classification-policy

データ分類ポリシーの策定

概要

データ分類ポリシーは、機密性のレベルに応じてデータを分類し、各区分の取り扱い要件を定める、全社規模の枠組みを確立します。このポリシーでは、GDPR に基づく分類義務（個人データ、特別カテゴリデータ、犯罪に関するデータ）と情報セキュリティ要件（機密性、完全性、可用性）を、ライフサイクル全体を通じてデータの保管、送信、アクセス、廃棄方法を規定する、実用的で実施可能なルールに落とし込みます。このスキルでは、GDPR 要件および ISO 27001 附属書 A の管理策に沿った、4 段階の分類体系の設計、実装、適用を扱います。

分類レベルの構成

Vanguard Financial Services 向け 4 段階モデル

レベル	ラベル	説明	GDPR との対応	ISO 27001 との対応
レベル 1：公開	PUBLIC	公開が承認されている情報です。開示しても、組織や個人にリスクはありません。	匿名化データ（前文 26）、公開済み報告書、公開書類	A.8.2 — 未分類／公開
レベル 2：社内	INTERNAL	社内利用のみを目的とする情報です。開示によって多少の不便が生じるものの、重大な損害は発生しません。	仮名化された集計データ、社内手順、組織図	A.8.2 — 社内
レベル 3：機密	CONFIDENTIAL	開示すると、個人または組織に重大な損害が生じる情報です。	個人データ（第 4 条（1））、財務データ、顧客記録、従業員記録	A.8.2 — 機密
レベル 4：制限付き	RESTRICTED	開示すると、深刻な損害、規制上の制裁、または回復不能な損害が生じる情報です。	第 9 条の特別カテゴリデータ、第 10 条の犯罪に関するデータ、営業秘密、規制当局による調査データ	A.8.2 — 制限付き／秘密

分類判定マトリクス

データの種類	レベル	根拠
公開済み年次報告書	PUBLIC	公開が承認されています
社内組織図	INTERNAL	開示によって個人に損害は生じませんが、社外への配布を意図していません
顧客の氏名とメールアドレス	CONFIDENTIAL	個人データであり、開示すると GDPR 上の義務に違反します
顧客の口座番号と取引情報	CONFIDENTIAL	財務上の機密性を伴う個人データです
従業員の国民保険番号	CONFIDENTIAL（RESTRICTED に近い）	機密性の高い直接識別子です
従業員の健康記録	RESTRICTED	第 9 条の特別カテゴリデータです
生体認証アクセス用テンプレート	RESTRICTED	第 9 条の生体認証データです
犯罪歴調査の結果	RESTRICTED	第 10 条の犯罪に関するデータです
AML 調査ファイル	RESTRICTED	犯罪に関するデータであり、法的秘匿特権の対象です
取締役会の戦略計画	RESTRICTED	商業上の機密情報です
暗号鍵と認証情報	RESTRICTED	セキュリティ上、極めて重要です

レベルごとの取り扱い手順

レベル 1：公開

管理策	要件
保管	制限なし。承認済みの任意のプラットフォームを使用できます
送信	制限なし。任意のチャネルで送信できます
アクセス制御	制限なし。誰でもアクセスできます
暗号化	不要（ただし、完全性を保つため推奨）
保持	文書保持スケジュールに従います
廃棄	標準的な削除
ラベル付け	「Public」とラベル付けするか、ラベルは不要です

Tier 2：内部

管理項目	要件
保管	Vanguard が管理するシステムのみ（個人所有のデバイスや個人用クラウドは不可）
送信	Vanguard のメールまたは承認済みのコラボレーションツールを使用します。個人用メール経由での送信は禁止です
アクセス制御	有効なアカウントを持つすべての Vanguard 従業員および承認済みの契約業者がアクセスできます
暗号化	転送中の暗号化が必須です（TLS 1.2 以上）。保存時の暗号化を推奨します
保持	文書の保持スケジュールに従います
廃棄	標準的な安全な削除（ファイルシステムからの削除）
ラベル付け	ヘッダー／フッターまたはメタデータに「Internal」ラベルを付けます

