ポリシーと手順

ポリシーと手順は、セキュリティを属人的な知識から、繰り返し実行でき、強制可能な実践へと変えます。期待される行動を定め、責任を割り当て、監査人が求める証跡を提供します。

文書化されていなければ、一貫して強制することも、実施したことを証明することもできません。

セキュリティ文書は階層化されています。

• ポリシー：大まかな意図とルール（何を、なぜ行うか）です。
• 標準：具体的な必須要件です。
• 手順：手順を追って実行方法を説明するものです。
• ガイドライン：推奨されるベストプラクティス（任意）です。

両者の違いを明確にしておきます。

• ポリシーはルールを定めます。たとえば、パスワードは12文字以上でなければなりません。
• 手順は方法を説明します。たとえば、アイデンティティプロバイダーでパスワードポリシーを設定する具体的な手順です。

ポリシーは安定していますが、手順はツールの変更に応じて変わります。

ほとんどのプログラムには、次のポリシーが含まれます。

• Acceptable Use Policy。
• Access Control / Identity Policy。
• Data Classification and Handling。
• Incident Response Policy。
• Business Continuity / Disaster Recovery。

AUPは、ユーザーが会社のシステムやデータで行ってよいこと、行ってはいけないことを定めます。メール、インターネット、デバイス、違反時の結果などを対象とし、通常は入社時に内容を確認して同意します。

アクセス制御ポリシーでは、最小権限の原則とレビューの頻度を明文化します。

• アクセスを申請し、承認する方法。
• ロールの定義と職務分掌。
• アクセスをレビューし、取り消す頻度（たとえば、退職時など）。

このポリシーでは、組織がセキュリティインシデントを検知、報告、処理する方法を定めます。危機に際して場当たり的に対応するのではなく、計画に沿って対応できるよう、役割、エスカレーション経路、コミュニケーションのルールを明記します。

すべてのポリシーには、内容を最新に保つ責任を負う責任者と、明確に割り当てられた責任が必要です。責任者がいなければ、文書は次第に古くなり、効力を失います。

• 責任者は文書を承認し、維持管理します。
• 関係者は文書を実装し、従います。

文書は正式に承認し、バージョン管理する必要があります。

• 作成者、承認者、承認日、バージョン番号を記録します。
• 変更を追跡し、監査人が履歴を確認できるようにします。
• 通常は年1回など、レビュー周期を設定します。

誰にも読まれないポリシーには価値がありません。文書を配布し、スタッフをトレーニングし、確認・同意を収集します。認識を高めることで、文書化されたルールが実際の行動に変わり、ルールを徹底した証跡も得られます。

ポリシーには実効性が必要です。違反時の結果を定め、可能な限り技術的な統制で裏付けます（たとえば、パスワード標準を紙の上だけで定めるのではなく、IdPで強制します）。一貫した強制によって、ポリシーの信頼性が保たれます。

ポリシーと手順の違いを説明してください。

文書化によって、セキュリティを繰り返し実施し、証明できるようになります。

• ポリシー、標準、手順、ガイドラインという階層を使います。
• ポリシーはルールを定め、手順は具体的な手順を示します。
• 責任者を割り当て、承認、バージョン管理、定期的なレビューを行います。
• 周知、トレーニング、強制によって、文書を実効性のあるものにします。