目的
このガイドラインの目的は、大学の情報セキュリティポリシーで要求されるように、大学に対する感度、価値、重要性のレベルに基づいて制度的データを分類するための枠組みを確立することである。 データの分類は、データ保護のための基本的なセキュリティ制御を決定するのに役立ちます。
は
に適用されますこのポリシーは、大学のすべての教員、スタッフ、第三者代理人、および機関データへのアクセスを許可されている他の大学関連会社に適用されます。 特に、このガイドラインは、情報セキュリティの役割と責任によって定義されている制度上のデータの分類と保護を担当する者に適用されます。
定義
機密データは、通常、このガイドラインで定義されているデータ分類スキームに従って、制限付きとして分類されたデータを表す一般化された用語です。 この用語は、多くの場合、機密データと交換可能に使用されます。
データスチュワードとは、1つまたは複数の制度上のデータのライフサイクルを監督する大学の上級従業員のことです。 詳細については、”情報セキュリティの役割と責任”を参照してください。
機関データは、大学が所有またはライセンスしているすべてのデータとして定義されます。
非公開情報とは、本ガイドラインで定義されているデータ分類スキームに従って非公開情報または制限情報に分類される情報と定義されています。
機密データとは、このガイドラインで定義されているデータ分類スキームに従って、制限付きとして分類されたデータを表す一般化された用語です。 この用語は、多くの場合、機密データと交換可能に使用されます。
データ分類
情報セキュリティの文脈におけるデータ分類は、その機密性のレベルと、許可なしにデータが開示、変更、または破棄された場合の大学への影 データの分類は、そのデータを保護するために適切なベースラインのセキュリティ制御を決定するのに役立ちます。 すべての機関データは、3つの感度レベル、または分類のいずれかに分類する必要があります:
| 分類 | 定義 |
| 制限された | データは、そのデータの不正な開示、変更または破壊が大学またはその関連会社に重大なレベルのリスクを引き起こす可能性がある場合には、制限されたものとして分類されるべきである。 制限されたデータの例には、州または連邦のプライバシー規制によって保護されたデータや機密保持契約によって保護されたデータが含まれます。 制限されたデータには、最高レベルのセキュリティ制御を適用する必要があります。 |
| 非公開 | データの不正な開示、変更、破壊が大学またはその関連会社に適度なレベルのリスクをもたらす可能性がある場合、データは非公開に分類されるべきである。 デフォルトでは、制限付きデータまたは公開データとして明示的に分類されていないすべての機関データは、非公開データとして扱われる必要があります。 個人データには、合理的なレベルのセキュリティ制御を適用する必要があります。 |
| 公開 | データは、そのデータの不正な開示、変更、または破壊が大学およびその関連会社にほとんどまたはまったくリスクをもたらさない場合、公開として分類されるべきである。 公開データの例には、プレスリリース、コース情報、研究出版物などがあります。 公開データの機密性を保護するための制御はほとんど、あるいはまったく必要ありませんが、公開データの不正な変更や破壊を防ぐためにはある程度の制御が必要です。 |
データの分類は、適切なデータスチュワードによって実行される必要があります。 データスチュワードは、1つまたは複数の制度上のデータのライフサイクルを監督する大学の上級レベルの従業員です。 データ-スチュワードの役割と関連する責任の詳細については、”情報セキュリティの役割と責任”を参照してください。
データコレクション
データスチュワードは、目的や機能に共通するデータのコレクションに単一の分類を割り当てることができます。 データのコレクションを分類するときは、個々のデータ要素の最も制限的な分類を使用する必要があります。 たとえば、データ収集が学生の名前、住所、社会保障番号で構成されている場合、学生の名前と住所が公開情報と見なされる場合でも、データ収集は制限付きと分類される必要があります。
再分類
定期的に、法的および契約上の義務の変更、およびデータの使用またはその価値の変更に基づいて、割り当てられた分類が適切であることを確 この評価は、適切なデータスチュワードによって実施されるべきである。 ただし、データスチュワードは、利用可能なリソースに基づいて、どの頻度が最も適切であるかを判断する必要があります。 データスチュワードが、特定のデータセットの分類が変更されたと判断した場合は、セキュリティ制御の分析を実行して、既存の制御が新しい分類と一貫しているかどうかを判断する必要があります。 既存のセキュリティ管理にギャップが見つかった場合は、ギャップによって提示されるリスクのレベルに見合った適時に修正する必要があります。
分類の計算