Tier 3：機密

管理項目	要件
保管	アクセス制御が適用された Vanguard 管理システムに保管し、保存時に暗号化します（AES-256）
送信	暗号化メール（TLS 1.3 または S/MIME）または承認済みの SFTP を使用します。暗号化されていないチャネルは禁止です
アクセス制御	ロールベースアクセス制御（RBAC）、業務上の知る必要性に基づくアクセス、MFA が必須です
暗号化	保存時（AES-256）および転送中（TLS 1.3）の暗号化が必須です。機密性の高いフィールドにはフィールドレベルの暗号化を適用します
印刷	セキュアプリントによる出力許可があれば印刷できます。印刷物は施錠できるキャビネットに保管します
外部共有	DPA／NDA に基づく承認済みの第三者とのみ共有できます。新たな受信者には DPO の承認が必要です
保持	データ固有の保持スケジュールに従い、自動的に適用します
廃棄	安全な上書き（NIST 800-88 Clear）を行います。物理媒体はシュレッダー処理します
ラベル付け	文書のヘッダー／フッター、メールの件名タグ、およびメタデータに「Confidential」ラベルを付けます
監査	アクセスを記録し、アクセス権限を四半期ごとに見直します
DLP	DLP ポリシーを有効にします。外部共有時に警告し、個人用メールへの共有をブロックします

Tier 4：制限

管理項目	要件
保管	指定されたアクセス制限システムのみを使用します。顧客管理キーで保存時に暗号化し、該当する場合はネットワークセグメントを分離するか HSM を使用します
送信	エンドツーエンドで暗号化されたチャネルのみを使用します。暗号化なしのメールは禁止です。承認済みのセキュアなファイル転送のみを使用します
アクセス制御	個人を特定したアクセスリストを使用し（ロールベースではありません）、大量アクセスには 2 名による承認を必要とします。MFA と特権アクセス管理（PAM）が必須です
暗号化	顧客管理キーを使用した保存時の AES-256 暗号化、転送中の TLS 1.3、および必須のフィールドレベル暗号化を適用します
印刷	DPO が明示的に許可した場合を除き、禁止です。ユーザー ID の透かしを入れます
外部共有	DPO と Chief Privacy Officer の共同承認がない限り禁止です。暗号化された転送のみ許可されます
保持	厳格な保持を適用し、自動削除を行います。DPO の承認なしに保持期間を延長できません
廃棄	NIST 800-88 Purge（暗号学的消去または物理的破壊）を行い、廃棄証明書を必須とします
ラベル付け	文書のヘッダー／フッター（赤色）、メールバナー、およびメタデータに「Restricted」ラベルを付けます。画面にも視覚的な表示を行います
監査	すべてのアクセスについて、ユーザー ID、タイムスタンプ、および目的を記録します。DPO が毎月監査を実施します
DLP	DLP ポリシーを有効にし、すべての外部共有、USB へのコピー、印刷、スクリーンショットをブロックします。ポリシー違反時には DPO にアラートを送信します
インシデント対応	不正アクセスまたは開示はすべてデータ侵害として扱い、直ちに DPO に通知します

ポリシーガバナンス

ポリシー文書の構成

セクション	内容
1. 目的と適用範囲	分類が必要な理由と、対象となるデータを定義します
2. 分類レベル	例を含む4段階の定義
3. 役割と責任	データオーナー、データスチュワード、DPO、IT セキュリティ、全従業員
4. 分類手順	新規データの分類方法と、再分類の契機
5. 取り扱い要件	レベルごとの管理策マトリックス
6. ラベル付け要件	ラベルの適用方法（手動および自動）
7. 例外プロセス	リスクの受容を伴う例外申請の方法
8. 遵守の徹底	監視、監査、違反に対する措置
9. トレーニング	分類に関する意識向上トレーニングの要件
10. レビューのスケジュール	年次レビュー。規制変更時には臨時レビュー

