セキュリティポリシー

セキュリティ ポリシーとは、システム、組織、またはその他のエンティティにとって安全であるとはどういうことかを定義するものです。組織の場合、セキュリティ ポリシーは、そのメンバーの行動に対する制約だけでなく、ドア、ロック、鍵、壁などのメカニズムによって敵対者に課せられる制約にも対処します。システムの場合、セキュリティ ポリシーは、機能とそれらの間のフローに対する制約、外部システムやプログラムを含む敵対者によるアクセスの制約、および人によるデータへのアクセスに対処します。

安全であることが重要であれば、すべてのセキュリティ ポリシーが強力なメカニズムによって強制されていることを確認することが重要です。セキュリティ ポリシーの完全性を確保し、それらが完全に強制されていることを保証するための体系的な方法論とリスク評価戦略があります。情報システムなどの複雑なシステムでは、ポリシーをサブ ポリシーに分解して、サブ ポリシーを強制するためのセキュリティ メカニズムの割り当てを容易にすることができます。ただし、この方法には落とし穴があります。基本的に運用ルールであるサブ ポリシーに直接進み、トップ レベルのポリシーを省略するのは非常に簡単です。そうすると、運用ルールがセキュリティの全体的な定義に対応しているという誤った印象を与えますが、実際にはそうではありません。セキュリティについて完全に明確に考えることは非常に難しいため、「スーパー ポリシー」のない「サブ ポリシー」として述べられた運用ルールは、通常、完全に強制できないまとまりのないルールになります。したがって、トップ レベルのセキュリティ ポリシーは、あらゆる本格的なセキュリティ スキームに不可欠であり、サブ ポリシーと運用ルールは、それがなければ意味がありません。^[1]