ネットワークセキュリティポリシーの作成時に考慮すべきポイントとは？

ネットワークセキュリティポリシーは、組織の情報資産を守るための土台となる重要な文書です。本記事では、ポリシー作成時に考慮すべき点、含めるべき項目、具体的な作成手順、そしてその重要性について詳しく解説します。

ネットワークセキュリティポリシーに含めるべき項目

効果的なネットワークセキュリティポリシーには、以下の要素を盛り込むことが不可欠です。

• 情報セキュリティの目的（目標）
• アクセス制御および権限に関する方針（物理的・論理的セキュリティの両方をカバー）
• データ分類システム
• データに関連するサービスおよび運用
• セキュリティ問題への認識と適切な対応行動
• 各担当者の権利と責任

セキュリティポリシーに求められる要件

セキュリティポリシーの一環として、組織は自らの目標、管理者およびシステム利用者の行動規範、そしてコンピュータシステムとネットワークシステムのセキュリティを保証するためのシステム要件を定義します。これらの要件は、それを満たすための具体的なメカニズムと併せて明記されるべきです。

また、実行可能な基準（スタンダード）とポリシーの両方が重要です。基準は具体的な行動と責任を規定し、ポリシーは全体的な方向性を示します。この2種類の情報を連携させて提供することで、従業員を効果的に支援できます。

セキュリティポリシーの5つの構成要素

機密性（Confidentiality）、完全性（Integrity）、可用性（Availability）、真正性（Authenticity）、否認防止（Non-repudiation）を保証するためには、5つの重要な要素が必要です。

特に、機密性については、データおよび情報資産を許可されていない者と共有したり開示したりしてはなりません。また、堅牢なデータ基盤と、シームレスで正確かつ完全なITインフラストラクチャは、完全性の前提条件となります。さらに、ユーザーが必要な情報やシステムに確実にアクセスできる可用性も欠かせません。

情報セキュリティ管理の基本モデル

CIAトライアドとは

CIAトライアドは、機密性（Confidentiality）、完全性（Integrity）、可用性（Availability）の3要素から構成される情報セキュリティモデルです。情報セキュリティには多くの構成要素がありますが、それぞれが基本的な目標を表しています。

情報保証の5つの柱

米国国防総省は「情報保証の5つの柱」モデルの一環として、ユーザーデータを不正なアクセス、改ざん、開示、破壊から保護することを義務付けています。

ネットワークセキュリティポリシーの作成手順

ネットワークセキュリティポリシーを作成する際は、以下の手順に沿って進めるのが一般的です。

1. ネットワーク資産の把握
2. セキュリティリスクの分析
3. セキュリティ要件の分析とトレードオフの検討
4. 施設のセキュリティ計画の策定
5. セキュリティポリシーの定義
6. 手順書を作成してポリシーを実装
7. 技術面における実装戦略の策定

なお、最初に行うべきは、誰がポリシーに資金を提供し、承認するのか、そして直接影響を受けるのが誰なのかを特定することです。アクセスポリシーでは、経営層、ネットワーク運用者、一般ユーザーそれぞれが何にアクセスできるのかを明確にします。

ネットワークセキュリティポリシー文書（NSP）とは

NSP（Network Security Policy）は、コンピュータネットワークへのアクセスルールの適用方法などを規定し、組織のセキュリティポリシーおよびネットワークセキュリティ環境の基本アーキテクチャを概説する文書です。通常、委員会がこの文書を作成するには数週間を要します。

なぜネットワークセキュリティポリシーが必要なのか

ネットワークセキュリティポリシーは、ネットワーク資産をどのように保護すべきかという方針とガイドラインを規定し、資産にセキュリティリスクが発生することを防ぐ役割を果たします。

また、コンピュータセキュリティ上の脅威などから組織が身を守る方法と、実際に脅威が発生した場合の対応方法を記述するものでもあります。企業のすべての資産と、それらに対する潜在的な脅威を特定することが、セキュリティポリシーの重要な役割です。

ネットワークセキュリティコントロールを明文化することで、組織は外部からの悪意のあるユーザーを排除できるだけでなく、内部の危険なユーザーによるリスクも軽減できます。これは組織全体のセキュリティレベル向上に直結するのです。