データ分類を導入することで、企業はすべての情報を一律に同じリスクレベルとして扱う必要がなくなります。サプライヤーからのメール、社内のプロセスノート、顧客の支払い記録、管理者の回復用コードなどを、同一のルールに基づいて社内で扱うべきではありません。
機密データはお客様のビジネスネットワーク全体のさまざまな場所に保管されています。CRM、受信トレイ、クラウドストレージ、スプレッドシート、人事システム、サポートプラットフォーム、財務ソフトウェア、ベンダーツールなどを経由して移動します。データを分類するための共有システムがなければ、チームは直感に頼ることが多くなり、共有しても安全そうに見える、あるいは承認が必要になりそうだと判断した場合、より早くて簡単なルートを選択してしまいます。
これは一時的には機能するかもしれませんが、規模の拡大には対応できません。クリアなデータ分類ポリシーを策定することで、どの情報を公開可能にするか、どの情報を社内にとどめるべきか、どの情報により厳格な管理が必要か、そしてどの情報を特定の役割のみに限定してアクセス可能にするかを決定するための共通言語がビジネスにもたらされます。
Proton Pass for Businessがデータ分類をサポートする方法
データ分類とは何ですか？
データ分類とは、ビジネスデータがどれほど機密であるか、また漏洩、変更、紛失、または悪用された場合にどれほどの損害をもたらすかに応じて、ラベルを貼るプロセスです。実際には、情報をクリアなレベルにグループ分けして、保管、共有、保護、そして最終的には削除を行う方法をすべての人が把握できるようにすることを意味します。
有用な分類システムは、日常業務に自然に溶け込みます。これにより、従業員は情報がいつ自由に移動できるか、いつ承認が必要か、アクセスを小さなグループに限定すべきなのはいつかを迅速に理解できるようになります。その目的は、データがコピー、共有、エクスポート、または保管されるべきでない場所に保管される前に、より安全な決定を自ずと下せるようにすることです。
英国国家サイバーセキュリティセンターの資産管理(新しいウィンドウ)に関するガイダンスでは、情報を可視性、所有権、保護が必要な資産として扱っています。これは分類を定義するのに有用な方法です。機密データに誰がアクセスできるかを決定する前に、そのデータが何であり、どこに存在するかを知る必要があります。
なぜデータ分類が重要なのか
自社が特定していないものを保護することはできません。これは、すべてのシステムやあらゆる種類の情報を同じレベルの管理で保護するためのリソースを通常は持たない中小企業に特に当てはまります。企業が、機密データに誰がアクセスすべきか、どのシステムにより強力な保護が必要か、またはMFAや安全な共有の適用が最も緊急に必要な場所はどこかを決定する前に、自社がどのような情報を保有し、どのデータが最も重要であるかを知る必要があります。
データ分類は、実用的なデータ侵害保護戦略の第一歩です。日常的なビジネス情報と、漏洩、変更、紛失、または誤った相手と共有された場合に甚大な実害をもたらす可能性のあるデータとを切り離します。
これは、情報がCRM、受信トレイ、クラウドストレージ、人事システム、サポートツール、財務ソフトウェア、エクスポート、ベンダープラットフォーム全体に拡散する中で、特に役立ちます。分類は従業員にクリアなシグナルを提供します。つまり、通常通りに処理できるもの、承認が必要なもの、そして特定の役割にのみ開示されるべきものを明確にします。
これはコンプライアンスの遵守もサポートします。データ保護の法執行および英国GDPRガイダンス(新しいウィンドウ)を担当する当局である英国情報コミッショナーオフィス（ICO）は、組織が適切な技術的および組織的手段を適用することを求めています。分類は、データの機密性に保護レベルを適合させることで、これを実用的なものにするのに役立ちます。
侵害の防止において、その原則はシンプルです。つまり、機密データには必要以上の人がアクセスできるようにすべきではありません。ビジネス向けデータ損失防止に関するProtonのガイドでは、インシデントの発生前に不要な露出を減らすことが、発生後の被害をどのように制限できるかを説明しています。
シンプルなデータ分類フレームワーク
分類フレームワークを複雑にする必要はありません。中小企業においては、通常四つのレベルで十分です：
- 公開
- 社内
- 社外秘
- 制限あり
公開
公開データとは、外部での使用が承認された情報のことです。たとえば、お客様が読んでいるこの記事の公開版は公開データに該当します。このデータは既読可能であり、公に共有しても安全で、セキュリティやプライバシー上の重大なリスクを生むことなくインデックスに登録できます。