大学の情報セキュリティポリシーに記載されている情報セキュリティの目標は、機関データの機密性、完全性、可用性を保護することです。 データ分類は、機密性、完全性、または可用性が損なわれた場合の大学への影響のレベルを反映しています。
残念ながら、特定のデータ要素の分類を計算するための完全な定量的システムはありません。 状況によっては、連邦法が特定の種類のデータ（個人を特定できる情報など）を保護することを大学に要求している場合など、適切な分類がより明白にな 適切な分類が本質的に明白でない場合は、次の表をガイドとして使用して、各セキュリティ目標を検討してください。 これは、情報と情報システムの分類について議論している国立標準技術研究所によって発行された連邦情報処理標準（FIPS）出版199からの抜粋です。
| 潜在的な影響 | |||
| セキュリティ目標 | 低 | 中 | 高 |
| 機密性 個人のプライバシーおよび専有情報を保護するための手段を含む、情報へのアクセスおよび開示に関する許可された制限を維持する。 |
不正な情報の開示は、組織の業務、組織の資産、または個人に限られた悪影響を及ぼすことが予想される可能性があります。 | 不正な情報の開示は、組織の業務、組織の資産、または個人に重大な悪影響を及ぼすことが予想されます。 | 情報の不正な開示は、組織の運営、組織の資産、または個人に深刻なまたは壊滅的な悪影響を及ぼすことが予想される可能性があります。 |
| 整合性 不適切な情報の変更または破壊から保護し、情報の否認および真正性を保証することを含みます。 |
情報の不正な変更または破壊は、組織の運営、組織の資産、または個人に限定された悪影響を及ぼすことが予想される可能性があります。 | 情報の不正な変更や破壊は、組織の運営、組織の資産、または個人に重大な悪影響を及ぼすことが予想されます。 | 情報の不正な変更または破壊は、組織の運営、組織の資産、または個人に深刻または壊滅的な悪影響を及ぼすことが予想される可能性があります。 |
| 可用性 情報へのタイムリーかつ信頼性の高いアクセスと使用を確保します。 |
情報または情報システムへのアクセスまたは使用の中断は、組織の運営、組織の資産、または個人に限られた悪影響を及ぼすことが予想される。 | 情報や情報システムへのアクセスや使用の中断は、組織の運営、組織の資産、または個人に深刻な悪影響を及ぼすことが予想されます。 | 情報または情報システムへのアクセスまたは使用の中断は、組織の運営、組織の資産、または個人に深刻または壊滅的な悪影響を及ぼすことが期 |
大学への総潜在的な影響が低いから高いに増加するにつれて、データの分類は、公共から制限されたものに移動し、より制限的になる必要があります。 これらの点を考慮した上で、適切な分類がまだ不明な場合は、情報セキュリティ室にお問い合わせください。
付録A-事前定義された制限された情報の種類
情報セキュリティ事務所と法務顧問事務所は、州および連邦の規制要件に基づいて、いくつかの種類の制限されたデータを定義しています。 それらは次のように定義されています:
| 認証検証機 | |
認証検証者は、個人によって自信を持って保持され、その人が彼らが言う人であることを証明するために使用される情報の一部です。 いくつかの例では、認証検証者は、少数の個人のグループの間で共有され得る。 認証検証器はまた、システムまたはサービスの同一性を証明するために使用され得る。 例としては、以下が挙げられるが、これらに限定されない:
|
|
| 対象となる財務情報 | |
| 大学のGramm-Leach-Bliley情報セキュリティプログラムを参照してください。 | |
| 電子保護された健康情報（”EPHI”) | |
EPHIは、電子メディアに保存または送信される保護された健康情報（「PHI」）と定義されます。 この定義の目的のために、電子メディアには次のものが含まれます:
|
|
| 輸出管理品目 | |
|
輸出管理資料とは、米国によって発行された輸出管理規則（EAR）を含むがこれらに限定されない、米国輸出管理規則の対象となる情報または資料と定義さ 商務省と武器規制の国際交通（ITAR）は、米国国務省によって公開されています。 詳細については、Office of Research Integrity and Complianceの輸出管理に関するFAQを参照してください。 |
|
| 連邦税情報（”FTI”) | |
| FTIとは、内国歳入庁から本学に委託された返品、返品情報または納税者の返品情報と定義されています。 詳細については、内国歳入庁の出版物1075の別紙2を参照してください。 | |
| お支払いカード情報 | |
|
支払いカード情報は、次のデータ要素の1つ以上と組み合わせて、クレジットカード番号（プライマリ口座番号またはPANとも呼ばれます）として定義されま:
支払いカード情報は、大学のpci dssポリシーおよびガイドライン（ログインが必要）にも準拠しています。 |
|
| 個人を特定できる教育記録 | |
