サイバーセキュリティポリシーとは、従業員が会社のシステム、アカウント、デバイス、およびデジタルデータをどのように保護すべきかを、小規模企業が明確に説明するための基本となる文書です。
どのような慣行が許可されているか、従業員が避けるべきことは何か、誰がどの決定に責任を持つか、問題が発生したときに何が起こるかといった疑問に答えることで、セキュリティをばらばらのアドバイスから共有された期待へと変えます。
このガイドは、お客様の小規模ビジネス向けのサイバーセキュリティポリシーを作成または見直すための実践的なフレームワークを提供します。これを出発点のテンプレートとして使用し、各セクションをお客様のツールやリスクに適応させ、ポリシーを実行しやすい運用管理策に接続することができます。
サイバーセキュリティポリシーのテンプレート：9つの主要セクション
Proton Pass for Businessがポリシーの適用をどのようにサポートするか
サイバーセキュリティポリシーとは何ですか？
サイバーセキュリティポリシーとは、お客様のビジネスが情報、システム、デバイス、アカウントをサイバー脅威(新しいウィンドウ)からどのように保護するかを定義する文書です。マネージャーや管理者を含む従業員や請負業者が、日常の業務において行うべきことを説明する必要があります。
強力なポリシーは、決定が曖昧なときに実際に参照できるものである必要があります。次のような疑問に答えるものであるべきです：
- どのパスワードとアカウントに特別な保護が必要ですか？
- 従業員は私用のデバイスを業務に使用できますか？
- 機密データはどこに保管すべきですか？
- ビジネスシステムへのアクセスを承認できるのは誰ですか？
- 侵害が疑われる場合、どのように対応すべきですか？
- ポリシーはどのくらいの頻度で見直されますか？
- 誰かが退職したとき、アクセス権はどうなりますか？
中小企業にとって、最も優れたサイバーセキュリティポリシーは、憶測を排除できるよう短く、クリアで、具体的なものです。
小規模ビジネスにサイバーセキュリティポリシーが必要な理由
サイバーセキュリティポリシーは、お客様のビジネスに三つの方法で役立ちます：
期待を明確にする：従業員は、何が許可され、何が要求され、何に承認が必要であるかを知ることができます。
責任の明確化：アクセス、デバイス、データの取り扱い、およびインシデント対応にクリアな所有者が定義されていれば、セキュリティが個人の記憶に依存することはなくなります。
コンプライアンスと顧客の信頼をサポート：GDPRなどのデータ規則に準拠するには、お客様のビジネスがリスク分析、組織的なポリシー、技術的な対策などの適切な技術的および組織的対策を用いて、個人データを安全に処理する必要があります。
書面による情報セキュリティポリシーは、お客様のビジネスがそれらの責任を考慮し、リスクを軽減するための管理策を作成したことを示すのに役立ちます。
ProtonのSMBサイバーセキュリティレポートは、これが小規模なチームにとってなぜ重要であるかを裏付けています。中小企業は、大企業と同じようなリソースを持たずに、現実的なセキュリティリスクに直面することがよくあります。実践的なポリシーは、これらのチームに基本を優先し、それを繰り返す方法を提供します。
サイバーセキュリティポリシーのテンプレート：9つの主要セクション
以下の構成をサイバーセキュリティポリシーのテンプレートとして使用してください。すべてのセクションを過度に長くする必要はありません。目的は、ルールを定義し、所有権を割り当て、従業員がそれをどのように適用すべきかを説明することです。
1. ポリシーの目的と範囲
まず、ポリシーが存在する理由と、それが誰に適用されるかを説明することから始めます。このセクションは、ポリシーが「ITシステム」またはフルタイムの従業員にのみ適用されると人々が想定するという、よくある問題を防ぎます。
テンプレートのコピー：
このサイバーセキュリティポリシーは、[Company Name]がビジネスシステム、アカウント、デバイス、およびデータをどのように保護するかを定義します。これは、会社の情報やシステムにアクセスする従業員、請負業者、一時雇用者、およびサードパーティに適用されます。
範囲には、会社所有のデバイス、承認されたクラウドサービス、ビジネスアカウント、リモートワーク環境、業務に使用される個人用デバイス、およびベンダーへのアクセスを含める必要があります。
2. 利用規定ポリシー
利用規定セクションでは、従業員が会社のシステムやアカウントをどのように使用できるかを説明します。
以下をカバーする必要があります：
- 承認されたビジネスソフトウェアおよびサービス
- 未承認のアプリまたはブラウザ拡張機能に対する制限
- ファイルおよびソフトウェアのダウンロードに関するルール
- 会社のメールおよびメッセージングの使用
- 会社所有デバイスの私的使用