その他の例には以下が含まれます：
- ウェブサイトのコピー
- プレスリリース
- 公開されている職務記述書
- 承認済みのセールス資料
- 製品ページ
- 公開されている会社概要。
公開情報であっても正確性とブランドレビューが必要ですが、一度承認されれば通常は厳格なアクセス制御は必要ありません。
社内
社内データは、従業員および承認された協働者のみを対象としており、外部への公開配布を目的としていません。漏洩しても深刻な損害をもたらすことはないかもしれませんが、混乱、レピュテーションリスク、または業務上の問題を招く可能性があります。
具体例は以下の通りです：
- 社内プロセス文書
- チームのメモ
- 標準作業手順書
- トレーニング資料
- 機密性の低いプロジェクトプラン
- 社内カレンダー
- 一般的なベンダーの連絡先リスト。
社内データは、承認されたビジネスシステム内にとどめておく必要があります。たとえば、下書きのキャンペーンブリーフ、オンボーディングチェックリスト、チームのプランニング会議のメモなどは、高い機密性を持たないかもしれませんが、個人のフォルダー、プライベートな受信トレイ、または管理されていないダウンロードフォルダではなく、会社の承認されたワークスペースに保管されるべきです。
社外秘
社外秘データとは、漏洩した場合に会社、顧客、従業員、またはパートナーに損害を与える可能性のある、機密性の高いビジネス情報または個人を特定できる情報（PII）です。アクセスは、クリアなビジネス上の必要性を持つ承認された役割に制限される必要があります。
具体例は以下の通りです：
- 顧客記録
- 従業員ファイル
- 契約書
- 商業条件
- 財務報告書
- 販売パイプラインの詳細
- 個人データを含むサポートチケット
- 未公開のビジネスプラン
- 非公開のベンダー合意書
社外秘データは、承認された役割のみがアクセスできるようにする必要があります。個人のドライブ、公開された共有フォルダー、管理されていないスプレッドシート、または誰もアクセスを確認しない受信トレイに保管すべきではありません。外部に共有する必要がある場合、企業はエンドツーエンド暗号化（E2EE）されたビジネス向けクラウドストレージを使用し、共有をクリアなビジネス目的を持つ権限のある宛先に限定すべきです。
制限あり
制限ありデータは最も機密性の高いカテゴリです。漏洩、悪用、または変更された場合、企業は深刻な財務上、法的、業務上、またはセキュリティ上の影響に直面する可能性があります。
具体例は以下の通りです：
- 管理者の認証情報
- 回復用コード
- 認証シークレット
- 顧客の支払いの詳細
- 極めて機密性の高い人事記録
- 法的紛争ファイル
- セキュリティインシデント報告書
- 特権アクセスログ
- 暗号鍵
- バックアップアクセスの詳細
制限ありデータには、制限されたアクセス、強力な認証および認証情報管理、エンドツーエンド暗号化されたクラウドストレージ、安全な共有、および監査可能性といった最も強力な管理が必要です。
| 分類レベル | 機密性 | 例 | アクセスレベル | 共有ルール |
| 公開 | 低い | 公開された記事、ウェブサイトのコピー、プレスリリース、公開されている求人投稿、承認済みのセールス資料 | 外部での使用を承認済み | レビューおよび承認されれば、公に共有可能 |
| 社内 | 中程度 | チームのメモ、下書きのキャンペーンブリーフ、オンボーディングチェックリスト、社内プロセス文書 | 従業員および承認された協働者 | 承認されたビジネスシステム内にとどめる |
| 社外秘 | 高い | 顧客記録、従業員ファイル、契約書、財務報告書、個人データを含むサポートチケット | 承認された役割のみ | 権限のある宛先、かつクリアなビジネス目的がある場合のみ共有 |
| 制限あり | 最高 | 管理者の認証情報、回復用コード、支払いの詳細、セキュリティインシデント報告書、特権アクセスログ | 指定されたユーザーまたは厳密に管理されたグループ | メール、チャット、スクリーンショット、または管理されていないドキュメントを介して共有しないでください |
ビジネスチーム向けのデータ分類の例
チームが自身の業務において分類を認識できるようになると、分類はより容易になります。財務チームは、公開されている価格設定ページを公開情報として扱う一方で、請求書、給与支払いファイル、税務書類、および支払い記録は通常、社外秘として扱います。銀行の認証情報や決済プラットフォームの管理者アクセスは、情報の漏洩、設定の変更、または資金の移動を可能にするため、制限する必要があります。
