情報セキュリティポリシーの承認者は誰？策定・実装・運用の全体像を徹底解説

組織の情報セキュリティを守るうえで、ポリシーの「誰が承認するのか」「誰が策定するのか」「どう実装するのか」を明確にすることは不可欠です。本記事では、情報セキュリティポリシーをめぐる役割分担から、策定プロセス、必要なポリシー一覧、実装手法までを体系的に解説します。

情報セキュリティポリシーの承認は誰が行うのか

情報セキュリティポリシーの最終承認権限は、経営層（シニアマネジメント）にあります。ITセキュリティポリシーは経営層によってレビューされ、承認されなければなりません。事業部門の管理者はポリシー策定の過程に関与すべきですが、承認権限を持つべきではありません。

また、経営層はポリシーを承認した後、それを公開し、従業員および調査に関係する外部関係者へ周知徹底する責任も負います。ポリシー策定においては、ビジネスニーズを反映させるとともに、組織に関連する法令や規制も考慮に入れることが重要です。

取締役会の責任

組織が情報セキュリティガバナンスプログラムを実施する際、取締役会は情報セキュリティマネジメントプログラムの戦略的方向性を定める責任を担います。あわせて、研修およびセキュリティ啓発プログラムの見直しも重要な職務です。

さらに、情報セキュリティ委員会（IRPC）などの評議会が、組織の情報セキュリティプログラム全体を監督し、リスクやポリシーに関する指針を提供するケースもあります。組織リスクの分析・管理はIRPCが担い、ポリシー、手順、標準の審査と提言を行います。

ポリシー策定を主導するCISOの役割

CISO（最高情報セキュリティ責任者）は通常、サイバーセキュリティ計画の策定を統括する立場にあります。その職務には、包括的な情報セキュリティプログラムの監督と実装が含まれます。

• 包括的な情報セキュリティプログラムの確立と実装
• セキュリティ対策について組織全体へのコミュニケーション
• 開発チームによる、組織に損害を与えうるすべてのリスクの特定

結局のところ、セキュリティポリシーの確立・実施、そして組織への浸透は、CISOの責任範囲と言えます。

サイバーセキュリティポリシーの策定プロセス

策定時に盛り込むべき項目

1. パスワードの要件を設定する
2. メールの安全性を確保するための手順を定める
3. 機密データの取り扱い手順を明確化する
4. 技術資産の扱い方に関する基準を設ける
5. SNSやインターネットへのアクセス基準を確立する
6. インシデント発生時の対応体制を整える
7. ポリシーを常に最新の状態に保つ

ポリシーに含めるべき管理措置

サイバーセキュリティポリシーには、導入するセキュリティプログラムを明記する必要があります。例えば、多層防御環境において、エンドポイントをアンチウイルス、ファイアウォール、アンチマルウェア、アンチエクスプロイトソフトウェアで保護するといった具体策の明示が挙げられます。

セキュリティポリシーの3つの種類

1. 組織（マスター）ポリシー：組織全体に適用される基本方針
2. システム固有ポリシー：特定のシステムに適用されるポリシー
3. 課題固有ポリシー：特定の問題に対応するポリシー

セキュリティポリシーの主要構成要素

• ポリシーの目的
• 対象読者（適用範囲）
• 情報セキュリティの目標
• 権限およびアクセス制御ポリシー
• データ分類
• データ関連のサービスと運用
• セキュリティに対する意識と責任ある行動
• スタッフ一人ひとりの権利・責任・義務の一覧

組織に必要な個別ポリシー一覧

組織で適切な情報セキュリティを実現するためには、以下のようなポリシー群が必要です。

• 暗号化および鍵管理ポリシー
• 利用規定（Acceptable Use）ポリシー
• クリーンデスクポリシー
• データ漏洩（インシデント）対応ポリシー
• 災害復旧（DR）計画ポリシー
• 従業員セキュリティポリシー
• データバックアップポリシー
• ユーザーの識別・認証・認可ポリシー

セキュリティポリシーの実装方法

Secure Perspectiveを用いた実装ステップ

1. 保護したいデータタイプをリソースとして特定する
2. Secure Perspective上の各ロールをアクターとして割り当てる
3. 特定したデータ相互作用をアクションとして入力する

セキュリティ意識向上プログラムの展開

1. プログラムの目標と目的を概説する
2. 研修を担当するスタッフを選定する
3. 啓発キャンペーンの対象読者を選ぶ
4. 経営層と従業員双方のモチベーションを高める
5. プログラムを導入する
6. プログラムを維持する
7. プログラムを評価する

ネットワークを安全にするための実践的取り組み

セキュリティ実装の出発点は、現在のセキュリティ環境の状況分析とネットワーク監視です。加えて、同僚やステークホルダーとの協働、セキュリティ対策の設定、動的なセキュリティ文化の醸成が重要になります。DevSecOpsの採用も有効な選択肢です。予算管理と透明性の確保も忘れてはなりません。

ポリシー検証ツールの活用

NISTの最先端の組み合わせテストアルゴリズムを搭載した「Security Policy Tool」を活用すれば、専門家はセキュリティポリシーを体系的かつ迅速にテストでき、99%超のカバレッジを達成できます。

なぜサイバーセキュリティポリシーが必要なのか

サイバー攻撃やデータ漏洩は深刻な結果をもたらしうるため、サイバーセキュリティポリシーは極めて重要です。さらに、従業員はしばしば組織のセキュリティにおける弱点となり得ます。また、機密データを保護できるという組織の能力を、顧客・パートナー・株主・将来の従業員に対して証明することにもつながります。

セキュリティガバナンスにおける主要な役割

セキュリティガバナンスの基本機能として、以下が挙げられます。

• 指示（Direct）：企業戦略に応じたセキュリティ戦略とリスクマネジメントの策定
• 情報のセキュリティを確保するためのポリシー策定
• セキュリティマネジメントのパフォーマンス指標の追跡

情報セキュリティ活動は、法律・規制・組織の方針によって統制されるべきものです。情報セキュリティガバナンスフレームワークを確立し、ガバナンスをシニアマネジメントの情報セキュリティ実装プロセスに組み込むことが求められます。