ネットワークセキュリティポリシーに含めるべき要素とは？必須項目を徹底解説

ネットワークセキュリティポリシーに含めるべき要素とは？

ネットワークセキュリティポリシーには、以下のような要素を盛り込むことが重要です。

• ポリシーの目的
• 対象となる関係者の範囲
• 情報セキュリティに関する目標
• 認可およびアクセス制御の方針（物理的セキュリティも含む）
• データの分類（機密区分）
• データの保守・運用に関する方針
• セキュリティ意識の向上と安全な行動規範
• 従業員一人ひとりの責任・権利・義務

ネットワークポリシーに含まれるものは？

ネットワークポリシーとは、ネットワークに参加するすべてのメンバーが満たすべき条件、制約、設定、そして接続が許可される（または拒否される）状況を定めたものです。ユーザーやコンピューターは、NPS（Network Policy Server）によって正当に認可された場合にのみ、ネットワークへアクセスできます。

セキュリティポリシーに含まれるものは？

情報セキュリティポリシーは、情報セキュリティ活動全体を網羅するものであるべきです。あらゆる種類のソフトウェア、ハードウェア、物理的環境、人的資源、情報・データを保護対象とします。情報セキュリティは攻撃者との絶え間ないいたちごっこの最中にあるため、継続的な見直しが欠かせません。

セキュリティポリシーの5つの構成要素

セキュリティポリシーの中核となる5つの要素は以下の通りです。

• 機密性（Confidentiality）：許可された者だけが情報にアクセスできること
• 完全性（Integrity）：データが正確かつ改ざんされていないこと
• 可用性（Availability）：必要なときに情報やシステムを利用できること
• 真正性（Authenticity）：情報や通信元が本物であること
• 否認防止（Non-repudiation）：行為の否認を防ぐこと

導入すべきセキュリティポリシーの例

• 暗号化および鍵管理ポリシー
• 利用規定（Acceptable Use Policy）
• クリーンデスクポリシー
• データ漏えい（インシデント）対応ポリシー
• 災害復旧（DR）計画ポリシー
• 従業員セキュリティポリシー
• データバックアップポリシー
• ユーザーの識別・認証・認可に関するポリシー

なぜネットワークセキュリティポリシーが必要なのか

効果的なネットワークセキュリティポリシーは、保護すべきネットワーク資産を明確にし、その安全を守るための方針とガイドラインを定めます。これにより、組織全体で一貫したセキュリティ対策を実施できるのです。

ネットワークセキュリティポリシーとは？その重要性

ネットワークセキュリティポリシーの目的は、コンピューターネットワークへのアクセスに関するガイドラインを定義し、ポリシーの施行方法を決定するとともに、組織のネットワークセキュリティ環境がどのように設計・実装されるかを明示することにあります。

ネットワークポリシーの具体例

前述のような方針は、利用規定、災害復旧、バックアップ、アーカイブ、フェイルオーバーなどのポリシーとして組み込まれます。たとえば、業務目的でネットワークアクセスが必要な従業員は、職務に関連する正当な目的にのみ使用することを誓約する同意書に署名するのが一般的です。

ネットワークポリシーの3つの構成要素とその役割

802.1X認証などで用いられる構成は、サプリカント（要求者）、パススルー認証装置（オーセンティケーター）、RADIUSサーバーの3つの要素で成り立っています。一般的に、ネットワークへ接続しようとするクライアント側がサプリカントと呼ばれます。

ネットワークポリシーとは何を意味するのか

ネットワークポリシーは、ネットワークの振る舞いや相互のやり取りを統制するものです。連邦政府が州や地方に対して国家目標達成のための方針を定めるのと同じように、ネットワーク管理者はビジネス目標を達成するために、ネットワークがどう動作すべきかの方針を定めます。

セキュリティポリシーに含まれる内容

セキュリティポリシーの目的には、次のようなものがあります。

• データおよび情報資産の機密性を維持し、許可された人物のみがアクセスできるようにする
• データの正確性・完全性を保ち、ITシステムの整合性を維持する
• ユーザーが必要なときに情報やサービスへアクセスできる状態を確保する

セキュリティポリシーの種類

セキュリティポリシーは、大きく「技術的ポリシー」と「管理的ポリシー」の2種類に分けられます。管理的なセキュリティポリシーは、技術の設定や利用に関して人々がどう行動すべきかを定め、技術的なセキュリティポリシーは、利便性を考慮して技術がどのように構成されるべきかを記述します。

セキュリティポリシーの例

• 利用規定（Acceptable Use Policy）
• データ漏えい対応ポリシー
• 災害復旧計画
• 事業継続計画（BCP）
• リモートアクセスポリシー
• コンピューターリソースへのアクセス制御

情報セキュリティ管理の5原則

米国では、ユーザーデータを機密性、完全性、可用性、真正性、否認防止の観点から保護することを保証する「情報保証の5本柱（Five Pillars of Information Assurance）」モデルが提唱されています。

情報セキュリティポリシーの3大構成要素

CIAトライアド（CIA三要素）は、機密性（Confidentiality）、完全性（Integrity）、可用性（Availability）という3つの主要コンポーネントからなる情報セキュリティモデルです。セキュリティには多くの構成要素がありますが、それぞれが根本的な目標を表しています。