ネットワークセキュリティポリシーとは？重要性・構成要素・種類を徹底解説

ネットワークセキュリティポリシーとは何か

ネットワークセキュリティポリシーとは、組織のコンピューターネットワークへのアクセスに関するガイドラインを定め、ポリシーの適用方法を決定し、ネットワークセキュリティ環境の設計・実装の方針を明示する文書です。効果的なネットワークセキュリティポリシーには、保護すべきネットワーク資産と、その安全性を確保するためのルールや指針が明記されています。

ネットワークセキュリティポリシーが重要な理由

情報を最も重要な資産と考える組織にとって、ネットワークセキュリティポリシーの策定は成功の鍵となります。このポリシーでは、セキュリティ上の脅威への対応、ITセキュリティの脆弱性を緩和する方法、ネットワーク侵入からの復旧手順が定義され、従業員に対して許容される行動と禁止される行動の指針が示されます。

さらに、従業員一人ひとりのセキュリティ意識を高めることで、企業が重要データの保護に真剣に取り組んでいる姿勢を内外に示すことにもつながります。

セキュリティポリシーの意味とは

セキュリティポリシーとは、組織やシステムなどの対象において「セキュリティとは何か」を定義するものです。組織においては、メンバーの行動に対する制約や、ドア・錠前・鍵といった物理的・技術的手段による防御のあり方などを扱います。

ネットワークセキュリティポリシーに含めるべき項目

ネットワークセキュリティポリシーには、以下のような項目を盛り込むことが推奨されます。

• 既知のリスクへの対策
• インシデント発生時の復旧手順
• システムの冗長化（冗長性の確保）
• ネットワークやシステムの問題を報告するための連絡先情報
• 本番ネットワークに接続するルーターやスイッチの設定方針

ネットワークセキュリティポリシーの主な種類

• ファイアウォールによる通信制御（送受信トラフィックの管理）
• ネットワークセグメンテーション（ネットワーク分割）
• VPNによるリモートアクセス
• メールセキュリティ
• DLP（Data Loss Prevention：データ損失防止）システム
• 侵入防止システム（IPS／IDS）
• アプリケーションのサンドボックス化
• ハイパースケール環境におけるネットワークセキュリティ

ネットワークポリシーの具体例

ネットワークポリシーには、利用規定（Acceptable Use）、災害復旧（Disaster Recovery）、バックアップ、アーカイブ、フェイルオーバーなどが含まれます。例えば、業務目的でネットワークへのアクセスが必要な従業員は、「職務に関連する正当な目的にのみ使用する」という内容の同意書に署名することが求められます。

セキュリティポリシーが果たす役割

セキュリティポリシーは、貴重な情報や知的財産を保護するために、従業員の責任を明確に定義します。なぜ情報を保護しなければならないのか、どのように保護すべきなのかも明示します。

Canavan（2006年）の定義によれば、セキュリティポリシーの目的は、人と情報を保護し、ユーザーに許容される行動を定義し、違反があった場合の結果を決定することにあります。組織はセキュリティポリシーを通じて、自らの目標と戦略を明確に示すことができるのです。

セキュリティポリシーの定義方法

セキュリティポリシーは、コンピューターセキュリティ上の脅威から組織を守るための複数の手法や、問題が発生した際の対処法を概説するものです。組織のセキュリティポリシーには、すべての資産と、それらが直面する脅威を網羅的に特定しておく必要があります。

セキュリティポリシーの3つの類型

セキュリティポリシーは、セキュリティに関する会社の目標、ニーズ、範囲、責任を定義する上位レベルの文書です。ポリシーは大きく分けて以下の3種類に分類できます。

• 組織（マスター）ポリシー・従業員向けポリシーなどの共通ポリシー
• 特定のシステムに適用されるポリシー
• 特定の課題に特化したポリシー

セキュリティポリシーの実例

• 利用規定（Acceptable Use Policy）
• データ漏えいインシデント対応ポリシー
• 災害復旧計画（DRP）
• 事業継続計画（BCP）
• リモートアクセスポリシー
• コンピューターリソースへのアクセス制御