに対して MFA を実装し、アクセスを許可する前に複数の認証手段を要求することでセキュリティを強化します。
• 責任：IT セキュリティチーム
• 参照: NIST SP 800-63B、第 5.1 節
• 要件: クラウド リソースにアクセスできるすべてのユーザーは、アクセスを許可される前に組織の MFA システムに登録しなければなりません。許可される MFA の方法には、SMS コード、モバイル アプリ認証、ハードウェア トークン、バイオメトリクスが含まれます。ユーザーには、MFA の方法を正しく設定し使用する方法について、トレーニングとガイドラインが提供されます。アカウント回復などの特定のシナリオでは、MFA を一時的にバイパスすることが許可されます。

6.1. セキュリティ コントロールの評価

セキュリティ コントロールが有効性および脆弱性について定期的に評価される頻度を概説します。

例

クラウド セキュリティ 管理者は、四半期ごとにセキュリティ コントロールの構成を包括的に評価する責任があります。この評価には、すべてのクラウド環境におけるセキュリティ コントロールのすべての設定および構成の確認が含まれます。また、セキュリティ コントロールの弱点を特定するために、失敗したすべてのアクセス試行の事例を調査することも含まれます。

7. セキュリティ インシデントの復旧

このセクションでは、従業員が疑わしい活動およびセキュリティ インシデントをどのように報告すべきか、連絡先の相手やどのチャネルを通じて報告するのかを含めて説明する必要があります。

また、インシデントを重大度、影響、性質に基づいてどのように分類すべきかを概説し、エスカレーションの手順を提示し、セキュリティ インシデントを封じ込める、調査する、被害を軽減する、そして復旧するための手順を説明する必要があります。

インシデント対応チームは明確に定義し、各メンバーの役割と責任を明記する必要があります。また、弁護士、法執行機関、サイバーセキュリティの専門家など、関連する外部の当事者の連絡先情報も含めてください。

例（抜粋）

インシデント対応チーム（IRT）は、クラウド環境に関わるセキュリティインシデントの対応および被害の軽減を担当します。すべての IRT メンバーは、対応への備えとインシデント対応プロセスへの習熟を確実にするため、定期的なトレーニングおよび演習を受ける必要があります。

IRT マネージャーは Alex Smith（alex.smith@email.com、212-121-1234）です。責任：

• インシデント対応プロセスを監督します
• 外部関係者との連絡を調整します
• 規制要件の遵守を確実にします

セキュリティインシデントが発生した場合、次の外部連絡先が関与する可能性があります：

• 法律顧問: XYZ Law Firm (Contact: legal@xyzlawfirm.com)
• 警察・捜査機関: 地元の警察署 (Contact: 911)
• フォレンジック専門家: CyberForensics Inc. (Contact: info@cyberforensics.com)
• サイバーセキュリティの専門家: SecureTech Solutions（連絡先：info@securetechsolutions.com）

8. 意識向上

このセクションでは、セキュリティ研修の対象者、研修の頻度と提供（実施）方法、そして研修を監督する担当者を指定してください。非遵守（不適合）への対応プロセスを説明し、インシデント報告手順を強調してください。進化するセキュリティ脅威やベストプラクティスに適応するため、研修を更新し続けることの重要性を強調します。さらに、完了した研修の記録をどのように維持し、その有効性をどのように測定するのかを詳述してください。

例

• 対象者：クラウド リソースにアクセスするすべての個人には研修が必要です。対象には、従業員、請負業者、第三者のベンダーなどが含まれますが、これらに限定されません。
• 頻度: セキュリティ意識向上トレーニングは、すべての人員に対して年1回実施し、さらに新入社員についてはオンボーディング時に実施するものとします。
• 提供方法: トレーニングは、対象者に応じて、オンラインコース、ウェビナー、対面セッションを組み合わせて提供してもよいものとします。
• 評価: トレーニングプログラムの影響を評価し、改善が必要な領域を特定するため、定期的なクイズや調査を含む有効性評価を実施するものとします。

9. 実施

このセクションでは、セキュリティポリシーがどのように適用（施行）されるのか、不遵守の場合の結果、および適用を監督する責任主体について詳述します。

例

ITセキュリティチームは、人事部門と連携し、定期的な評価を通じてセキュリティポリシーを施行します。ポリシーに従わない、またはテストに不合格となった従業員のアカウントは停止され、アカウントを再度有効化するには、そのアカウントに対するセキュリティトレーニングを合格する必要があります。

10. 関連文書

このセクションでは、セキュリティポリシーに関連するその他の文書を列挙する必要があります。セキュリティ、コンプライアンス、インシデント報告、セキュリティトレーニングに関するポリシーも含めてください。例としては、次のようなものが挙げられます：

• パスワードポリシー
• データ保護ポリシー
• 不遵守（非コンプライアンス）対応手順
• インシデント対応計画

11. 改訂履歴

改訂履歴は、時間の経過に伴ってポリシーに加えられた変更や更新を記録することで、透明性と説明責任を提供します。各ポリシーの変更内容と、その根拠（理由）を必ず記録してください。

例

結論

このクラウドセキュリティポリシーテンプレートは、組織の特定のニーズに合わせた効果的なクラウドセキュリティポリシーを作成するための、しっかりした土台を提供します。ポリシーは、組織が今日そして明日までに機密データを適切に保護できるように、クラウドコンピューティングに関連するセキュリティ上の懸念を、実用的で柔軟な形で扱う必要があります。