施設内のデータを含むアイテムの物理的セキュリティ

[4 年 4 月 2023 日追加]   Q.Do すべてのデータセキュリティ要件が施設全体に適用されますか?

R2 施設は、施設および機器へのアクセスを制御するためのセキュリティ プログラムを維持する必要があります。 場合によっては、セキュリティ管理が施設全体に均等に実装されることもあれば、施設の特定の部分で、取り扱う機器の種類や必要なデータ セキュリティのレベルに応じて、追加のセキュリティ管理が必要になることもあります。

物理的なセキュリティ管理に加えて、施設はセキュリティ認証を確立し、データ デバイスと保護されたエリアへのアクセスを管理し、データ セキュリティ ポリシーと手順についてすべての従業員をトレーニングする必要があります。

[4 年 4 月 2023 日追加]   Q.  すべての R2 施設に金属探知機が必要ですか?

金属探知機は、特定の状況では、より広範なセキュリティ プログラムの一部として有用なツールになる可能性がありますが、R2 規格では特に必要とされておらず、多くの施設では必要ない場合があります。

Q. 要件 6.(d)(2) に基づく項目を含むデータを保護および管理するために、施設内で追加のセキュリティと分離が必要ですか?

各 R2 施設は、運用のための機器を含むデータへのアクセスを保護および制御するための最良の手段を決定する必要があります。 これは、取り扱う電子機器の種類、ストレージ デバイス上のデータの機密性、サービスを提供するサプライヤのニーズなど、いくつかの要因によって異なります。 R2施設は、建物全体またはその中の特定の領域を保護することを選択できますが、コア要件7、データセキュリティに従って、保護された領域にアクセスするための適切な承認を明確に識別および維持する必要があります.

[11 年 19 月 2021 日追加]   Q. 施設全体が入退室管理され、安全なエリアとして管理されています。 建物の外部にデータ保護区域であることを示す標識を設置すると、盗難の標的になる可能性があることを懸念しています。 コア 7(b)(3) は、建物の外部に看板を設置する必要がありますか?

R2 は、「不正アクセスに対する警告」以外に、ラベリングまたはサイネージに必要なものの詳細を定義していません。 「安全なエリア…入場禁止…許可された職員のみ」などの用語を使用した一般的な標識は、施設内の活動やアイテムの価値の詳細を開示することなく、標識の要件を満たすために使用できます。

あるいは、施設のレイアウトを変更して、追加のセキュリティ管理のために特定の領域を制限し、他の一般的な領域から分離することもできます。 各施設には、特定の運用に最適な方法でこれらのセキュリティの決定を行う柔軟性があります。