R2 ガイダンスと知識ベース
R2v3 データ サニタイズ計画の策定に関するガイダンス
データ サニタイズ計画を策定する際は、以下の各手順と重要な質問を考慮して、プロセスをガイドし、包括的な計画を確実に策定できるようにしてください。 各セクションは R2v3 標準の特定の要件に関連していますが、以下の要件は、計画の開発をより容易にする方法で並べられているため、標準に表示される順序と同じ順序でリストされていないことに注意してください。
各セクションについて、質問と例があなたの施設の運営にどのように具体的に当てはまるかを詳しく書き留めてください。 R2 要件を実装するため、または RXNUMX 要件または計画への適合性を実証するために必要な関連リソースを示します。 リソースには、データ セキュリティとサニタイズ プロセスをサポートする手順、作業指示書、チェックリスト、およびフォーム (既存または開発予定) が含まれる場合があります。 提供されているサンプル ノートは、回答を取得する方法を示していますが、これらは単なる例であり、施設の運用に応じて拡張および改訂する必要があります。 これらの各セクションでの回答は、データ サニタイズ計画の初期フレームワークを提供するため、できるだけ詳細に記入してください。 また、特にプロセス、管理対象のデバイス、またはその他の該当するデータ要件に変更がある場合は、計画を定期的に見直して修正する必要があることに注意してください。
前提条件 – データ サニタイズ計画を作成する前に、次の R2 ガイダンスとナレッジ ベースのリソースを確認することを強くお勧めします。
ステップ 1: データ ストレージ デバイスの種類と、施設で管理されている関連データを特定する
| 参 考 | 重要な質問 | 注記/例 | ||||
|---|---|---|---|---|---|---|
| 7.(a)(1)(B) | Rescale データ は R2v3 で「電子デバイスまたはメモリ コンポーネントに含まれる個人情報、個人を特定できる機密情報、ライセンス情報、または専有情報
すべてのデータ デバイスとメディアには、安全な管理とサニタイズが必要です。 施設で管理されているすべてのタイプの電子デバイス、コンポーネント、およびメディアを考慮して、データを保存できるデバイスの特定のタイプはどれですか? たとえば、データ デバイスとして一般的に認識されているラップトップ、デスクトップ、およびサーバーに加えて、SSD、ウェアラブル電子機器、タブレット、スマート TV、モバイル デバイス、またはデータを保存できるその他のアイテムを施設で使用できますか? お問い合わせ 一部の電子機器に共通する特徴の例 さまざまな種類のデータ デバイスの例については、メディア サニタイズに関する NIST ガイドライン (付録 A) を参照してください。 |
施設で管理されているデータ デバイス/メディアの種類に注意してください。 具体的な例を挙げますと、以下の通りです。
|
||||
| 7.(a)(1)(C) | 管理されているデータ デバイスの種類ごとに、サニタイズが必要な可能性のあるデータの種類は何ですか?
ユーザー ファイルとアカウントを検討してください。 オペレーティングシステム; ライセンスされたソフトウェア; ユーザーログ; など、デバイスごとにすべてのデータ型を一覧表示します。 保存されているデバイスとデータの種類を理解すると、サニタイズが必要なものを特定するのに役立ちます。 |
管理されているすべてのデータ デバイスと、対応するサニタイズ対象のデータの種類を一覧表示します。 例えば：
|
||||
| 7.(a)(1)(D) | 一般的な情報 は R2v3 で「公開されている情報、または製造元からオリジナルの電子機器と共に提供される情報。」
一般的な情報は、R ではサニタイズを必要としません2v3。 管理対象のデータ デバイスの種類ごとに、サニタイズを必要としない一般的な情報にはどのような種類がありますか? たとえば、一般的な情報には、ドライバーとファームウェアが含まれる場合があります。 オープンソース ソフトウェアまたはオペレーティング システム。 電子ユーザーマニュアル; 等 |
管理されているすべてのデータ デバイスと、対応するサニタイズを必要としない一般情報の種類を一覧表示します。 例えば：
|
||||
| 7.(a)(1)(E) | 場合によっては、接続されたユーザー アカウントを介してデータを保存およびアクセスするために、デバイスがリモート サービスに依存することがあります。
デバイスからの削除が必要なネットワーク サービスやその他の接続されたアカウントには、どのような種類がありますか? クラウドベースのアカウントを検討し、ストレージ ドライブをバックアップします。 ペアリングされたデバイスと同様に。 |
|
ステップ #2: すべてのデータ セキュリティとサニタイズ要件を定義する
| 参 考 | 重要な質問 | 注記/例 | ||||||||
|---|---|---|---|---|---|---|---|---|---|---|
| 7.(a)(1)(G) | R2 要件に加えて、対処する必要があるデータ セキュリティまたはサニタイズに関する特定の法的要件、サプライヤー要件、またはその他の要件はありますか?
