中小企業向けのサイバーセキュリティポリシー：ステップバイステップガイド

データのためのフォートノックスの構築：サイバーセキュリティポリシーの重要なコンポーネント

サイバーセキュリティは、常に企業にとってホットトピックです。 Equifax、Facebookなどの多くの大手企業は、顕著なデータ侵害事件により、ニュースと論争の対象となっています。

中小企業は同様に注意する必要があります。従業員が1つの疑わしい電子メールを開設すると、企業のデバイスのマルウェアやデータが侵害される可能性があります。

明確なサイバーセキュリティポリシーは、あなたのビジネスがこれらの事故を回避するのに役立ちます。ただし、ポリシーはすべての主要なコンポーネントが含まれており、従業員向けの定期的なサイバーセキュリティトレーニングとペアになっている場合にのみ有効です。会社のデバイスのセキュリティとデータを保護するためのポリシーを作成する方法は次のとおりです。

サイバーセキュリティポリシーとは何ですか？

サイバーセキュリティポリシーは、従業員と請負業者が会社のデータと技術のセキュリティを確保するために従わなければならないルール、手順、およびガイドラインの文書化されたセットです。それは本質的に職場のデジタルセキュリティに関する「土地の法律」です。

サイバーセキュリティポリシーに何を含めるか

会社のサイバーセキュリティポリシーで対処する重要な項目は次のとおりです。

許容可能な使用ポリシー

許容可能な使用ガイドラインでは、従業員が会社のテクノロジーで何ができるか、できないことを定義します。これには、会社のインターネットの使用、作業メール、ソーシャルメディアが含まれます。

また、従業員がデバイスに会社の情報（ドキュメント、電子メールメッセージなど）にアクセスできるか、保存できるかどうかを含めることもできます。従業員がデバイスを使用できるようにすることで、会社が発行した技術と同じセキュリティ対策がない可能性があるため、セキュリティの懸念があるため、これは重要な期待です。

個人デバイスを使用すると、作業の使用に個人的なデバイスを使用する従業員の払い戻しが必要な州にコンプライアンスの影響があります（多くの場合、BYODポリシーの下で）。

データセキュリティと処理手順

機密データ（顧客情報、財務記録、知的財産）を処理、保存、およびアクセスする方法の概要を説明します。このセクションは、会社が通常処理する情報の種類と、地域または業界全体のベストプラクティスまたは要件に合わせて調整する必要があります。

パスワード管理要件

強力なパスワードを作成するための会社の基準を説明し、すべてのアカウントに同じパスワードを使用しないように従業員に思い出させることです。これは、パスワードが妥協できる一般的な方法であるためです。パスワードを変更する頻度や多要素認証が必要かどうかなど、他の測定値の概要を説明します。

一部の企業は現在、より安全なパスワードストレージまたは共有のためにパスワードマネージャーの使用を要求しています。このプラクティスは特に人気があります。チームは共有アカウントを使用します。これを行い、複数の従業員がパスワードを利用できるようにします。

これにより、暗号化されていないメッセージにパスワードを保存することができません。また、誰かのメモアプリに保存することも避けます。最後に、ランダムな単語文書に保存するのを防ぎます。

ネットワークセキュリティガイドライン

オフィス内のWi-Fi使用、ファイアウォール、ゲストアクセスなど、会社のネットワークにアクセスするためのルールを指定します。ネットワークにアクセスしたり、機密データを処理するときに従業員にVPNを使用したい場合は、それも説明してください。

デバイスセキュリティポリシー

このドキュメントは、会社が発行したデバイス（ラップトップ、スマートフォン、タブレット）と仕事に使用される個人デバイスを保護するためのガイドラインを提供します。誰がコンピューターまたはモバイルデバイスのITセキュリティをセットアップすることが期待されるかを明確にしてください。

オフィスシステムでは、オンサイトIT部門は、デスクトップ上のセキュリティソフトウェアプログラムの更新において、より重要な役割を果たしていることがよくあります。パーソナルデバイスまたはリモートワークステーションを使用すると、従業員はデバイスを安全かつ最新の状態に保つことに大きな責任を負う傾向があります。

インシデント応答

ポリシーのこのセクションでは、セキュリティ侵害または疑わしい事件を報告および対応する手順の概要を説明する必要があります。これには、疑わしいメールを迅速に報告するなどの重要なことが含まれます。

従業員トレーニング

すべての従業員向けの定期的なサイバーセキュリティ意識向上トレーニングのためのポリシーに委任状を含めることをお勧めします。これにより、電子メールのセキュリティ、情報処理などに関する潜在的な脅威とベストプラクティスについて通知します。

これらのトレーニングセッションは、リマインダーにも良い時期です。従業員にパスワードを変更するように定期的に思い出させる必要があります。また、ウイルス対策ソフトウェアを更新するように思い出させる必要があります。これらは重要なセキュリティ対策です。従業員はこれらの措置を簡単に見落とすことができます。これは、従業員が忙しいことが多いためです。

リモートワークセキュリティプロトコル

会社がリモート作業を許可している場合、特定のリモート作業セキュリティの懸念を含めて、場合によっては時折も不可欠です。たとえば、ヘルスケア記録のような特に機密データを扱っているとします。その場合、従業員が公共の場所（コーヒーショップで働いているなど）または公共のWi-Fiでこれらの記録にアクセスしないことを要求することが一般的です。

