Protected B（カナダ）

はじめに

カナダ政府（GC）は、さまざまなセキュリティ分類レベル（例: Protected A、Protected B、Confidential、Secret、Top Secret など）を使用して、情報の機密性、および情報の機密性、完全性、可用性が侵害された場合に発生する可能性のある損害に応じてデータを分類しています。GC の部門や機関はクラウド サービスを使用できますが、GC の部門はまず情報を特定して分類し、適用すべきセキュリティ管理を理解する必要があります。

Protected B とは

「保護された」情報は、Protected A、Protected B、Protected C のいずれかに分類され、個人情報、商業上の機密情報、または侵害された場合に国家以外の利益に損害を与えると合理的に予測されるその他の情報やアセットに適用されます。具体的には、Protected B には、医療記録、人事評価レポート、詳細な財務情報などの機密性の高い個人情報が含まれる可能性があります。この種の情報の不正な開示は、精神的苦痛、金銭的損失、評判の低下など、個人や組織に深刻な損害をもたらす可能性があります。

GC は、政府機関のセキュリティに関するポリシー、サービスとデジタルに関するポリシー、指令、ガイドライン、契約セキュリティ マニュアル、商用クラウド サービスの安全な使用に関する指令: セキュリティ ポリシー実施通知（SPIN）などのポリシー文書を公開しています。これらの文書には、政府機関の機密情報を保護するために、各部門、機関、民間組織が考慮すべき物理的、人的、IT セキュリティ要件と管理方法が記載されています。

Protected B のクラウド関連のセキュリティ管理要件は何ですか。

クラウドについては、セキュリティ管理の要件は Information Technology Security Guidance（ITSG-33）の付録 3 – IT Security Risk Management: A Lifecycle Approach に記載されています。サイバーセンターの Medium Cloud Security Control Profile は、IT セキュリティ要件のベースラインとして使用されます。さらに、GC は Protected B High Value Assets（PBHVA）Cloud Security Control Profile を開発しました。このプロファイルは、高価値アセット システムとして特定された Protected B ワークロードをサポートするために、強化として適用できる追加の整合性と可用性の管理を定義します。

カナダの公共事業・調達省（PSPC）契約セキュリティ プログラム（CSP）

PSPC CSP は、クラウド サービス契約の人員のセキュリティと物理的なセキュリティを検証します。この一環として、Google Cloud が PSPC CSP に登録されており、必要な組織のセキュリティ クリアランスを保持していること、保護された情報や運用ゾーンにアクセスするビジネス上のニーズがある従業員に対して人員のセキュリティ クリアランスを促進していることが確認されます。また、PSPC は Google Cloud のカナダのデータセンター ロケーションで物理的なセキュリティ検査を実施し、安全な運用ゾーン、適切なデータ保護、アクセス制御、契約のセキュリティ要件が満たされていることを確認します。

Canadian Centre for Cyber Security（CCCS）Supply Chain Integrity（SCI）

Cyber Center SCI チームは、プロダクトやサービス自体の技術的なリスクに加えて、所有権、場所、ビジネス プラクティスなどの企業関連のリスク要因を評価します。SCI チームはさまざまなソースを使用してリスク評価を生成し、最終的なクラウド セキュリティ評価の決定に役立てます。SCI プロセスの詳細については、ITSAP.10.070, Cyber supply chain: An approach to assessing risk をご覧ください。

Canadian Centre for Cyber Security（CCCS）CSP IT Security Assessment Process

Cloud Service Provider（CSP）Information Technology Security（ITS）Assessment Process（ITSM.50.100）は、Medium Cloud Profile や Protected B High Value Asset Overlay Profile などのセキュリティ管理に対するクラウド ソリューションの詳細な評価で構成されています。Google Cloud は、関連する管理プロファイル内の各セキュリティ管理機能への準拠を示す証拠を提供する責任があります。その後、CCCS は、その調査結果をまとめたセキュリティ評価レポートを発行します。