あなたの施設の法令順守計画は、データ侵害やプライバシー規制などのデータ サニタイズ要件を明確に特定していますか? データのセキュリティとサニタイズに関して、サプライヤーからの追加の契約要件はありますか? お問い合わせ 一部の電子機器に共通する特徴の例 さまざまな種類のデータ デバイスの例については、メディア サニタイズに関する NIST ガイドライン (付録 A) を参照してください。 |
その他のデータ セキュリティおよび/またはサニタイズ要件を列挙します。 例えば：
|
||||||||
| 7.(a)(1)(H) | 特定された追加の法的要件、サプライヤー要件、またはその他の要件のそれぞれについて、施設の文書化されたポリシーと手順で対処されている場所への明確なリンクがありますか?
たとえば、セキュリティレベルの向上や特定のサニタイズ方法に関する要件がある場合、その要件は施設の文書で明確に特定および定義されていますか? |
|
||||||||
| 7.(a)(1)(J) | サニタイズを実行するための具体的な時間枠は特定されていますか?
受領時からサニタイズまでの最大期間を規定する法的要件またはサプライヤー要件があるかどうかを検討してください。 サニタイズ期間を設定する際には、管理するデータの機密レベルと潜在的なデータ侵害に関連するリスクも考慮してください。 |
|
||||||||
| 7.(a)(1)(F) | データをサニタイズしないことを要求する顧客との契約上の合意が作成され、実施されていますか? |
|
ステップ 3: データ サニタイズ プロセスと手順を確立する
| 参 考 | 重要な質問 | 注記/例 | ||||||||
|---|---|---|---|---|---|---|---|---|---|---|
| 7.(a)(1)(I) | 管理されているすべてのタイプのデータ デバイスとサニタイズに適用される要件を考慮して、デバイスとメディアのタイプごとに定義されたサニタイズ方法が特定されていますか?
定義されたサニタイズ方法は、コア 7.(c)(2) で定義されているサニタイズ オプションの XNUMX つと一致していますか? 論理的にサニタイズされたデバイスの場合、プロセスは、論理的なサニタイズが成功しなかった場合の承認されたサニタイズ方法を概説していますか? |
管理対象のデータ デバイスごとに承認されたサニタイズ方法を特定します。 具体的な例を挙げますと、以下の通りです。
|
||||||||
| 7.(a)(1)(I) | 社内で実行されるデータ サニタイズ アクティビティについて、各タイプのデバイスをサニタイズするための承認されたプロセスと手順を定義するためのデータ サニタイズ手順または作業指示書はありますか? | 各タイプのデバイスの取り扱いと消毒のプロセスと手順を明確に定義します。 | ||||||||
| 7.(a)(1)(K) | DSV は、物理的または論理的なサニタイズを実行する必要がありますか?
その場合、DSV は付録 A (7) または (8) に従って認定されていますか? DSV がデータ サニタイズ計画の要件に準拠しているという証拠はありますか? |
|
||||||||
| 7.(a)(1)(L) | プロセスの有効性を検証できるように、サニタイズプロセスの意図された結果が明確に定義されていますか?
検証プロセスは定義されていますか? 効果的なサニタイズを示すために記録が維持されていますか? |
データ デバイスごとに、承認されたサニタイズ方法、プロセスの成功を検証する方法、およびサニタイズと検証作業を実証するために使用される記録を特定します。 例えば：
|
ステップ #4: セキュリティ管理を確立する
| 参 考 | 重要な質問 | 注記/例 |
|---|---|---|
| 7.(a)(1)(A) | 管理するデータ デバイスの種類、関連するデータの機密レベル、およびその他の特定のデータ セキュリティ要件を考慮して、デバイスとデータを保護するための適切なセキュリティ制御が開発されていますか?
