データ分類ポリシー

データは、安全で正確かつ信頼できる方法で維持され、承認された利用のために容易に利用できる状態にしなければなりません。データのセキュリティ対策は、データの価値、機密性、およびリスクに応じて実施されます。 

分類

適切なレベルでセキュリティを実施し、法令および規制の遵守に関するガイドラインを確立し、データに対する相反する基準および管理策を削減または排除するため、データは以下のいずれかのカテゴリーに分類されます。

1. 制限付き - 権限のない者への開示が連邦法または州法、あるいは会社の契約に違反することになるデータ。
2. 公開 - 会社の契約に従って一般市民にアクセスが許可されるデータ。

両カテゴリーのデータには、データの損失または破損が事業に支障をきたす程度、財務上の損失をもたらす程度、または法律、方針もしくは会社の契約に違反する程度に応じて、さまざまなセキュリティ対策が必要となります。

データのセキュリティ対策は、以下に定義するとおり、業務スタッフと協力して最高執行責任者（COO）が定めます。 データポリシーを遂行するため、以下の役割と責任が確立されています。

• 最高執行責任者（COO） は情報管理に責任を負い、データアクセスおよびポリシー実施に関する問題を担当します。
• 業務スタッフメンバーはデータ管理責任者です。データ管理責任者は、データを支援する安全なインフラストラクチャーを提供する責任を負います。これには、物理的なセキュリティ、バックアップおよび復旧プロセスの提供、COOまたはその指名者によって承認されたシステムユーザーへのアクセス権限の付与、ならびに情報に対する管理策の実施および管理が含まれますが、これらに限定されません。
• データユーザー とは、割り当てられた職務の一環として、または会社と顧客のコミュニティ内で割り当てられた役割もしくは機能を遂行するために、データを必要とし使用する個人を指します。機密データへのアクセスを与えられた個人は、特別な信頼を寄せられる立場にあり、そのため、当該データのセキュリティと完全性を保護する責任を負います。 

実施

データのセキュリティのために実施される強制措置は、データの分類レベルによって決定されます。措置には、以下の適切な組み合わせが含まれます。

• 暗号化要件
• データ保護およびアクセス制御
• 文書化されたバックアップおよび復旧手順
• 変更管理およびプロセスレビュー
• データ保持要件
• データの廃棄
• 監査管理
• 保管場所
• ユーザーの意識向上