情報セキュリティガバナンスガイド

セキュリティガバナンスは、最近発生した大規模なハッキングを考慮すると、すべての業界でますます重要になっています。

セキュリティガバナンスとは何ですか？セキュリティガバナンスとは、企業がリスクを管理し、セキュリティ目標を達成するために必要な手続き、戦略、その他のプログラムを通じて、セキュリティへのアプローチをどのように制御するかを指します。

情報セキュリティガバナンスとは？

情報セキュリティガバナンスは、サイバーセキュリティ対策を通じて情報を保護するために組織のリソースを調整するポリシー、実践、戦略のフレームワークです。 ガバナンスポリシーは、ほとんどのエンタープライズ組織にとって重要です。なぜなら、アドホックなセキュリティ対策では、現代のセキュリティ脅威やITインフラの進化に対応しきれないからです。セキュリティと情報ガバナンスは、組織内での責任と計画を集中させ、常にいくつかの重複する優先事項が存在するようにします。これらの優先事項には以下が含まれます：

• リソースの配分、技術、人的資源、トレーニング資料、コンプライアンスおよび情報セキュリティに関連する役職のための資金を含む
• コンプライアンス、業界標準や組織のニーズに応じた任意のフレームワークに従うこと
• アカウンタビリティ、意思決定とプロセス開発を公式化できる管理階層を中心に
• 実装、リスク管理、積極的な予防、脆弱性スキャナー、ペネトレーションテスト、人工知能などのツールを含む高度なセキュリティ対策の実施

これらの優先事項を包含するのは、セキュリティガバナンスの4つの要素です：

1. 戦略: セキュリティ目標、ビジネス目標、財務目標、コンプライアンス要件にわたって、組織は戦略を持つ必要があります。この戦略は、これらの優先事項を共通の実践とポリシーに整合させるべきです。
2. 実装: 戦略は適切な実行がなければ価値がありません。組織は、ガバナンス戦略に沿ったセキュリティ要件を適切に展開するために、ビジネスリーダーシップのための資金とサポートを確保するべきです。
3. 運用: 一度実装されると、セキュリティインフラは継続的な運用サポートを必要とします。これには、コンプライアンス、プロジェクトの整合性、リスクの直接管理が含まれます。
4. 監視: 成功、失敗、最適化—これらのセキュリティ戦略の側面を測定するには、分析と報告のための定期的な監視と測定が必要です。

セキュリティガバナンスフレームワークとは？

セキュリティガバナンスは、組織のあらゆる側面を包含する複雑なプロセスです。幸いにも、セキュリティとコンプライアンスの取り組みは、効果的なガバナンスポリシーをサポートするためのいくつかの戦略とベストプラクティスを開発してきました。 企業がセキュリティガバナンス戦略を再発明することなく実装できるように、専門機関はセキュリティガバナンスインフラの迅速かつ効果的な展開をサポートするフレームワークを開発しました。 最もよく知られている（そして影響力のある）フレームワークの1つが、米国国立標準技術研究所（NIST）によって開発されたサイバーセキュリティフレームワークです。このフレームワークは、ビジネスの優先事項を動員してセキュリティとリスク管理を推進するためのガイダンスを提供します。このガイダンスは、5つのコア機能に基づいて構成されています：

1. 識別: 組織は、ITセキュリティの実装と維持に関連する重要なリソース、人材、資産、情報、能力を識別する能力を開発する必要があります。これには、これらのリソースのビジネスコンテキストを理解することが含まれます。
2. 保護: 組織は、識別された資産を保護し、侵害が発生した場合に関連するセキュリティ問題の影響を制限するための適切なコントロールを実装するべきです。
3. 検出: 組織は、サイバーセキュリティイベントを発生時に検出するためのリソース、スキャンおよび監視ツールを展開するべきです。
4. 対応: 組織は、セキュリティイベントが発生した後に対応する能力を持つ必要があります。これには、侵害の軽減、問題の修正、セキュリティの失敗への対処が含まれます。
5. 復旧: 組織は、セキュリティイベント、コンプライアンス要件、ビジネス目標を使用して、継続性のための定期的なバックアップとホット/コールド復元を含む復旧とレジリエンシープランを開発するべきです。

ビジネスにおけるセキュリティガバナンスの利点とは？

単一の戦略の下でセキュリティとコンプライアンスの取り組みを組織化することは、アドホックなセキュリティに苦しむことを超えて、組織にいくつかの重要な利点をもたらします。 セキュリティガバナンスポリシーを実施することの主な利点には以下が含まれます：

