パートナーが私たちの書面によるITセキュリティポリシーのコピーを望んでおり、何をすべきかわからない[完了]

私の会社は別の会社と協力しており、契約の一環として、会社の書面によるITセキュリティポリシーのコピーを要求しています。ITセキュリティポリシーが書かれていないため、何を提供したいのか正確にはわかりません。私たちはマイクロソフトのショップです。更新スケジュール、サーバー、ファイアウォール、SSL証明書を管理するための制限付きアクセスアカウントがあり、Microsoft Baseline Security Analyzerを随時実行しています。

私たちはサービスとユーザーアカウントをほとんど安全で安全だと感じているように構成します（どのソフトウェアを実行するかを完全に制御できない場合は困難です）。私は彼らが何を望んでいるかについてもっと情報を得ていますが、彼らは釣りの遠征に参加しているように感じます。

私の質問は、これはこの情報を求めるための標準的な慣行ですか？（正直なところ、反対ではありませんが、それは以前に一度もありませんでした。）これが標準的な場合、提示すべき標準形式と予想される詳細レベルはありますか？

内部のITポリシー全体のコピーは必要ありませんが、これに似たものを求めているのではないかと思います。誰かが、契約に関する十分な情報を取得して、提供する必要のある詳細と内容を決定する必要があります。私はジョセフに同意します-法律/コンプライアンスの理由で情報が必要な場合は、法的入力が必要です。

背景情報

1）あなたの従業員は米国外にいますか？

2）貴社は情報セキュリティポリシーを正式に文書化していますか？

3）情報とデータの処理と分類は、情報セキュリティポリシーの対象ですか？

4）勤務している州で現在取り組んでいる未解決の規制上の問題はありますか？はいの場合、説明してください。

一般的なセキュリティ

1）従業員と請負業者向けの情報セキュリティ意識向上トレーニングプログラムはありますか？

2）システムおよびアプリケーションへのアクセスを認証および許可するために、現在使用している方法は次のうちどれですか。

• オペレーティングシステムにより実行
• 商用製品で実行
• シングル・サインオン
• クライアント側のデジタル証明書
• その他の二要素認証
• 自家栽培
• 認証メカニズムがありません

3）従業員、請負業者、臨時雇用者、ベンダー、およびビジネスパートナーのアクセスを許可するのは誰ですか？

4）従業員（請負業者、臨時雇用者、ベンダーなどを含む）がネットワークにリモートアクセスできるようにしますか？

5）情報セキュリティインシデント対応計画はありますか？いいえの場合、情報セキュリティインシデントはどのように処理されますか？

6）社外への電子メールメッセージの内部情報または機密情報の取り扱いに対処するポリシーがありますか？

7）少なくとも1年に1度、情報セキュリティポリシーと標準を確認していますか？

8）会社の安全なエリアへの不正アクセスを防ぐために、どのような方法と物理的制御が実施されていますか？

• 鍵のかかった部屋のネットワークサーバー
• セキュリティID（アクセスカード、生体認証など）によって制限されるサーバーへの物理アクセス
• ビデオ監視
• サインインログと手順
• セキュリティバッジまたはIDカードは、セキュリティで保護された領域で常に表示されます
• 警備員
• なし
• その他、詳細を追加してください

9）すべての環境のパスワードポリシーを説明してください。すなわち。長さ、強度、老化

10）災害復旧（DR）計画はありますか？はいの場合、どのくらいの頻度でテストしますか？

11）事業継続（BC）計画はありますか？はいの場合、どのくらいの頻度でテストしますか？

12）要求された場合、テスト結果のコピー（BCおよびDR）を提供してくれますか？

アーキテクチャとシステムのレビュー

1）[会社]のデータおよび/またはアプリケーションは、専用サーバーまたは共有サーバーに保存および/または処理されますか？

2）共有サーバー上にある場合、[The Company]のデータは他社のデータからどのようにセグメント化されますか？

3）どのタイプの会社間接続が提供されますか？

• インターネット
• 専用/専用線（例、T1）
• ダイヤルアップ
• VPN（仮想プライベートネットワーク）
• ターミナルサービス
• なし
• その他、詳細を追加してください

