セキュリティポリシー

セキュリティポリシーとは、システム、組織、またはその他のエンティティにとって安全であるとはどういうことかを定義するものです。組織の場合、セキュリティポリシーは、その構成員の行動に対する制約だけでなく、ドア、錠前、鍵、壁といったメカニズムによって敵対者に課される制約にも対処します。システムの場合、セキュリティポリシーは、機能とそれらの間のフローに対する制約、外部システムやプログラムを含む敵対者によるアクセスに対する制約、そして人によるデータへのアクセスに対処します。

トップレベルポリシー

セキュリティが重要であるならば、すべてのセキュリティポリシーが強力なメカニズムによって確実に実施されることが重要です。セキュリティポリシーの完全性を保証し、それらが完全に実施されることを保証するための、体系的な方法論とリスク評価戦略があります。情報システムなどの複雑なシステムでは、ポリシーをサブポリシーに分解して、サブポリシーを実施するためのセキュリティメカニズムの割り当てを容易にすることができます。しかし、この方法には落とし穴があります。本質的には運用ルールであるサブポリシーに直接進み、トップレベルポリシーを無視するのはあまりにも簡単です。そうすると、運用ルールがセキュリティの全体的な定義に対応しているという誤った印象を与えてしまいますが、実際にはそうではありません。セキュリティについて完全に明確に考えることは非常に難しいため、「スーパーポリシー」のない「サブポリシー」として述べられた運用ルールは、通常、完全に何も実施できないまとまりのないルールになりますしたがって、トップレベルのセキュリティポリシーはあらゆる真剣なセキュリティ計画に不可欠であり、それなしではサブポリシーや運用ルールは意味をなさない。^{[ 1 ]}