私見：情報セキュリティポリシーのあり方
全従業員のインシデントを防ぐという視点で活動しています
と、組織の情報セキュリティのルールであるポリシーにたどり着きます。
今回はそれへの考え方なのですが、定番と異なるのと、筆者の会社のものも変えられていないので「私見」としています。
情報セキュリティポリシーとは
多くの場合、次のような体系になっています。
「情報セキュリティ基本方針」をホームページ等で公開し、それ以下の「情報セキュリティ対策基準」等を攻撃者に手の内を知らせないため、非公開にしているところが多いです。基本方針と対策基準を「情報セキュリティポリシー」と呼んでいます。
「サイバーセキュリティポリシー」って？
都庁などでは、サイバーセキュリティポリシーとしています。
全従業員という視点ですと、USBメモリの紛失など、サイバー空間だけではないので、情報セキュリティが好ましいと思いますが、定義の中で、情報セキュリティと同等の説明をしている場合がほとんどです。
国のサイバーセキュリティ基本法というのがあるのがややこしくて、中で次のように定義しています。（情報セキュリティと異なり、毎度の定義が必要）
この法律において「サイバーセキュリティ」とは、電子的方式、磁気的方式その他人の知覚によっては認識することができない方式（以下この条において「電磁的方式」という。）により記録され、又は発信され、伝送され、若しくは受信される情報の漏えい、滅失又は毀損の防止その他の当該情報の安全管理のために必要な措置並びに情報システム及び情報通信ネットワークの安全性及び信頼性の確保のために必要な措置（情報通信ネットワーク又は電磁的方式で作られた記録に係る記録媒体（以下「電磁的記録媒体」という。）を通じた電子計算機に対する不正な活動による被害の防止のために必要な措置を含む。）が講じられ、その状態が適切に維持管理されていることをいう。
総務省でも自治体向けのガイドラインでは、情報セキュリティを使っています。（以下、リンク）
総務省｜地方公共団体における情報セキュリティポリシーに関するガイドラインの改定等に係る検討会｜地方公共団体における情報セキュリティポリシーに関するガイドラインの改定等に係る検討会
情報セキュリティポリシーは全従業員が知るべきルール
役所の例ばかりで申し訳ありませんが、民間企業等でも一緒です。
そして、全従業員が知っているべきですが、筆者の経験上、
CSIRTでも全部覚えている人がいない
のです。特に対策基準以下ですが、長文で難解です。
どう使うかというと、事案が発生すると、それに関して、検索機能などを駆使して、どのように定められているのかを調べます。例えば、「パスワード」という言葉は、あちこちで出てきますので、筆者は紙で探すより、検索機能を使います。反面、よく出てくる事項は、紙に印刷して、マーキングしておいたほうが早い時もあります。
ましては
従業員の方はほとんど知らない感触です
組織に所属する皆様。ご自身の組織のポリシーが分かりますか？
そのため、組織によってですが、「セキュリティ１０か条」みたいなものを作って周知しています。これは、筆者の１～２ポイントをメール等で頻回周知する「ビしし戦略」と通ずるものもありますので、否定するものではありません。
基本方針は、１行でよい
くらいでいいというのが筆者の考えです。CSIRTでも基本方針はあまり気にしていないと思います。
本来は、世間一般に情報セキュリティへの取組の意気込みを公開しているものですので、全従業員も知る必要があります。
いろんな組織がホームページで公開していますが、長いものが多いです。
誰が何をする
こういう事案に何をする
みたいなことを書いてあるのが多いのですが、細かく書けば書くほど、
では、こういう場合は誰がどうするの？
みたいな疑問が出て、漏れが見えてきてしまいます。
だったら、
経営トップから全従業員まで情報セキュリティ向上に取り組みます
みたいなだけでいいと思います。（言い回しは別として）
別途、非公開のルールがあることくらいは、書いてもいいかもしれません。
対策基準以下もシンプルに
ポリシーというのは、対策基準までですが、それ以下のルールについても筆者の考え方は同じです。
なかなか公表されている対策基準は少ないので、事例を書きづらいのですが
そのために
役職の言い換えはやめる
◎◎課長は、「情報セキュリティ責任者」だとか、「なんとか統括管理者」だとか、言い換えが多いと、訳がわからなくなります。
CISOくらいはいいのですが、それ以外は、基本、「課長は何をやる」のほうが皆分かりやすいと考えます。
また、
上位のルールで書いてあることを下位のルールにも書く、のはやめる
これは考え方次第で、下位のルールだけで分かるようにということもあろうかと思いますが、分量が増えていって、改正の際に直し漏れが起きた経験もあります。
筆者としては、上位に書いてある内容は、下位に再び書く必要がないと考えます。
ただ、書くべき内容が多いので、「辞書形式」
がよいと考えています。
このことについて、どうなのか？と思ったときに、調べやすい順序の構成にするということです。
先ほどのパスワードの例もそうですが、「情報資産の持ち出し」とか分散している対策基準等が多いように感じました。
実際のサンプルを作っていないので、分かりづらいかもしれないです。
要は、従業員にポリシーを近づける
総務省にも意見を送ったこともありますが、おそらく有識者たちが
・あれも書いたほうが良い
・これも書いたほうが良い
という感じで、お互い否定することは少ないので、ガイドラインも増えていくのは仕方ないかと思っていますが。
ただ、ひとりひとりのインシデントを防ぐには、必要な対策と考えています。
そのうち、具体的な検討もしたいと思います。
図示
この内容も文章もAIを使っていないので、ヘタなのですが、最後にこの文章をAIに突っ込んで、図式化してもらいました。合っているか微妙ですが、載せてしまいます。