4）このネットワーク接続は暗号化されますか？はいの場合、どの暗号化方式が使用されますか？

5）ソリューションを利用するために必要なクライアント側コード（ActiveXまたはJavaコードを含む）はありますか？はいの場合、説明してください。

6）Webサーバーへの外部ネットワークアクセスを制御するファイアウォールがありますか。いいえの場合、このサーバーはどこにありますか？

7）ネットワークには、アプリケーションへのインターネットアクセス用のDMZが含まれていますか？いいえの場合、これらのアプリケーションはどこにありますか？

8）組織は、サービス拒否の停止に備えて対策を講じていますか？これらの手順を説明してください

9）次の情報セキュリティレビュー/テストのいずれかを実行しますか

• 内部システム/ネットワークスキャン
• 内部管理された自己評価および/またはデューデリジェンスレビュー
• 内部コードレビュー/ピアレビュー
• 外部のサードパーティの侵入テスト/研究
• その他、詳細を入力してくださいこれらのテストはどのくらいの頻度で実行されますか？

10）組織内で積極的に使用されている情報セキュリティ慣行は次のうちどれですか

• アクセス制御リスト
• デジタル証明書-サーバー側
• デジタル証明書-クライアント側
• デジタル署名
• ネットワークベースの侵入検知/防止
• ホストベースの侵入検知/防止
• 侵入検知/防止署名ファイルのスケジュールされた更新
• 侵入監視24時間365日
• 継続的なウイルススキャン
• ウイルス署名ファイルのスケジュールされた更新
• 侵入研究および/またはテスト
• なし

11）オペレーティングシステムを強化または保護するための標準はありますか？

12）オペレーティングシステムにアップデートとホットフィックスを適用するスケジュールはありますか？いいえの場合、パッチと重要な更新を適用する時期と時期を決定する方法を教えてください

13）停電やネットワーク障害から保護するために、主要なトランザクションシステムに対して完全に冗長なシステムを維持していますか？

Webサーバー（該当する場合）

1）アプリケーション/データへのアクセスに使用されるURLは何ですか？

2）Webサーバーはどのオペレーティングシステムですか？（OS名、バージョン、サービスパック、またはパッチレベルを入力してください。）

3）Webサーバーソフトウェアとは何ですか？

アプリケーションサーバー（該当する場合）

1）アプリケーションサーバーはどのオペレーティングシステムですか？（OS名、バージョン、サービスパック、またはパッチレベルを入力してください。）

2）アプリケーションサーバーソフトウェアとは何ですか？

3）ロールベースのアクセス制御を使用していますか？はいの場合、アクセスレベルはどのようにロールに割り当てられますか？

4）適切な認可と職務分離が行われていることをどのように確認しますか？

5）アプリケーションはマルチレベルのユーザーアクセス/セキュリティを採用していますか？はいの場合、詳細を入力してください。

6）アプリケーションのアクティビティは、サードパーティのシステムまたはサービスによって監視されていますか？はいの場合、会社名とサービス名、および監視されている情報をお知らせください。

