情報の分類

情報を、機密性・完全性・可用性の観点での重要度や利害関係者の要求に基づいて、「極秘」「社外秘」「公開」などの区分に分けること。区分ごとに取扱いのルールを定め、重要度に見合った保護を行う。

情報資産を、機密性、完全性、可用性の面から見た重要度や、漏えい・改ざんされた場合の影響の大きさに応じて区分すること。「極秘」「社外秘」「公開」などの区分ごとに、取扱いの規則や必要な管理策を決める。

データを、漏えいした場合の影響の大きさなどに応じて「極秘」「社外秘」「公開」などの機密レベルに分類すること。データセキュリティルールでは、区分ごとにアクセスできる者、保管・送信の方法、外部提供時の秘匿化などの取扱いを定め、重要度に見合った保護を行う。

リスクアセスメントの最初のプロセスで、リスクを発見し、認識し、記述すること。情報セキュリティでは、機密性・完全性・可用性の喪失につながるリスクを、情報資産、脅威、脆弱性、リスク所有者などの観点から洗い出す。

情報の分類に従って、文書、電子ファイル、電子メール、記憶媒体などに「社外秘」といった区分を表示すること。取り扱う者が重要度をひと目で判断できるようにし、電子的なラベルはDLPなどのシステムが取扱いを自動で制御する手掛かりにもなる。

機密情報や個人情報を含むデータを識別し、電子メールでの送信、Webへのアップロード、USBメモリへの書出し、印刷などで外部へ持ち出されることを監視・遮断する仕組み。キーワード、正規表現、ファイルの特徴、情報のラベルなどで保護すべきデータを判定する。データ漏えい防止とも呼ぶ。

システムや組織に損害を与える可能性がある、望ましくないインシデントの潜在的な原因。不正アクセス、マルウェア、内部不正などの意図的なもの、誤操作や紛失などの偶発的なもの、地震や火災などの環境的なものに分けられ、脆弱性に付け込むことでリスクが生じる。

複数の利用者や業務システムが共有して使えるよう、データを決められた形式で整理してまとめて蓄積したもの。DBMSが管理し、データの重複や矛盾を防ぎながら検索・更新できるようにする。顧客情報などの重要な情報資産を集中して保管するため、アクセス制御、暗号化、ログの取得、バックアップなどの対策が求められる。

組織が保有する情報資産を洗い出して一覧にした台帳。資産ごとに名称、管理責任者、保管場所、利用者の範囲、機密性・完全性・可用性から見た重要度などを記録し、リスクアセスメントや管理策の検討の基礎とする。