- 承認なしでのアカウントの共有やセキュリティ管理のバイパスなどの禁止行為
このセクションは実用的な内容にしてください。技術的な言語を解釈する必要なく、従業員が日常のどの選択肢が許容されるかを理解できる必要があります。
テンプレートのコピー：
従業員は、会社の業務に承認されたビジネスシステムを使用する必要があります。 [role/team]によって承認されていない限り、未承認のアプリ、個人用ストレージアカウント、および無許可のブラウザ拡張機能を使用して、会社のデータを保管、処理、または共有してはなりません。
3. パスワードおよびアクセス管理の要件
管理者コントロールを考慮に入れることが重要です。ポリシーは、誰がアクセス権を持つべきか、いつ二要素認証（2FA）が必要か、そしてオフボーディングがどのように機能すべきかを定義できますが、チームには依然としてこれらのルールを適用するための運用方法が必要です。Proton Pass for Businessのようなビジネス向けパスワードマネージャーは、その管理パネルを通じてそれをサポートします。管理パネルでは、お客様のチームがアクセスを管理し、ポリシーを適用し、アクティビティを見直し、非公式なパスワード処理への依存を減らすことができます。
お客様のポリシーには、以下を明記する必要があります：
- 業務用のパスワードは一意で強力なものである必要があります。
- パスワードをビジネスアカウントと個人用アカウントの間で再利用してはなりません。
- 共有の認証情報は、メール、チャット、スクリーンショット、チケット、文書などの未承認の方法で送信してはなりません。
- 2要素認証をすべての場所で有効にする必要があります。まずはリスクの高いアカウントから開始します。
- アクセス権は、役割とビジネス上の必要性に基づいて付与されるべきです。
- 誰かが役割を変更したり退職したりした場合は、アクセス権を削除する必要があります。
- 2要素認証をまだ有効にできない場合、共有アカウントが一時的に避けられない場合、ベンダーが時間制限付きの昇格されたアクセス権を必要とする場合、レガシーシステムが標準 of パスワードまたはアクセス要件を満たせない場合などの例外は、文書化する必要があります。
Protonのパスワードポリシー作成ガイドは、パスワードルール、共有、アクセス管理、および二要素認証に関する詳細情報を提供し、このセクションをサポートします。
これは、ポリシーが運用のサポートを必要とする部分でもあります。従業員が依然としてすべてのパスワードを手動で作成して記憶しなければならない場合、「一意のパスワードを使用する」というルールは形骸化してしまいます。
Proton Pass for Businessのようなビジネス向けパスワードマネージャーは、チームがパスワード要件を日々の実践に落とし込むのを支援します。従業員は、安全でないチャンネルを使用する代わりに、強力で一意のパスワードを生成し、暗号化済みの保管庫に保管し、自動入力を利用し、パスワードを安全に共有することができます。これらすべてが一つのアプリで完結します。
テンプレートのコピー：
業務用のパスワードは一意で強力なものであり、承認されたビジネス向けパスワードマネージャーに保管されている必要があります。パスワードを個人用アカウントとビジネス用アカウントの間で再利用したり、メール、チャット、スクリーンショット、チケット、文書を介して共有したりしてはなりません。リスクの高いアカウントでは多要素認証を有効にする必要があり、アクセス権は役割とビジネス上の必要性に基づいて付与される必要があります。従業員、請負業者、またはベンダーがアクセスを必要としなくなった場合は、権限を見直して削除する必要があります。
4. データの分類と取り扱い
サイバーセキュリティポリシーは、お客様のビジネスが取り扱う情報の種類と、それぞれの情報をどのように保護すべきかを定義する必要があります。小規模ビジネスが状況を複雑にすることなく使用できる三つの層を以下に示します：
公開：一般に公開することが承認された情報
内部：社外と共有することが不適切な、従業員および承認された請負業者向けのビジネス情報
秘密：クライアントデータ、財務データ、認証情報、契約書、従業員の記録、または機密性の高い業務情報など、漏洩防止に失敗した場合に損害をもたらす可能性のあるあらゆるもの
テンプレートのコピー：
機密情報は、承認されたシステムにのみ保管し、承認された人とのみ共有し、不正アクセスから保護する必要があります。従業員は、機密性の高いビジネスデータを個人用アカウント、管理されていない文書、または未承認のデバイスに保管してはなりません。
5. インシデントの報告と初期対応
お客様のポリシーは、従業員が脆弱性を発見または疑ったときに何をすべきかを説明する必要があります。これは完全なインシデント対応プランである必要はありませんが、最初の行動と所有権を定義する必要があります。
