データ保護ポリシーテンプレート

文書化されたデータセキュリティポリシーを用意しておくことは、あらゆる組織にとってのベストプラクティスです。特に、カリフォルニア州消費者プライバシー法（CCPA）やEUの一般データ保護規則（GDPR）のような厳格なデータプライバシー法の対象となる組織では、その重要性がさらに高まります。

データセキュリティポリシーは通常、データの暗号化、パスワード保護、アクセス制御などのトピックを扱います。ただし、ポリシーは技術的対策に限定されるべきではありません。機密情報を保護するために使用される管理上の管理策や物理的な管理策も、詳細に記載する必要があります。さらに、そのポリシーではデータ保護に関連する役割と機能についても説明する必要があります。

以下は、組織固有のセキュリティおよびコンプライアンス要件に合わせて自由に適応できる、会社のデータ セキュリティ ポリシー テンプレートです。

データ セキュリティ ポリシー テンプレート

以下は、データ セキュリティ ポリシーに含めるべき主要なセクションと、参考として確認できるデータ セキュリティ ポリシーの例です。

1. 目的

このセクションでは、このポリシーが導入される理由と、運用を開始することで人々が何を期待すべきかを説明します。たとえば：

当社は、機密および機微なデータへのアクセスを制限し、それが紛失または侵害されることを防がなければなりません。いかなるインシデントであっても、当社のお客様に悪影響を及ぼし、非準拠に対する罰則や当社の評判の毀損につながる可能性があるためです。同時に、ユーザーが業務を効果的に遂行するために必要な範囲でデータにアクセスできることを保証しなければなりません。

このポリシーによって、あらゆる悪意あるデータ窃取を完全に排除できるとは想定していません。むしろ主な目的は、ユーザーの認識を高め、偶発的な損失のシナリオを回避することにあります。そのため、データ侵害の防止に関するベストプラクティスを示します。

2. 適用範囲

2.1 適用範囲内

このセクションでは、データソースやデータの種類など、ポリシーの対象となるすべての領域を列挙します。以下は、データ保護ポリシーの「In Scope」セクションのサンプルです：

このデータセキュリティポリシーは、会社の「data classification policy」で機密（sensitive）として定義されたすべての顧客データ、個人データ、およびその他の会社データに適用されます。したがって、本ポリシーは、そのようなデータを取り扱うすべてのサーバー、データベース、IT システムに適用されます。これには、電子メール、Web アクセス、またはその他の業務関連タスクに定期的に使用されるデバイスも含まれます。会社の IT サービスとやり取りするすべてのユーザーも、このポリシーの対象となります。

2.2 適用対象外

このセクションでは、データセキュリティポリシーから除外するものを定義します。たとえば：

Public に分類された情報は、本ポリシーの対象外です。その他のデータについても、データの保護が費用面で負担が大きすぎる、または複雑すぎるなどの特定のビジネスニーズに基づき、会社の管理者がポリシーから除外することができます。

3. ポリシー

これは、すべてのポリシー要件を記載するポリシーの本文です。以下は例です：

3.1 原則

会社は、すべての従業員および契約を結んだ第三者に対し、責任を可能な限り効果的かつ効率的に果たすために必要な情報へのアクセスを提供しなければなりません。

3.2 一般

a. 各ユーザーは、個人が自らの行為に対して責任を負えるようにするため、唯一のユーザーIDによって識別されなければなりません。

b. 共有ID（shared identities）の使用は、トレーニング用アカウントやサービスアカウントなど、適切な場合に限り許可される。

c. 各ユーザーは、このデータセキュリティポリシーを読み、アクセス条件を理解していることを示す声明書に署名しなければならない。

d. ユーザーのアクセス記録は、セキュリティインシデント調査の根拠（証拠）を提供するために使用され得る。

e. アクセスは least privilege の原則 に基づいて付与されるものとし、これは、各ユーザー、アプリケーション、サービスに対して、そのタスクを完了するために必要な最小限の権限のみを付与することを意味する。

