※本記事は、Nancy Kramerによる”Leveraging Alignment Across Information Security Standards“を翻訳したものです。

Nancy Kramer
May 9, 2022 

ブログ“Compliance Considerations for Cloud Services”では、さまざまな内部ソースと外部ソースがどのようにして組織の情報セキュリティ、プライバシー、そして遵守義務を判断できるのかについてご説明しました。外部ソースには、法規制を通じて示される政府機関による指針や要件、業界組織による規格の形式での指針が含まれます。規制と規格には、共通の目標や類似の目標があることが多いため、このブログは、共通性を利用する方法への理解を深める手助けをすることを目的としています。

 

情報セキュリティとプライバシーに関する制御の種類

データの誤用を防止するという共通の目標がある場合、公共部門と民間組織での要件と推奨事項に重複する部分が多々あることは驚くべきことではありません。規格のほとんどでは、以下のカテゴリでの制御を必要とします。

  • 運用上の制御：
    • データ・アクセス権が付与される前の承認プロセスなど、プロセス要件や手続き上の要件を定義する管理上の制御
    • オフィス、データ処理環境、コンピューティング・ハードウェア、紙ベースの記録、電子ストレージ・メディアなどの物理オブジェクトや場所へのアクセスを制限する物理的制御
    • データベースに格納されたデータの暗号化など、電子データを保護するためのテクノロジーのデプロイと構成を必要とする技術的制御
  • 機能上の制御：
    • 発生する可能性のある望ましくないイベントを減らし、悪意ある行為者による攻撃の成功を困難にする予防的制御
    • 予期しないシステム構成や承認されていないアクティビティなど、侵害の兆候を特定することに重点を置く発見的制御
    • 意図した運用上の境界でシステム構成とプロセスを再編成するための修正制御

以下の制御は、多くの情報セキュリティ規格に共通しています。これらは、上記のカテゴリの説明に役立ちます。

  • オフィス領域やデータセンターのドアに鍵をかけることは予防的な物理的制御
  • 中央監視システムでシステム・アラートやシステム・ログを集計することは技術的な発見的制御であり、これらのアラートやログを評価して対応するための関連プロセスは発見的な管理上の制御
  • 定期的なアクセス監査を実施することは管理上の修正制御  

 

規格間の制御の共通性

情報セキュリティとプライバシーに関する多くの規格と規制には、データの機密保護という共通の目標があります。この共通の目標のため、指針と要件の間にはかなりの重複があります。

制御には、きめ細かさに程度の差があったり、さまざまな規制と規格の間でわずかに範囲が異なったりする場合がありますが、要件の大部分は同等です。たとえば、データにアクセスできる人物を制限するための要件は、ほとんどの規制と規格においてほぼ普遍的です。データへのアクセスを制限するための関連用語には、“論理的アクセス制御”などのフレーズがあり、これらはID管理、認証（“誰ですか”）や認可（“どのようなアクセス権を付与されていますか”）に依存しています。効果的なアクセス制御は、データの機密保護を実現するために非常に重要です。

 

規格および規制における“アクセス制御”要件のまとめ

以下の表は、いくつかの一般的な規格、規制、およびコンプライアンス・フレームワーク間でデータ・アクセスを制限するために設計された要件の類似点を示したものです。ここでは概要を簡略化してまとめてあります。要件全体を表示させるには、各フレームワークのリンクをクリックしてください。

規格または規制 論理的アクセス制御の要件
ISO 27001
国際標準化機構（ISO）27001規格
  • アクセス制御ポリシーは、ビジネスおよび情報セキュリティの要件に基づいて、確立、文書化、および確認されるものとする。
  • ユーザーには、使用の権限を明確に付与されているネットワークおよびネットワーク・サービスへのアクセスのみが与えられるものとする。
  • ユーザーの正式な登録および登録解除プロセスは、アクセス権の割当てを有効化するために実施されるものとする。
  • 正式なユーザー・アクセス・プロビジョニング・プロセスは、すべてのユーザー・タイプによるすべてのシステムおよびサービスへのアクセス権の割当てまたは取消しのために実施されるものとする。
SOC 2
米国公認会計士協会（AICPA）システムおよび組織管理（SOC）：トラスト・サービス基準    
  • ハードウェア、データ、ソフトウェア、オフライン・システム・コンポーネントなどの情報資産への論理的アクセスは、アクセス制御ソフトウェアおよびルール・セットの使用によって制限される。
  • 人員、インフラストラクチャ、およびソフトウェアは、情報資産へアクセスする前に識別して認証する。
  • アクセス・ポイントと、これらのアクセス・ポイントを使用している外部の個人とシステムのタイプを特定し、リスト化して管理する。
  • データの種別、データ構造、アクセス制限、ユーザーの識別、およびデジタル証明の組合せを使用して、情報資産に対するアクセス制御ルールを確立する。
  • エンティティ情報、インフラストラクチャ、およびソフトウェアにアクセスしている個人およびシステム向けの識別要件および認証要件を確立、文書化して管理する。
  • アクセスが必要なくなったり、インフラストラクチャやソフトウェアが使用されなくなったりする場合、資格証明は削除されてアクセスは無効になる。
NIST SP 800-53
米国標準技術局によるスペシャル・パブリケーション800-53    