なぜサイバーセキュリティポリシーを持つことが重要なのですか？

あなたの組織が書面によるサイバーセキュリティポリシーを必要とするかどうかはわかりませんか？すべてのビジネスに不可欠な理由をご覧ください。

機密データの保護

あなたの業界に関係なく、あなたのビジネスはおそらくいくつかの機密情報を収集して保存します。これには、従業員の社会保障番号、クライアントの支払い情報、および健康データを含むHRレコードが含まれます。

また、すべての従業員にアクセスしたり、潜在的に共有できるようにしたくないという独自の情報もあります。たとえば、競合他社によって複製されたくない秘密のレシピやIPSなどです。サイバーセキュリティポリシーは、不正アクセス、盗難、または誤用からこの機密情報を保護するのに役立ちます。

サイバー攻撃の防止

明確なサイバーセキュリティのガイドラインを設定し、十分なトレーニングを提供することで、従業員とビジネスの犠牲者がマルウェア、フィッシング詐欺、ランサムウェア、その他のサイバー脅威のリスクが低下します。これは、サイバーセキュリティリスク管理の不可欠な部分です。

ビジネスの継続性を維持します

優れたサイバーセキュリティコントロールは、セキュリティインシデントが発生した場合のダウンタイムと中断を最小限に抑えることができます。ポリシーとインシデントの対応計画は、何かがうまくいかない場合、すべてを効率的かつ安全に取り戻し、実行するのに役立ちます。また、サイバーセキュリティポリシーは、脆弱性を最小限に抑え、フィッシングやウイルスなどの一般的な事件を防ぐことにより、混乱を避けるのにも役立ちます。

規制に準拠しています

サイバーセキュリティポリシーは、組織がデータ保護に関するさまざまな法的および規制要件を満たすのに役立ちます。業界とサービスを提供する地域に応じて、次のようなさまざまな法律を遵守する必要がある場合があります。

• 一般的なデータ保護規則（GDPR）： GDPR は、EU居住者の消費者のプライバシーとデータを保護することを目的としたデータセキュリティガイドラインのセットです。ヨーロッパの国際的な顧客にサービスを提供する場合は、情報セキュリティポリシーがGDPRの要件を満たしていることを確認する必要があります。
• カリフォルニア消費者プライバシー法（CCPA）： CCPA カリフォルニア州の住民は、企業がデータをどのように使用および保存するかについて、より多くの監視と管理を提供します。これにより、カリフォルニア人は、どのデータが収集および保存されているかを知り、データを第三者に販売する企業をオプトアウトし、データの削除を要求することができます。

  これは重要です。これは、カリフォルニアの住民と顧客に適用されます。カリフォルニアに本拠を置くビジネスだけに適用されるわけではありません。したがって、他の州の企業は依然として遵守する必要があります。カリフォルニアの顧客のためにデータを処理するときは、遵守する必要があります。

• 健康保険の携帯性および説明責任法（HIPAA）：これはよく知られています ヘルスケアプライバシー法 健康情報に関する患者のプライバシーを保護します。健康計画、ヘルスケアクリアリングハウス、およびヘルスケアプロバイダーに適用されます。

前向きな評判を維持します

巧みに作られたセキュリティポリシーを開発し、従うことは、サイバーセキュリティへのコミットメントを示しており、顧客やパートナーとの信頼を高めることができます。また、データ侵害などのサイバーセキュリティインシデントを防ぎ、長期的にビジネスの評判に影響を与える可能性があります。顧客とクライアントは、あなたが彼らのデータを保護することを信頼する必要があるので、あなたはあなたの評判のこの分野に損害を与えるのを避けるために最善を尽くしたいと思うでしょう。

サイバーセキュリティポリシーFAQ

誰がサイバーセキュリティポリシーを書くべきですか？

多くの職場のポリシーは主に人事スタッフによって書かれていますが、情報技術（IT）部門がサイバーセキュリティポリシーの開発により深く関与することを望みます。 ITスタッフは、会社の情報システムとテクノロジーインフラストラクチャをよりよく理解します。

サイバーセキュリティポリシーをどのくらいの頻度で更新する必要がありますか？

少なくとも年に1回、サイバーセキュリティポリシーを更新することをお勧めします。ポリシーの要素が新しいプロトコルを含めるために更新が必要な場合は、より頻繁に更新できます。更新されるたびに新しいポリシーバージョンを従業員に分散させ、誰もが変更についてループにいるように、それを受け取って読んだことを認めさせてください。

企業はどのような種類のサイバーセキュリティツールを使用していますか？

企業は、サイバーセキュリティポリシーとともに、さまざまなITセキュリティツールを使用できます。安全なパスワードマネージャー、VPNS、リモートアクセスソフトウェア、ウイルス対策ソフトウェア、ネットワークファイアウォールなどのプログラムはすべて、情報を安全に保ち、ウイルスやマルウェアがシステムを攻撃するのを防ぐのに役立ちます。

より多くのリソース：
PTO要求ポリシー：雇用主向けの包括的なガイド
会社の携帯電話ポリシーの最大の考慮事項
ノーコールノーショー：効果的な従業員不在ポリシーを作成します