3.3 アクセス制御の認可

会社の IT リソースおよびサービスへのアクセスは、固有のユーザー アカウントと複雑なパスワードを通じて付与されます。アカウントは、人事（HR）の記録に基づいて IT 部門が提供します。

IT サービスデスクはパスワードを管理します。パスワードの長さ、複雑性、および有効期限に関する要件は 会社のパスワード ポリシー に記載されています。

役割ベースのアクセス制御（RBAC）を使用して、Active Directory ドメイン内のすべてのファイル ベース リソースへのアクセスを保護します。

3.4 ネットワーク アクセス

a. すべての従業員および請負業者には、業務上のアクセス制御手順および最小権限の原則に従ってネットワーク アクセスが付与されます。

b. 会社のネットワークにリモートアクセスするすべての従業員および請負業者は、VPN認証メカニズムのみを使用して認証されなければならない。

c. ネットワークの分離は、会社のネットワークセキュリティ研究で推奨されるとおりに実施しなければならない。ネットワーク管理者は、必要な分離を達成するため、情報サービス、ユーザー、および情報システムを適切にグループ化しなければならない。

d. アクセス制御ポリシーを支援するために、ネットワークのルーティング制御を実装しなければならない。

3.5 ユーザーの責任

a. 不正アクセスのリスクを低減するため、すべてのユーザーは席を外すときは必ず画面をロックしなければならない。

b. すべてのユーザーは、退勤（席を離れる）際に、機密情報やセンシティブな情報が作業場所に残らないようにしなければなりません。

c. すべてのユーザーはパスワードを機密として保持し、共有してはなりません。

3.6 アプリケーションおよび情報アクセス

a. 会社のすべての従業員および契約者には、職務上の責任を果たすために必要なデータとアプリケーションへのアクセスが付与されなければなりません。

b. 会社のすべての従業員および契約者は、業務上の必要性があり、かつ上位の経営者の承認を得ている場合に限り、機密性の高いデータやシステムにアクセスするものとします。

c. 機密性の高いシステムは、物理的または論理的に分離し、アクセスを承認された人員のみに制限しなければならない。

3.7 機密情報または制限情報へのアクセス

a. 「機密（‘Confidential’）」または「制限（‘Restricted’）」に分類されたデータへのアクセスは、データセキュリティポリシーまたは上位管理者によって定められたとおり、その職務上の責任によりアクセスが必要とされる承認された人員に限定しなければならない。

b. アクセス制限を実施する責任は、IT セキュリティ部門にある。

4. 技術ガイドライン

データ保護ポリシーテンプレート内の技術ガイドラインには、データへのアクセスを許可するために使用する技術的統制に関するすべての要件を明記する必要があります。以下は例です：

使用するアクセス制御の方法には、次のものを含める必要があります：

• 社内ネットワーク上の任意のデバイスへのログオン試行の監査
• ファイルおよびフォルダーに対する Windows NTFS のアクセス許可
• ロールベースのアクセスモデル
• サーバーへのアクセス権限
• ファイアウォールの権限
• ネットワークゾーンと VLAN ACL
• Web 認証の権限
• データベースへのアクセス権限と ACL
• 保存データおよび転送データの暗号化
• ネットワーク分離

アクセス制御は、すべてのネットワーク、サーバー、ワークステーション、ラップトップ、モバイル端末、Web アプリケーション、Web サイト、クラウドストレージおよびサービスに適用されます。