策定、文書化、および組織のロールまたは担当者への普及

  • 組織レベル、ミッション/ビジネス・プロセスレベル、またはシステムレベルの次のようなアクセス制御ポリシー
    • 目的、範囲、ロール、責任、管理コミットメント、組織エンティティ間の調整、およびコンプライアンスに対応
    • 適用される法、行政命令、指令、規制、ポリシー、規格、および指針に一致
  • アクセス制御ポリシーおよび関連するアクセス制御の実装を容易にするための手続き

アクセス制御ポリシーおよび手続きの策定、文書化、および普及を管理する職員を指定

組織が定義する頻度で、および組織が定義するイベントの後に現在のアクセス制御ポリシーと手続きを確認して更新
PCI DSS
Payment Card Industry Security Standards Council（PCI DSS）クレジット・カード業界のデータ・セキュリティ規格  

ポリシーと手続きを定義および実装して、以下のような適切なユーザー識別管理を実現

  • すべてのユーザーに一意の識別子を割当て（ID）
  • ユーザーID、資格証明、および他の認証識別子の追加、削除、および変更の管理
  • 退社したユーザーのアクセスを直ちに取消し
  • システム・コンポーネントのアクセス、サポート、メンテナンスのためにサード・パーティが使用するIDを管理
  • 認証の資格証明を変更する前にユーザーIDを確認
     

EU CoC
European Union Data Protection Code of Conduct for Cloud Service Providers（クラウド・サービス・プロバイダ向けのEUデータ保護行動規範）    

 クラウド・サービス・プロバイダは、少なくともISO 27001 A9での制御と同等レベルの保護制御を使用して顧客の個人データへのアクセスを制限すること。
IRAP
オーストラリア信号局（ASD）：Information Security Registered Assessors Program（IRAP）    
  • 特権を持たないユーザー、特権ユーザー、外国人および契約者のためのアクセス要件を文書化
  • トレーニング（ブリーフィング）の完了、スクリーニング/許可、認可、および知るべき人に基づいて個人を認可
  • 個人は一意に識別可能
  • 共有ユーザー・アカウントの使用は厳格に管理され、そのようなアカウントを使用している個人は一意に識別可能
MeitY
インド電子情報技術省：情報テクノロジー（IT）セキュリティ指針
  • システムはアクセス制御システムによる認証後にのみアクセス可能であること。
  • アクセス承認は文書化されたプ手続きを通じて付与されること。
  • “使用すべき人”の原則に基づいて職務分掌によってアクセスを制限すること。アクセスは適切であること。
  • 各ユーザーには一意のユーザーIDが割り当てられること。

 

規格間の共通性を利用するための推奨事項

クラウド・サービスの適合性を判断しようとする組織は、規格と規制の間のセキュリティ要件とプライバシー要件との一致を分析することでメリットが得られます。たとえば、貴社の目標および要件を、クラウド・サービス・プロバイダの要件を満たした一般的な規制および規格と比較することで、制御がどのように重複しているかを理解することができます。

この戦略は、同じ規制や規格が貴社とクラウド・サービス・プロバイダの両方に適用されている場合は当然役立ちますが、特に役立つのは、規制や要件が貴社には適用されているけれども、クラウド・サービス・プロバイダには適用されていない場合です。クラウド・サービスの独立した監査によって検証される一連の制御を貴社の目標に対比させて分析することで、クラウド・サービスの適合性を判断することができます。複数の規制と規格間の要件を考察して、セキュリティとプライバシーのどのような基準がクラウド・サービスのために検証されてきたのかを完全に理解する必要があります。  

結論として、オラクルでは、組織がクラウド・サービスの使用の適合性を判断する際は以下を実行することをお薦めします。

 

Nancy KramerNancy Kramer

複雑なビジネスプロセスやITシステムに関するリスク、セキュリティ、プライバシー、コンプライアンス監査の管理で20年以上の経験を持ち、企業の情報セキュリティポリシーの定義、オラクルのオンプレミスおよびクラウドサービスを監督するコンプライアンスおよび義務管理プログラムの管理を支援しています。また、Payment Card Industry Security Standards Council (PCI SSC)などの業界団体に参加し、ソートリーダーシップを発揮しています。