役割と責任

役割	責任
データオーナー（事業部門の責任者）	担当する業務機能のデータを分類する。アクセス申請を承認する。分類を毎年レビューする
データスチュワード（部門担当）	分類ラベルを維持する。担当領域で取り扱い要件が遵守されていることを確認する。分類に関する問題を報告する
DPO	ポリシーの遵守を監督する。Restricted レベルの例外を承認する。分類監査を実施する
IT セキュリティ	各レベルに応じた技術的管理策を実装する。DLP ポリシーを管理する。暗号化を設定する。監査ログを監視する
全従業員	作成するデータに分類ラベルを適用する。レベルごとの要件に従ってデータを取り扱う。分類ミスの疑いを報告する
プライバシーエンジニアリング	自動分類ツールを設定する。データ検出プラットフォームを管理する。検出精度を調整する

例外プロセス

Exception Request
  │
  ├─► Step 1: Requestor documents the exception
  │     - What data? What tier? What control cannot be met?
  │     - Why is the exception needed?
  │     - What alternative controls are proposed?
  │     - Duration of exception requested
  │
  ├─► Step 2: Risk Assessment
  │     - Data Steward assesses the risk of the exception
  │     - For Confidential tier: Data Owner approves
  │     - For Restricted tier: DPO and CISO jointly approve
  │
  ├─► Step 3: Approval and Documentation
  │     - Exception recorded in exception register
  │     - Alternative controls documented and implemented
  │     - Expiry date set (maximum 12 months, renewable)
  │
  └─► Step 4: Review
        - Exception reviewed at expiry
        - Renewed only if original justification remains valid
        - Chronic exceptions trigger process improvement

遵守の徹底策

仕組み	実装
自動ラベル付け	Microsoft Purview の自動ラベル付けにより、検出された PII に基づいて Confidential／Restricted ラベルを適用します
DLP ポリシー	Microsoft Purview DLP により、ポリシー違反（外部共有、USB へのコピー）をブロックするか警告します
アクセスレビュー	Confidential のアクセス権限を四半期ごとに認定します。Restricted は毎月認定します
監査ログ	Confidential および Restricted データへのすべてのアクセスを記録し、2年間保持します
分類監査	DPO が半年ごとに、各レベルから100項目を抽出して分類の正確性を監査します
トレーニングの受講状況	全従業員は毎年、分類トレーニングを受講する必要があります。受講完了状況は LMS で追跡します
懲戒方針	違反は従業員ハンドブックに従って段階的に対応します。警告 → 正式な警告 → 懲戒処分

遵守徹底の先例

• ICO v Interserve Group（2022）：セキュリティ対策の不備により440万 GBP の罰金。ICO は、機密性に基づくデータ分類の欠如が、リスクに応じたセキュリティ管理策を適用できなかった一因となり、113,000人の従業員に影響する情報漏えいにつながったと指摘しました。
• CNIL v Sergic（2019）：入居者の個人データに適切なアクセス制御を実装しなかったとして400,000 EUR の罰金。データ分類が行われていなかったため、すべてのデータが同じ（不十分な）管理策で取り扱われていました。
• AEPD v CaixaBank（2021）：600万 EUR の罰金。DPA は、不十分なデータ分類が、データ最小化および保存期間の制限の原則に違反する過剰なデータ収集と保持の一因となったと指摘しました。

統合ポイント

• personal-data-test：個人データの分類結果に基づいて、分類ポリシーのレベルを割り当てます
• special-category-data：Art. 9 データには自動的に Restricted レベルを割り当てます
• criminal-data-handling：Art. 10 データには自動的に Restricted レベルを割り当てます
• data-labeling-system：ラベル付けシステムがポリシーのラベル付け要件を実装します
• auto-data-discovery：検出ツールにより、分類ラベルが検出されたデータの機密性と一致することを検証します