• より効果的なセキュリティ: 包括的で明確に定義されたセキュリティガバナンスポリシーは、ビジネスとセキュリティの目標を統合することができ、無秩序なセキュリティアプローチでは達成できないものです。フレームワークは、目標を達成するための包括的なセキュリティアプローチを迅速に実施するのに役立ちます。
• コンプライアンス要件の統一的な適用: コンプライアンスは、ほとんどの業界でビジネスを行う上で重要な部分です。しかし、規制の遵守はすべてか何もない現実です。システムの一部が非準拠であれば、組織全体が罰則や潜在的な侵害にさらされます。セキュリティガバナンスポリシーは、技術的、管理的、物理的システム全体でコンプライアンスの実践を合理化できます。
• セキュリティの共通言語: セキュリティ専門家が自分たちの領域に閉じ込められることは助けになりません。組織は、堅牢なポリシーフレームワークを使用して、エンタープライズ全体で理解可能な共通の語彙を作成できます。
• 技術の合理化: セキュリティとコンプライアンス要件がポリシーに組み込まれると、顧客関係管理、セキュアファイル転送、文書管理、セキュアメールなどのビジネス運営に使用する適切なプラットフォームを定義することが非常に簡単になります。

セキュリティガバナンスの実施における課題とは？

セキュリティガバナンスポリシー（またはフレームワーク）を実施することには大きな利点がありますが、これらのポリシーが自動的に形作られたり実施されたりするわけではありません。組織がガバナンスポリシーをどのように展開するかについて、いくつかの課題に直面する可能性があります。 セキュリティガバナンスの実施における課題には以下が含まれます：

• 経営陣の賛同の欠如: 特に中小企業や成長中の企業を運営するビジネスリーダーのすべてが、統一されたサイバーセキュリティの価値を理解しているわけではありません。サイバーセキュリティのようにまだ悪影響を感じていない分野で手を抜こうとする人もいるかもしれません。賛同の欠如は、セキュリティガバナンスポリシーを実施するために必要な人材とリソースを集めることを不可能にする可能性があります。
• 人材の不足: セキュリティガバナンスの構想と実施には専門知識と継続的なメンテナンスが必要です。そのため、セキュリティおよびコンプライアンス責任者を含む重要な人材がいない組織は、ポリシーの実施に苦労するでしょう。
• 成功を測定する能力の欠如: 適切な指標と分析がなければ、セキュリティガバナンスポリシーやフレームワークがどのように、またはそれが違いを生んでいるかを評価することは困難です。この種のインフラは、即時のセキュリティ対策を超えた支出であるため、多くの企業はフルスケールの監視ツールを展開する能力を持っていないかもしれません。これにより、ポリシーの展開が遅れる可能性があります。

Kiteworks: ガバナンスポリシーサポートのためのセキュアコンテンツ通信

セキュリティガバナンスポリシーの重要な側面の1つは、コンプライアンス要件を満たすことができるセキュアな技術の基盤です。これには、メール、文書管理、ファイル共有、ファイル転送のための技術が含まれます。

Kiteworksプラットフォームは、組織内外に移動するプライベートデータの包括的なガバナンス、コンプライアンス、保護を提供します。Kiteworksは、複数の主要産業および消費者市場にわたる多くの規制に準拠しながら、機能性を犠牲にすることなく、高度なエンタープライズデータ管理機能を提供します。

Kiteworksプラットフォームには以下の機能が含まれています：

• CISOダッシュボードは、データアクセス、ユーザーアクセス、データの動向と移動、データ転送の制御を包括的に提供します。
• シームレスなマネージドファイル転送の自動化とスケジューリングにより、オフタイムの転送や従業員や患者の活動によってトリガーされる操作を含む、堅牢なファイル共有と転送ポリシーを実現します。
• セキュアなメールリンクにより、個人識別情報（PII）や保護対象保健情報（PHI）を保護しながら、患者とのメールによる簡単でスムーズなコミュニケーションを維持します。
• IBM QRadar、ArcSight、FireEye Helix、Splunk Forwarderなどの人気プラットフォームとのSIEM統合。統合は、監査ログを単一のファイル形式に標準化し、広範なセキュリティ情報とイベント管理の消費をサポートします。
• データ損失防止（DLP）統合により、転送中のすべてのデータをスキャンし、機密データや個人データを含んでいるかどうかを判断します。
• ホットシステムとマルチサイトデータ冗長性を備えた災害復旧により、緊急時にシステムが稼働し続けることを保証します。
• シングルテナントクラウド環境により、他のユーザーへの脅威がKiteworksプラットフォームインスタンスに波及しないようにします。
• アクセス制御のオーバーフローと接続により、機密データを不正アクセスから保護します。
• コンプライアンス対応の暗号化、保存データにはAES-256、転送データにはTLS 1.2暗号化を含み、HIPAA、PCI DSS、FedRAMP、CMMC、NIST 800-53、ISO 27001、GDPRなどの規制へのコンプライアンス努力をサポートします。
• 最大16TBまでの大容量ファイル転送とストレージ。
• ワンクリックで詳細なHIPAAレポートにより、セキュリティとガバナンスポリシーのリスクを強調します。監査で使用して、DLPスキャナー統合、データアクセスポリシー、ドメインホワイトリスト、ファイル有効期限制御などの文書化されたコントロールに準拠していることを迅速に示します。
• 暗号化キーのための追加の保護層が、ハードウェアセキュリティモジュールまたはAmazon Web Services Key Management Serviceとの統合を使用して含まれています。

ファイル転送とそれが完全なセキュリティガバナンス計画にどのように適合するかについて詳しく知るには、Kiteworksのカスタムデモを今すぐスケジュールしてください。