実際には、このアクセスは、役割ベース of 権限、強力な認証、定期的なアクセスレビュー、およびチームが機密システムの背後にある認証情報を管理および制御するのに役立つビジネス向けパスワードマネージャーを通じて制御されるべきです。
人事データも同様のパターンに従います。求人投稿は公開可能ですが、雇用契約書、給与情報、病欠記録、福利厚生の詳細、および候補者データは通常、社外秘に該当します。機密性の高い調査、人事管理者の認証情報、および従業員記録への広範なアクセスは制限されるべきです。
これは歴史的な特異事例ではありません。総額4.4百万ポンドに上る2022年のICOによるInterserveへの制裁金(新しいウィンドウ)は、従業員のデータを通常の社内文書のように扱うのではなく、機密性の高いビジネス情報として分類し、保護すべきであるという極めて重大な警告となっています。
営業、カスタマーサクセス、マーケティング、およびITチームにも、クリアな境界線が必要です。個人情報またはアカウントレベルの情報を含む顧客記録やサポートチケットは、多くの場合社外秘に該当します。社内のセグメンテーション作業、キャンペーンプランニング、およびパフォーマンスレポートは、顧客レベルのデータ、商業上の機密性、または非公開のビジネス戦略が含まれているかどうかに応じて、社内または社外秘に分類される場合があります。
ベンダーのドキュメントは、特にアクセス詳細、商業条件、またはセキュリティ情報が含まれている場合、その内容に基づいて分類される必要があります。エクスポートされた顧客データセット、CRMの管理者アクセス、Google広告やMetaビジネスマネージャーなどの広告プラットフォームへの管理者アクセス、バックアップ認証情報、回復用コード、特権アクセスログ、およびセキュリティツールの認証情報は、ファイルやアカウントが一つでも漏洩すると、単一の個人よりもはるかに多くの人に影響を与える可能性があるため、制限されるべきです。
分類がアクセス制御をどのようにドライブするか
データが分類されると、アクセスは単なる一般的な権限設定ではなくなり、ビジネス上の決定になります。もはや、誰かがシステムを開くことができるかどうかだけでなく、その役割がシステム内の情報へのアクセスを正当化するかどうかが問題となります。
サポートチームは顧客との会話を必要とするかもしれませんが、エクスポートされたすべての顧客ファイルが必要なわけではありません。財務チームは支払いおよび会計記録を必要とするかもしれませんが、人事調査は不要です。契約業者は、会社のクライアントファイルの完全なアーカイブではなく、一つのプロジェクトワークスペースへのアクセスを必要とする場合があります。
社外秘データおよび制限ありデータについては、アクセスが監査証跡を残す必要があります。企業は、誰が何にアクセスしたか、なぜアクセスが存在するのか、そして役割の変更やオフボーディングの直後に権限が失効されているかどうかを把握しておく必要があります。
ITチーム向けパスワードマネージャーは、集中管理、安全な共有、ポリシー、管理者レポートとログ、SCIMプロビジョニング、およびSSO統合をサポートします。これにより、ブラウザ、スプレッドシート、またはチャットスレッドにパスワードを放置する代わりに、機密システムへのロックを解除する認証情報へのアクセス範囲をチームが限定できるようになります。
分類されたデータを安全に共有する方法
共有ルールは情報の機密性に従う必要があります。公開された資産は一度承認されれば自由に流通させることができますが、契約書、顧客ファイル、支払い記録、または回復用コードにはより多くの管理が必要です。データの機密性が高ければ高いほど、それを受け取る人数を減らし、共有方法をより慎重にする必要があります。
これはメールにおいて特に重要です。多くの企業は依然として添付ファイル、スクリーンショット、またはコピーされたテキストを介して機密情報を送信し、その後その情報がどこに行ったか追跡できなくなっています。メールが必要な場合に機密情報を安全に取り扱う方法に関するProtonのガイド「メールを介して機密情報を安全に送信する方法」では、より安全な取り扱い方法を説明しています。
認証情報やシークレットには、通常のドキュメントよりも厳格なルールが必要です。パスワード、回復用コード、パスキー、および管理者のアクセス詳細は、メール、チャット、スクリーンショット、または共有ドキュメントを介して送信すべきではありません。これらは、Proton Pass for Businessなどのビジネス向けパスワードマネージャーを通じて保管および共有されるべきであり、そこではアクセスをより安全に制御、確認、および失効できます。
データ監査から始める