以下のような例を含めます：
インシデントが発生する前に侵害リスクを軽減するための詳細なガイダンスについては、Protonの企業向けデータ侵害防止ガイドをご活用ください。
テンプレートのコピー：
従業員は、セキュリティインシデントの疑いがある場合、すぐに [role/team/contact] に報告する必要があります。従業員は、インシデントの所有者から指示がない限り、証拠を削除したり、影響を受けたシステムをリセットしたり、インシデントについて外部と連絡を取ったりしてはなりません。
6. リモートワークおよび個人端末の業務利用（BYOD）ルール
リモートワークやお客様のビジネスネットワーク内の個人用デバイスは、適切に管理されていない場合、不必要なリスクを生み出す可能性があります。お客様のサイバーセキュリティポリシーでは、従業員が個人用デバイスを使用できるか、どのセキュリティ要件が適用されるか（BYODセキュリティなど）、およびデバイスが紛失した場合や誰かが退職した場合に何が起こるかを説明する必要があります。
以下を含めます：
- 承認されたデバイスおよびオペレーティングシステム
- スクリーンロックおよびデバイスの暗号化
- 紛失または盗難に遭ったデバイスの報告
- 公共のWi-Fi(新しいウィンドウ)の使用
- 個人用デバイスからの会社システムへのアクセス
- 個人用クラウドストレージに関するルール
- 認証アプリおよび2要素認証の要件
- リモート従業員のオフボーディング手順
ProtonのリモートワークポリシーおよびBYODポリシーガイドは、分散型チームや従業員所有のデバイスに関するより詳細なルールを提供し、このセクションをサポートします。
テンプレートのコピー：
従業員は、セキュリティ要件を満たす承認されたデバイスからのみ会社のシステムにアクセスできます。デバイスの紛失または盗難は、直ちに報告する必要があります。会社のデータを個人用のクラウドアカウントや管理されていないアプリに保管してはなりません。
7. サードパーティベンダーのアクセス
小規模ビジネスは、代理店、請負業者、ソフトウェアプロバイダー、会計士、コンサルタント、およびマネージドサービスプロバイダーに依存することがよくあります。ベンダーのアクセスを軽視すべきではありません。なぜなら、それはお客様のビジネスが完全に制御できないバックドアを作り出す可能性があるからです
ビジネス向けパスワードマネージャーは、契約が終了したときにベンダーの認証情報を適用範囲内に制限し、監視し、簡単に失効できるように支援することで、その管理をより実用的なものにします。
お客様のポリシーは以下を定義する必要があります：
- ベンダーのアクセスを承認できるのは誰か
- ベンダーがアクセスできるシステム
- ベンダーのアカウントを個人のものにするか共有にするか
- アクセスの有効期間
- ベンダーのアクセスが監査される頻度
- 各ベンダーの最小限の権限がどのように決定されるか
- 契約終了時に何が起こるか
このセクションは、サプライチェーンセキュリティもサポートします。NCSCの10のステップ(新しいウィンドウ)では、これをサイバーリスクを管理するための重要な領域として含めており、これはIT、財務、マーケティング、または業務の一部をアウトソーシングしている小規模ビジネスに特に深く関連しています。
テンプレートのコピー：
サードパーティのアクセスは、[role/team]によって承認され、業務に必要なシステムに限定され、契約終了時に見直される必要があります。ベンダーのアクセスは、不要になった時点で削除する必要があります。
8. 従業員トレーニングの要件
オンボーディングの時にしか目にしないのであれば、サイバーセキュリティポリシーは機能しません。定期的なセキュリティ意識向上トレーニングにより、お客様のポリシーが常に遵守されるようになります
お客様のポリシーは以下を説明する必要があります：
- 従業員がいつセキュリティトレーニングを受けるか
- トレーニングがカバーするトピック
- 再トレーニングが行われる頻度
- 誰がトレーニングを完了する必要があるか
- 新しいリスクやポリシーの変更がどのように伝達されるか
トレーニングのトピックには、フィッシング、パスワード管理、2要素認証、安全なファイル共有、データの取り扱い、リモートワーク、デバイスのセキュリティ、およびインシデント報告を含めることができます。
トレーニングは短く、実践的なものにしてください。短い例を盛り込んだチェックリスト付きの簡潔な五ページのポリシーは、通常、詰め込みすぎた冗長な40ページの文書よりも役に立ちます。
テンプレートのコピー：
従業員は、オンボーディング時および少なくとも[年一回/年二回]、サイバーセキュリティトレーニングを完了する必要があります。トレーニングでは、パスワードセキュリティ、フィッシング、データの取り扱い、デバイスセキュリティ、およびインシデント報告をカバーします。