アクセスが制限されたデータサニタイズ活動専用の安全なエリアが確立されていますか? 消毒活動のために個々のエリアを確保するか、施設全体を確保するかを検討してください。 また、次のような必要なセキュリティ制御の種類も考慮してください。
セキュリティトレーニングと意識向上を含むプロセス管理。 アクセス許可; セキュリティ監視; マテリアルハンドリング手順; 等 |
7.(b) のすべてのセキュリティ制御がどこで対処されているかを明確に示します。 例えば：
施設のセキュリティ管理:
消毒エリア管理:
プロセス管理:
|
| 7.(a)(1)(M) | 機器やコンポーネントを含むデータのあるエリアにアクセスするすべての人に対して、セキュリティ認証を定義および提供するプロセスが用意されていますか?
プロセスは、労働者、訪問者、および請負業者などの施設に存在する可能性のある他の人に対応していますか? 保護されたデータ領域にアクセスする人を監視するためのプロセスが整っていますか? |
以下を明確に識別します。
|
| 7.(a)(2) | データセキュリティとサニタイズに関連する責任、権限、および制限を特定するために、データセキュリティポリシーが文書化されていますか?
データ保護担当者は特定されていますか? インシデントの報告と対応の手順は定義されていますか? |
以下を明確に識別します。
|
ステップ #5: 該当する場合は、付録 B のプロセスに関連する追加のデータ コントロールを作成します。
| 参 考 | 重要な質問 | 注記/例 |
|---|---|---|
| B(1)(a) | サニタイズされたデバイスとデータを含むデバイスを識別して区別する方法は開発されていますか? | デバイスの追跡、ラベル付け、分離された物理的な保管エリア、およびサニタイズされたデバイスを分離および区別するために使用されるその他の管理を明確に識別します。 |
| イ (1)(イ) | データ無害化プロセスの有効性を評価および検証するための品質管理が定義されていますか?
品質管理は継続的に実施されていますか? 処理の不一致をサプライヤーに通知するプロセスはありますか? データのサニタイズを検証できないデバイスを管理するための代替プロセスはありますか? |
消毒プロセスを検証するために使用される品質管理を定義し、次のことを実証します。
サニタイズ プロセスで特定された問題に対応するための是正措置プロセスを定義します。 |
| イ(1)(ハ) | データ サニタイズ計画の側面を監視して、それらが計画どおりに効果的に実施されていることを確認するための活動が定義されていますか? | 次のようなデータ サニタイズ計画の実施を監督するために使用されるアクティビティを定義します。
|
| イ(1)(エ) | データ サニタイズ コンピテンシー要件は定義されていますか? | 以下に関連するすべての能力要件を明確に特定します。
|
ステップ #6: セキュリティとサニタイズ管理に関するトレーニングと検証のプロセスを開発する
| 参 考 | 重要な質問 | 注記/例 |
|---|---|---|
| 7.(a)(3) | すべての従業員は、該当するデータ セキュリティおよびサニタイズ プロセスとコントロールについてトレーニングを受けていますか?
定期的なアップグレードまたは更新トレーニングが計画され、実施されていますか? 責任者の能力はどのように検証されますか? |
以下を明確に識別します。
|
| 7.(c)(3) | 内部データセキュリティおよびサニタイズ監査プロセスは開発されていますか?
訓練を受け、有能で独立した監査人が割り当てられ、データ監査を実施する責任がありますか? 監査プロセスが以下の適合性を評価していることを確認してください。
顧客、サプライヤー、およびその他の要件 |
以下を明確に識別します。
|
注意: ガイダンスは、例と監査の推奨事項とともに、R2 標準の要件の詳細な説明を提供することを目的としています。 ただし、このドキュメントは監査対象外であり、不適合に関連して引用することはできません。 この説明は、R2 基準の誤解を防ぐことを目的としており、R2 基準に追加、削除、または変更することを意図したものではありません。 引用された例は、規格の要件を満たす唯一の方法ではない場合があります。 このドキュメントの作成には合理的な注意が払われましたが、SERI およびドキュメントの作成に関与したその他の当事者は、ドキュメントが明示または黙示を問わず、正確性または目的への適合性を保証することなく提供されていることをここに表明し、いかなる責任も放棄します。このドキュメントの使用に関連する損害または損失について、直接的または間接的な責任を負うものではありません。