5. 報告要件

このセクションでは、発生したあらゆるインシデントを報告するための要件について説明します。すべての従業員は、インシデントを報告する方法を学ぶことが求められるべきです。

a. 日次のインシデント報告書は、IT Security 部門または Incident Response Team により作成されなければならない。

b. IT Security 部門は、すべてのインシデントを詳細に記載した週次レポートを作成し、それを IT マネージャーまたはディレクターに送付しなければならない。

c. IT Security 部門によって発見された高優先度のインシデントは、直ちに IT マネージャーへエスカレーションしなければならない。

d. IT Security 部門は、IT セキュリティのインシデント件数と解決された割合を示す月次レポートも作成しなければならない。

6. 所有権と責任

ここでは、何の所有者が誰であるか、また、どのアクションやコントロールに誰が責任を負うのかを明記してください。一般的な役割は次のとおりです。

• データ所有者 は、役員、部門マネージャー、チームリーダーなど、自分が所有する情報の維持管理について主たる責任を負う従業員です。
• 情報セキュリティ管理者 は、IT管理部門によって指名された従業員であり、特定の情報リソースに関するセキュリティ手順やシステムの導入、監督、および調整を行うための管理面での支援を提供します。
• ユーザー には、従業員、受託者、請負業者、コンサルタント、臨時従業員、ボランティアなど、情報リソースにアクセスできるすべての人が含まれます。
• インシデント対応チーム は役員が議長を務め、IT インフラ、IT アプリケーションセキュリティ、法務、金融サービス、人事などの部門の従業員を含めるものとします。

7. 実施

本段落では、アクセス制御違反に対する罰則を明確に記載し、誤解の余地がないようにする必要があります。たとえば：

このポリシーに違反していることが判明したユーザーは、懲戒処分の対象となり、雇用の終了を含む場合があります。第三者のパートナーまたは請負業者についても、違反が判明した場合は、ネットワーク接続が停止される可能性があります。

8. 定義

本段落では、ポリシーで使用される技術用語を定義し、読者がその意味を正確に理解できるようにする必要があります。以下に例を示します：

• アクセス制御リスト（ACL）： アクセス制御エントリ（ACE）の一覧です。ACL 内の各 ACE は、トラスティ（trustee）を識別し、そのトラスティに対して許可、拒否、または監査されるアクセス権限を指定します。
• データベース： コンピューターシステム上で、一般的に電子的に保存され、アクセスされるデータの、整理された集合です。
• 暗号化： メッセージやその他の情報を、許可された当事者のみがアクセスできるように符号化することです。
• ファイアウォール：あるネットワークを別のネットワークから隔離するために用いられる技術です。ファイアウォールは単体で設置することも、ルーターやサーバーなどの他のデバイスに組み込まれている場合もあります。
• ネットワーク分離： ネットワークを、ゾーン（zones）と呼ばれる論理的または機能的な単位に分割することです。分離により、脅威主体がネットワーク内を横方向に移動することを防ぐのに役立ちます。
• ロールベースのアクセス制御（RBAC）： ユーザーの職務（職務機能）に基づいて権限を付与するためのモデルです。
• サーバー： クライアントと呼ばれる、他のプログラムやデバイスに対して機能を提供するコンピュータプログラムまたは装置です。
• 仮想プライベートネットワーク（VPN）： 公衆ネットワークを介して確立される安全なプライベートネットワーク接続です。
• VLAN（仮想LAN）： 同じブロードキャストドメイン内のデバイスを論理的にグループ化したものです。

9. 関連ドキュメント

このセクションでは、ポリシーに関連するすべてのドキュメントを一覧表示し、それらへのリンクを提供します。このリストには、次の情報へのリンクが含まれる場合があります。

• データ分類ポリシー
• パスワードポリシー
• データ損失防止ポリシー
• 暗号化ポリシー
• インシデント対応ポリシー
• ワークステーションのセキュリティポリシー
• データ処理契約

10. 改訂履歴

データ保護ポリシーは、ビジネスに新たな資産や業務が追加されるたびに、定期的に見直し、対象範囲を拡大する必要があります。以下に示すように、すべての変更内容を文書化してください。

結論

これらのデータ保護ポリシーの例は、組織に適した独自のポリシーを作成するための枠組みを提供することを目的としています。強力なデータ保護と、ユーザーの生産性および利便性のバランスを取るよう努め、さらに、そのポリシーがアクセスしやすく、簡潔で、理解しやすいことを必ず確認してください。