個人を特定できる教育記録は、以下の個人識別子の一つ以上を含む教育記録として定義されます:
教育記録を構成するものの詳細については、carnegie mellonの学生のプライバシー権に関するポリシーを参照してください。 |
|
| 個人を特定できる情報 | |
セキュリティ侵害通知の要件を満たすために、PIIは、次のデータ要素の1つまたは複数と組み合わせて、個人の名または最初の姓と姓として定義され:
|
|
| 保護された健康情報（”PHI”) | |
PHIは、電子メディアによって送信され、電子メディアで維持される「個別に識別可能な健康情報」と定義されます。 Carnegie MellonのHIPAAポリシーで定義されているように、対象コンポーネントによって他の形式または媒体で送信または維持されます。 PHIに次の識別子の1つ以上が含まれている場合、PHIは個別に識別可能と見なされます:
PHIには、教育記録または治療記録は含まれていません。 家族の教育の権利とプライバシー法または雇用者としての役割で大学が保有する雇用記録。 |
|
| 制御された技術情報（”CTI”) | |
| 制御された技術情報とは、DFARS252.204-7012に従って、”アクセス、使用、複製、変更、パフォーマンス、表示、リリース、開示、または配布に関する制御の対象となる軍事または宇宙 | |
| 公式の使用のみ（”FOUO”）のために”) | |
| 公的な使用のために標識またはマークされた文書およびデータは、国立公文書館（NARA）によって定義された管理された未分類情報（CUI）のプリカーソルです) | |
| 欧州連合（EU）からの個人データ) | |
|
EUの一般データ保護規則（GDPR）は、個人データを、
欧州経済地域（EEA）諸国の個人から収集された個人データは、GDPRの対象となります。….. 質問のために、電子メールをに送って下さい[email protected]….. |
改訂履歴
| バージョン | 公開 | 著者 | 説明 |
| 0.1 | 07/02/2008 | ダグ-マルキェヴィッチ | 原案 |
| 0.2 | 09/25/2008 | Doug Markiewicz | は分類セクションをデータコレクションに置き換え、再分類と分類の計算に関するセクションを追加しました。 |
| 0.3 | 10/20/2008 | Doug Markiewicz | は、元のシステムの欠陥による分類の計算に関するセクションを書き直しました。 更新された目的は、に適用され、定義します。 |
| 0.4 | 11/04/2008 | Doug Markiewicz | は方程式を削除し、公開データの定義をマイナーアップデートし、追加情報を更新した。 用語がアルファベット順に表示されるように付録Aをソートし、対象となる財務情報を用語として追加しました。 |
| 0.5 | 02/20/2009 | Doug Markiewicz | は、付録A定義Gにリストされている最後の識別子に欠落している箇条書きを追加しました。 |
| 0.6 | 02/26/2009 | ダグMarkiewicz | フィードバックに基づいて、様々な更新。 主な変更点としては、定義への”データ-スチュワード”の追加、情報セキュリティ-ロール&の責任への参照の追加、付録Aへの連邦税情報の追加などがあります。 |
| 0.7 | 03/18/2009 | Doug Markiewicz | は、HIPAA情報セキュリティポリシーを参照するために、付録AのPHIの定義を更新しました。 付録Aに認証検証機能を追加しました。 |
| 0.8 | 09/17/2009 | Doug Markiewicz | 関連出版物との一貫性のために適用された更新。 顧問弁護士の勧告に従って付録Aから教育記録を削除しました。 学生のプライバシー権に関する方針を参照するために、付録Aの個人を特定できる教育記録を更新しました。 |
| 0.9 | 01/22/2010 | Doug Markiewicz | は、輸出規制材料を含むように付録Aを更新しました。 |
| 1.0 | 09/15/2011 | Doug Markiewicz | は、新しいHIPAAポリシーに合わせて、保護医療情報の定義を更新しました。 ドラフト指名を削除しました。 |
| 1.1 | 04/07/2015 | Laura Raderman |
付録Aを更新し、制御された技術情報を含むようにしました。 |
| 1.2 | 03/20/2018 | Laura Raderman |
付録Aを更新し、FOUOとCUIを含むようにした。 |
| 1.3 | 05/23/2018 | Mary Ann Blair |
欧州連合からの個人データを含むように、付録Aを更新 |
| ステータス: | 公開済み |
| 出版: | 07/02/2008 |
| 最後のレビュー: | 05/23/2018 |
| 最終更新日: | 05/23/2018 |