データ分類ポリシーのテンプレート

データ分類ポリシーの例

1. データ分類ポリシーの目的

データ分類を行うべき理由と、それによって得られるべきメリットを説明してください。

本ポリシーの目的は、データの機密性、価値、ならびに組織にとっての重要度に基づいてデータを分類するための枠組みを確立し、機密性の高い企業データおよび顧客データを適切に保護できるようにすることです。

2. ポリシーの範囲

分類が必要なデータの種類を定義し、データの分類、保護、取り扱いについて誰が責任を負うかを明確にします。

このポリシーは、紙の文書や、あらゆる種類の媒体に保存されているデジタルデータを含む、あらゆる形式のデータに適用されます。また、組織の全従業員に適用されるだけでなく、データにアクセスする権限を付与された第三者の代理人にも適用されます。

3. 役割と責任

データ分類の取り組みに関連する役割と責任を説明します。各部門は、それぞれの役割に関連する職務を遂行する責任者となる個人を指定する必要があります。

データ所有者の責任

データ所有者： 自部門または事業部で収集・維持されるデータおよび情報について最終的な責任を負う人物。通常は経営層のメンバーです。データ所有者は、次の事項に対応しなければなりません。

• 見直しと分類: 自部門または事業部で収集されたデータおよび情報を見直し、分類します
• データ分類ラベルの割り当て： データの潜在的な影響度に基づいてデータ分類ラベルを割り当てます
• データの編集／取りまとめ： 複数のソースから取りまとめたデータが、各データが個別に分類されている場合における最も安全な分類レベル（少なくともそのレベル）で分類されるようにします
• データ分類の調整: 部門間で共有されるデータが一貫して分類され、保護されるようにします
• データ分類の遵守 （データの保管担当者と連携して）高および中程度の影響レベルを持つ情報が、連邦または州の規制およびガイドラインに従って保護されるようにします
• データアクセス （データの保管担当者と連携して）各データ分類ラベルに対するデータアクセスのガイドラインを策定します

データの保管担当者の責任

データの保管担当者： IT部門の技術者、または規模の大きい組織では情報セキュリティオフィスの担当者です。データの保管担当者は、組織のデータを保存するシステム、データベース、サーバーの維持管理とバックアップを担当します。さらに、この役割はデータ所有者が定めたすべてのルールの技術的な展開を行い、システム内で適用されるルールが機能していることを確認する責任も負います。データの保管担当者の具体的な責務には、次のようなものがあります：

• アクセス制御： データ所有者が割り当てたデータ分類ラベルに従って、適切なアクセス制御が導入され、監視され、監査されるようにしてください。
• 監査レポート： 分類データの可用性、完全性、および機密性に対応した年次レポートをデータ所有者に提出してください。
• データバックアップ： 状態データの定期的なバックアップを実行してください。
• データ検証： データの完全性を定期的に検証してください。
• データ復元: バックアップメディアからデータを復元します。
• コンプライアンス： 情報セキュリティおよびデータ保護に関する、組織のセキュリティポリシー、標準、ガイドラインに定められたデータ要件を満たしてください
• アクティビティを監視： 誰がどのデータにアクセスしたかを含めて、データのアクティビティを監視し記録してください
• 安全な保管： 保管中の機密データを保存時に暗号化します。ストレージ・エリア・ネットワーク（SAN）管理者の活動を監査し、アクセスログを定期的に確認してください
• データ分類のコンプライアンス （データ所有者と連携して）：影響度が高・中の情報が、連邦または州の規制およびガイドラインに従って保護されるようにします
• データアクセス （データ所有者と連携して）：各データ分類ラベルごとのデータアクセスガイドラインを作成してください

データ ユーザーの責任

データ ユーザー： データ所有者が許可したタスクを実行する目的で、データと相互にやり取りし、アクセスし、使用し、または更新する個人、組織、または主体。データ ユーザーは、意図された目的に一致する方法でデータを使用し、本ポリシーおよびデータの使用に適用されるすべてのポリシーを遵守しなければなりません。

4. データ分類手順

データ分類手順の各ステップを、順を追って説明してください。各ステップを誰が実施するのか、データの機密性をどのように評価するのか、データが既存のカテゴリに当てはまらない場合にどうするのか、などを詳述します。

詳細な手順の例：

1. データ所有者は、自分が責任を負っている各データを確認し、全体的な影響度レベルを以下のとおり判定します。

• 附録Aに記載されている、あらかじめ定義された受限情報のいずれかの種類に一致する場合、データ所有者はその全体的な影響度レベルを「High」とします。
• 附録Aにある、あらかじめ定義された種類のいずれにも一致しない場合、 データ所有者は、この文書の第5章および第6章で示されているガイダンスに基づいて情報の種類と影響度レベルを判断し、 NIST 800-600 Volume 2に従います。3つの影響度レベルのうち最も高いものが、全体的な影響度レベルです。
• 情報の種類と全体的な影響度レベルがそれでも判定できない場合、データ所有者はデータの管理者と協力して問題を解決しなければなりません。