データベースサーバー（該当する場合）

1）データベースサーバーはどのオペレーティングシステムですか？（OS名、バージョン、サービスパック、またはパッチレベルを入力してください。）

2）どのデータベースサーバーソフトウェアが使用されていますか？

3）DBは複製されますか？

4）DBサーバーはクラスターの一部ですか？

5）[会社]のデータを他の会社から分離するために（もしあれば）何が行われますか？

6）[会社]のデータは、ディスクに保存されるときに暗号化されますか？はいの場合、暗号化方法を説明してください

7）ソースデータはどのようにキャプチャされますか？

8）データ整合性エラーはどのように処理されますか？

監査とログ

1）顧客アクセスをログオンしますか：

• ウェブサーバー？
• アプリケーションサーバー？
• データベースサーバー？

2）ログは見直されていますか？はいの場合、プロセスとレビューの頻度を説明してください。

3）監査ログとトランザクションログを維持および監視するためのシステムとリソースを提供していますか？はいの場合、どのログを保持し、どのくらいの期間保存しますか？

4）[The Company]が会社に関連するシステムログを確認できるようにしますか？

プライバシー

1）不要になったときに[会社]のデータを機密解除/削除/破棄するために使用されるプロセスと手順は何ですか？

2）いつでも誤ってまたは誤って顧客情報を開示しましたか？
はいの場合、その後どのような是正措置を実施しましたか？

3）請負業者（非従業員）は機密情報または機密情報にアクセスできますか？はいの場合、秘密保持契約に署名しましたか？

4）ネットワーク、システム、またはアプリケーションへのアクセスと保守を許可されているベンダーがありますか？はいの場合、これらのベンダーは、書面による契約の下で、機密性、経歴確認、および損失に対する保険/補償を規定していますか？

5）データはどのように分類および保護されますか？

操作

1）バックアップの頻度とレベルは何ですか？

2）バックアップのオンサイト保存期間はどのくらいですか？

3）バックアップはどの形式で保存されますか？

4）バックアップをオフサイトの場所に保存しますか？はいの場合、保存期間はどのくらいですか？

5）データバックアップを暗号化しますか？

6）有効な本番プログラムのみが実行されることをどのように確認しますか？

規制された産業（銀行）や政府と仕事をしているときに、この情報を求められたことがあります。

私はそれ自体「標準形式」に気づいていませんが、それから私は顧客が監査役から「出発点」としてそれらを作らなければならなかったときに与えられたテンプレートを常に与えられてきました。

私はおそらくいくつかのGoogle検索から始めて、サンプルのポリシー文書の方法で見つけられるものを見るでしょう。SANS（http://www.sans.org）も見始めるのに適した場所です。

詳細レベルについては、おそらく聴衆と目的に合わせて調整する必要があると思います。低レベルの詳細を提供するよう特に求められない限り、詳細を高レベルに保ちます。

企業がセキュリティポリシーを確認する理由はいくつかあります。1つの例として、クレジットカードを処理する企業は、ペイメントカード業界（Visa、MasterCard、AmExなど）で、ペイメントカード業界-データセキュリティ標準（PCI-DSS）に従う必要があります。PCI-DSSのセクションでは、会社のパートナーもPCI-DSSを順守する必要があります（もちろん、書面によるポリシーが必要です）。

率直に言って、VPNまたは直接接続を介してネットワークへのアクセスを許可している場合、特定のレベルのセキュリティを持っていることを知りたいと思います。

PCIまたはISO 27001の認定を受けることは、この点で恩恵を受けることができる理由です。特定のレベルまで処理されたことを外部組織に知らせることができるからです。ポリシーが一般的なポリシーである場合、パートナーにコピーを提供することは問題ではない可能性があります。ただし、特定の手順やセキュリティ情報を見たい場合は、サイトから離れることはできません。

Karaには、ポリシーでカバーする内容に関する優れたガイダンスがあります。以下にポリシーの例を示します。

IT-001システムバックアップ/リカバリポリシー

I.はじめに このセクションでは、バックアップの重要性、コピーをテストしてオフサイトに保管する方法について説明します。

II。目的 A.このポリシーは、頻度、ストレージ、およびリカバリを対象としますB.このポリシーは、データ、オペレーティングシステム、およびアプリソフトウェアを対象としますC.すべてのバックアップ/リカバリ手順を文書化し、安全な場所に保管する必要があります

III。範囲 このセクションでは、ポリシーが社内のすべてのサーバーとデータ資産（およびサテライトオフィスなどのその他の特定の領域）に適用されることに注意してください。

IV。役割と責任 A.マネージャー-バックアップ対象の決定、頻度、媒体、手順の決定、バックアップの発生の確認B.システム管理者-バックアップの実行、バックアップの確認、バックアップのテスト、バックアップの転送、復元のテスト、保守バックアップローテーションの祖父/父/息子C.ユーザー-バックアップ対象に関する入力があり、バックアップ対象として指定された場所にデータを配置する必要があります