データ分類ポリシーを策定する前に、ビジネスデータがすでにどこに存在しているかをマッピングします。最初の監査は完璧である必要はありません。どのシステムが機密情報を保持しているか、誰がそれらにアクセスできるか、 excavationと、管理されていないコピーがどこに存在する可能性があるかを表示するだけで十分です。
CRM、人事プラットフォーム、財務ソフトウェア、クラウドストレージ、メール受信トレイ、共有ドライブ、サポートツール、パスワードマネージャー、ベンダーポータル、ダウンロード、エクスポート、バックアップなど、日常的な位置から始めます。
| フィールド | 記録すべき内容 |
| 位置 | データが存在する場所 |
| データ型 | 顧客、従業員、財務、認証情報、または業務データ |
| 分類レベル | 公開、社内、社外秘、または制限あり |
| 所有者 | 責任のある個人またはチーム |
| アクセス | 誰がそれを閲覧、編集、エクスポート、または共有できるか |
| MFA | 多要素認証が有効になっているか |
| ベンダーとの共有 | 第三者がそれにアクセスできるか |
| データ保持ステータス | 維持、確認、削除、または匿名化 |
データ分類ポリシーを作成する方法
データ分類ポリシーは、従業員が使用できるほど十分に短く、かつ実際の決定を導くのに十分に具体的である必要があります。分類レベルを定義し、誰が機密データを所有するかを説明し、各レベルをアクセス、ストレージ、共有、データ保持、およびレビューに接続する必要があります。
シンプルなポリシーには、以下を含めることができます：
- 目的と範囲： ポリシーがカバーする内容と、それが適用される対象。
- 分類レベル：公開、社内、社外秘、制限、およびその例。
- 所有権： 誰がアクセスを承認し、機密データカテゴリの確認を処理するか。
- アクセスルール： 誰が各レベルにアクセスできるか、またアクセスがどのように承認または削除されるか。
- 共有ルール： 各分類レベルに対してどのチャンネルが承認されているか。
- ストレージとデータ保持： 各種類のデータがどこに存在すべきか、およびどのくらいの期間保持されるべきか。
- レビューの頻度： ポリシーとアクセスルールがレビューされる頻度。
- リーガルホールドプロセス： 活発な調査、紛争、または訴訟の際、削除またはデータ保持ルールを一時停止する必要がある場合。
ポリシーには判断の余地も残しておく必要があります。すべてのドキュメントがカテゴリにきれいに当てはまるとは限りません。迷ったとき、従業員は誰に尋ね、どのデフォルトに従うべきかを知っておく必要があります。機密データの場合、適切な所有者が別段の確認を行うまでアクセスを制限することが、通常はより安全なデフォルトとなります。
Proton Pass for Businessがどのようにデータ分類をサポートするか
データ分類は、どの情報により強力な保護が必要であるかをお客様のビジネスに伝えます。アクセス制御は、その決定を日々の業務に反映させます。
認証情報は、そのアクセスレイヤーの一部です。パスワードが、管理者の設定、顧客のエクスポート、財務システム、回復用コード、またはセキュリティログなどの制限ありデータへのアクセスを許可する場合、その認証情報は、低リスクの社内サービスへのログインよりも厳格な取り扱いが必要です。
Proton Pass for Businessのような安全なビジネス向けパスワードマネージャーは、チームがこれらのアクセス決定を実践に適用するのを支援します。認証情報は暗号化済みの保管庫に保管され、チームまたは機能ごとに整理され、必要とする人々とのみ共有されます。
管理者もまた、レポートやログを通じて認証情報アクセスに関する可視性を高めることができ、ポリシー、SSOの統合、およびSCIMプロビジョニングにより、ITチームがオンボーディングやオフボーディングをより一貫して管理できるようになります。
これにより、日常業務での分類の徹底が容易になります。財務の認証情報は財務にとどめることができます。人事管理者のアクセスは、権限を持つ人事リードにとどめることができます。バックアップの回復用コードおよび特権管理者のログインは、復旧とセキュリティに責任を負う個人に限定することができます。
分類を日々のデータ保護の一部にする
データ分類はそれ自体を目的とした書類仕事ではありません。日常業務においてデータ侵害保護をより遵守しやすくするための方法です。
お客様のビジネスがどのデータが最も機密性が高いかを把握したら、次のステップは誰がそのデータにアクセスできるかを制御することです。パスワードマネージャーは、チームが機密システムや制限ありデータのロックを解除する認証情報を制御および監視するのに役立ちます。
ビジネス向けパスワードマネージャーを使用して、お客様の組織全体の分類されたデータへのアクセスを制御します。