9. ポリシーの見直し頻度
サイバーセキュリティポリシーは、ビジネスの変化に応じて変更される必要があります。新しいシステム、リモートワークのパターン、ベンダー、規則、およびインシデントはすべて、古いルールを不完全なものにする可能性があります。
以下を定義します：
- ポリシーが見直される頻度
- サイバーセキュリティポリシー見直しの所有者
- 変更がどのように承認されるか
- 更新がどのように伝達されるか
- 定期外の見直しを引き起こす要因は何か
テンプレートのコピー：
このポリシーは、[owner]によって[六か月または12か月]ごとに見直されます。また、重大なセキュリティインシデント、大幅なシステムの変更、規制の更新、またはビジネス運営の重要な変更の後に見直される必要があります
企業のITセキュリティポリシーが失敗するのはなぜですか？
ほとんどのサイバーセキュリティポリシーは、実用的な理由で失敗します：
ポリシーが長すぎる：小規模ビジネスのサイバーセキュリティポリシーは、考えられるすべてのシナリオをカバーしようとするべきではありません。長すぎると、従業員はそれを使用しなくなります。簡潔にまとめ、必要に応じて詳細な手順へのリンクを設定してください。
専門用語が多すぎる：従業員がビジネスのサイバーセキュリティガイドラインに従うために、セキュリティに関するバックグラウンドは必要ありません。わかりやすい言葉を使用し、可能な限り専門用語を日常的な説明に置き換えてください。
ポリシーがオンボーディング時にのみ提示される：オンボーディング時に一度だけポリシーについて言及されただけでは、日々の行動を形作ることはできません。プロセスが変更された場合は、トレーニング、リマインダー、クイックリファレンスガイド、および更新を通じてそれを補強してください。
ポリシーがまったく見直されない：二年前に作成されたポリシーは、現在のシステム、リモートワークの実践、ベンダーのアクセス、または規制上の期待を反映していない可能性があります。定期的に見直してください。
ポリシーが適用されない：これは失敗の最も一般的な理由です。ポリシーに、パスワードを安全に保管すること、2要素認証を有効にすること、またはベンダーのアクセス権を削除することを規定することはできますが、誰もそれらを管理しなければそれらのルールに意味はありません。適用とは、所有者を割り当て、利用可能な管理者コントロールを使用し、例外を見直し、安全な行動をショートカットするよりも容易にすることを意味します。
パスワードおよびアクセス管理に関して、Proton Pass for Businessはポリシー適用の運用をサポートできます。チームに暗号化済みの保管庫、安全な共有、パスワード生成、および管理者向けの可視性を提供するため、お客様のビジネスが理論だけに依存することがなくなります。管理者は、従業員のパスワードを知ることなく、組織全体のパスワードの健全性、認証情報の再利用、およびダークウェブでの侵害エクスポージャーを安全に監視することもできます。
Proton Pass for Businessがポリシーの適用をどのようにサポートするか
サイバーセキュリティポリシーは、ビジネスがそれを実践に移すことができる場合にのみ有用です。パスワードとアクセスのルールはその良い例です。パスワードは一意であり、安全に共有され、従業員が退職したときには削除されなければならないと記述することはできます。しかし、従業員が依然としてブラウザ、スプレッドシート、チャットメッセージ、または個人のメモを使用している場合、ポリシーは簡単に無視されてしまいます。
Proton Pass for Businessは、従業員に認証情報を生成、保管、自動入力、および共有するための安全な方法を提供する一方で、管理者にアクセスがどのように管理されているかについてのより良い可視性を提供します。これにより、お客様のポリシーのパスワードおよびアクセス管理セクションをより簡単に遵守できるようになります。
小規模ビジネスにとって、このメリットは実用的です。認証情報の安全な管理を向上させるために、大規模なセキュリティチームは必要ありません。ビジネス向けパスワードマネージャーは、お客様のチームに仕事用の認証情報の一元化された場所を提供し、より安全なコラボレーションをサポートし、パスワードの再利用や管理されていない共有のリスクを軽減するのに役立ちます。
アクセス制御は、ポリシーを行動に移すための最も実用的な側面の一つです。認証情報を安全に生成、保管、共有、および失効させることが容易になれば、従業員が安全でない回避策に依存する可能性が低くなります。また、マネージャーは日常の業務においてパスワードとアクセスの要件をサポートするためのよりクリアな方法を得ることができます。
Proton Pass for Businessのような安全なビジネス向けパスワードマネージャーを使用して、お客様のサイバーセキュリティポリシーを適用しましょう。