V.ポリシーの説明 バックアップ-一般的な意味でのバックアップについて言いたいことすべて回復-一般的な意味での回復について言いたいすべてのもの

具体的な手順は、個別の手順/作業指示書に記載する必要があります。ただし、組織が非常に小さい場合は、ポリシーを手順から分離しない場合があります。

これがあなたの役に立つ情報になることを願っています。

最近、これらの1つを作成する必要がありましたが、それほど難しくはありませんでした。確かに、一部の詳細は他の詳細よりも説明に多くの作業が必要になるため、調整についてのEvenのポイントは重要です。NISTには、さまざまな目的のセキュリティ対策を説明した無料のオンライン出版物の大規模なライブラリもあります。これらは、セキュリティの種類/範囲が必要かどうかわからないアイデアに使用できます。

ただし、高レベルの用語でカバーする一般的なカテゴリは次のとおりです。

• データ保持ポリシー
• バックアップ手順/バックアップへのアクセス
• 社内アクセス制限（物理および仮想）
  • ネットワーク（無線、有線）
  • ハードウェア（サーバー、ワークステーション、オフィス、オフサイト/テレワーク）
  • ホスティング/データセンター（パートナーデータを保存している場合に重要）
  • オペレーティング・システム
• 人事審査

このリストは、多くの情報が必要になったことに基づいて拡大または縮小できます。また、これらすべてがまだ整っていなくても心配する必要はありません。私のアドバイスは、「意図された」ポリシーの説明に固執することですが、不足しているものがある場合はすぐにそれらを拡大する準備をしてください。また、これがどれほどありそうになくても、あなたが主張していることに呼び出される準備をしてください（弁護士は後で気にしません）。

特に契約の一部であるので、私はこれについてあなたの会社の弁護士に相談します。

セキュリティポリシードキュメントのコピーを送信する必要がある場合、セキュリティに少し反対します。セキュリティポリシーを作成し、ドキュメントの大半をSANのテンプレートから取得しました。他のユーザーは、Googleで特定のポリシー検索で入力できます。ポリシーを確認したい外部のパーティを処理する方法は、オペレーションディレクターのオフィスに座って、彼らがそれを読めるようにすることです。私たちのポリシーは、ポリシーが建物、より具体的には私たちの視界を離れることはないということです。当社は、当社の情報へのアクセスを必要とする特定の能力で作業する場合、第三者が同意しなければならないという合意を持っています。そして、それらはケースバイケースであります。このポリシーは環境に適合しない場合があります。また、SANにあるすべてのポリシーは適合しません。

それは標準的な慣行ですか？銀行、食料、エネルギーなど、規制されている特定の業界では私の経験はイエスです

標準形式はありますか？標準は多数ありますが、契約で標準（ISOなど）が指定されていない場合は、契約上OKにして、選択した形式を提供する必要があります。

難しくないはずです。既にパッチとパスワードの標準がありますので、文書にはその標準が何であるか、どのようにそれに従うかを指定する必要があります。あまりにも多くの時間を費やして、それをきれいにするというtrapに陥らないでください。単純な文書で十分です。

契約で特定の標準の使用が指定されている場合、専門家の助けを求めて、契約に準拠していることを確認する必要があります。

私たちはホスティング施設であるため、この質問をよく受けます。肝心なのは、彼らが何を探しているのかを事前に正確に知らない限り、それを提供しないということです。私たちが持っていないセキュリティポリシーで何かを探している場合、それは通常、ビジネスの性質上必要とされていないためです。それは主観的なものかもしれませんが、それは重要ではありません-私たちはまだそのためにビジネスを失う必要はありません。多くの場合、彼らは他の誰かに彼らがしたことを伝えなければならないので、彼らは尋ねています。「いいえ」の答えは、必ずしも悪いことでも、取引を妨げるものでもありません。

SAS70 II認定を取得したばかりなので、監査人の意見書を提出し、書面によるポリシーを説明するだけです。

何かを表示する前に、NDAが必要になります。それから私は彼らに来てセキュリティポリシーをレビューさせますが、それのコピーは決して持ちません。