2. データ所有者は、全体的な影響度レベルに基づいて、各データに分類ラベルを割り当てます。

3. データ所有者は、公式のデータ分類テーブルにおいて、各データについて分類ラベルと全体の影響レベルを記録します。記録方法は、データベースまたは紙のいずれでも構いません。

4. データ管理者（データ保管者）は、公式のデータ分類テーブルに記録されている分類ラベルと全体の影響レベルに従って、各データを保護するために適切なセキュリティ対策（セキュリティコントロール）を適用します。

基本的な手順の例：

1. データ所有者は、自分が保有する各データを見直し、 NIST 800-600 Volume 1 のカテゴリに基づいて、各データに情報タイプを割り当てます。

2. データ所有者は、本書の第6章に記載されているガイドを使用して、各データについて各セキュリティ目標（機密性、完全性、可用性）の潜在的な影響レベルを割り当てます。3つのうち最も高いものが全体の影響レベルです。

3. データ所有者は、全体の影響度に基づいて、各データに分類ラベルを割り当てます。:

4. データ所有者は、データ分類テーブルに各データの影響度と分類ラベルを記録します。

5. データ管理者は、分類ラベルと全体の影響度に従って、各データに情報セキュリティ対策を適用します。

5. データ分類ガイドライン

機関が保管する各種類の情報資産について説明し、3つのセキュリティ目標それぞれが与える影響を詳述し、各種類の資産に割り当てる影響度と分類を指定した表を作成します。

この表を使用して、組織で一般的に使用される多くの情報資産について、全体的な影響度レベルおよび分類ラベルを決定してください。

6. 影響度レベルの決定

データの所有者が、達成したいセキュリティ目標と、各目標を達成できなかった場合に組織へどのような影響があるかを説明することで、各データの影響度レベルを判断できるようにするための表を用意してください。

この表を使用して、第 5 章で説明されているいずれの情報タイプにも該当しないデータ資産について、その機密性、完全性、または可用性が失われた場合に会社へ与え得る潜在的な影響を評価してください。そして NIST 800-600 Volume 2。

7. 付録 A

「Restricted（制限）」として自動的に分類し、影響度レベルを「High（高）」に割り当てるべき情報の種類を説明してください。このリストがあると、データ所有者がデータ分類プロセスをより簡単に行えます。

必ず「Restricted（制限）」として分類する情報の種類”

認証情報

認証情報とは、個人、システム、またはサービスの身元を証明するために使用されるデータです。例には以下が含まれます：

• パスワード
• 共有シークレット
• 暗号化プライベートキー
• ハッシュテーブル

電子的保護医療情報（ePHI）

ePHIは、電子媒体に保存される、または電子媒体を通じて送信されるあらゆる保護された健康情報（PHI）と定義されます。電子媒体には、コンピューターのハードドライブに加え、磁気テープやディスク、光ディスク、デジタルメモリカードなどの、取り外し可能または持ち運び可能な媒体が含まれます。

伝送（Transmission）とは、電子的な形式での情報の移動または交換のことです。伝送媒体には、インターネット、エクストラネット、専用回線（leased lines）、ダイヤルアップ回線（dial-up lines）、プライベートネットワーク、または着脱可能もしくは搬送可能な電子記憶媒体の物理的な移動が含まれます。

支払いカード情報（PCI）

支払いカード情報（Payment card information）は、クレジットカード番号に加えて、次のデータ要素のうち1つ以上を組み合わせたものとして定義されます：

• カード所有者名
• サービスコード
• 有効期限
• CVC2、CVV2、または CID の値
• PIN または PIN ブロック
• クレジットカードの磁気ストライプに含まれる情報

個人を識別できる情報（PII）

PII（個人を特定できる情報）とは、個人の名または名の頭文字と姓を、以下のデータ要素の1つ以上と組み合わせたものとして定義されます。

• 社会保障番号（Social Security Number）
• 州政府発行の運転免許証番号
• 州政府発行の身分証明書番号
• その口座へのアクセスを可能にするセキュリティコード、アクセスコード、またはパスワードと組み合わせた金融口座番号
• 医療および/または健康保険情報

8. 変更履歴

データ分類ポリシーへのすべての変更を必ず追跡してください。

このテンプレートはポリシーの枠組みを提供しますが、分類は「データが移動し増えていく間もラベルが正確に保たれている」場合にのみ成り立ちます。 Netwrix Data Classification は、第 4〜6 章で説明している検出とタグ付けの作業を自動化するため、分類が手作業による確認だけに依存することはありません。