プロキシ使用のコンプライアンス文書化: テンプレートとセキュリティポリシー

あなたの会社が顧客の個人データを扱い、支払いを受け入れ、またはセキュリティ監査の対象となる場合、プロキシサーバーの使用を文書化することは必須要件となります。正しい文書がないと、GDPRに基づいて2000万ユーロの罰金を科される可能性や、PCI DSSの認証を失うリスクがあります。

このガイドでは、規制当局の要件に準拠するためにプロキシの使用を正しく文書化する方法、作成すべきポリシー、アクセスログの管理方法について説明します。文書のテンプレートや実装のためのチェックリストを提供します。

なぜプロキシの文書化がコンプライアンスにとって重要なのか

プロキシサーバーは、企業のセキュリティ文書において「盲点」となることがよくあります。企業はデータベースの操作プロセスを詳細に説明しますが、従業員やシステムがプロキシを通じて外部リソースにアクセスする方法を文書化することを忘れがちです。

問題は、いくつかの状況で深刻になります:

• 情報セキュリティ監査: ISO 27001やSOC 2の監査人は、データへのすべてのアクセスチャネルが文書化され、管理されていることを確認する必要があります。プロキシはそのアクセスチャネルです。
• インシデント調査: データ漏洩や不正行為の疑いがある場合、誰が、いつ、何のためにプロキシを使用して特定のリソースにアクセスしたのかを証明する必要があります。
• GDPRの確認: 他国のプロキシを通じてEU市民のデータを処理する場合、国境を越えたデータ転送の合法性を文書で確認する必要があります。
• PCI DSSの認証: カード決済を行う企業は、プロキシサーバーを含むすべてのカードデータへのアクセスポイントを文書化する必要があります。

実際の例: 2022年、あるヨーロッパのフィンテック企業は、リスクモニタリングシステムがトランザクションを確認するためにプロキシを使用していることに関する文書がないため、規制当局から警告を受けました。罰金を回避できたのは、12か月分の完全な文書パッケージと遡及的なログを急遽作成した後でした。

プロキシに関連する規制要件

様々な規制基準は、プロキシサーバーの使用を文書化するための特定の要件を設けています。以下は、ビジネスが直面する主な要件です:

GDPR (一般データ保護規則)

EU市民の個人データを処理するためにプロキシを使用する場合、次のことを文書化する必要があります:

• プロキシの使用目的 (第5条1.b — 目的の制限)
• プロキシサーバーの地理的所在地 (第44条 — 国境を越えたデータ転送)
• プロキシを通じてデータを転送する際のデータ保護のためのセキュリティ対策 (第32条)
• データ処理者としてのプロキシプロバイダーとの契約 (第28条)
• 説明責任を確保するためのアクセスログ (第5条2)

実践的な例: マーケティング部門が レジデンシャルプロキシ を使用して、EU内の異なる国で競合他社の価格や品揃えに関するデータを収集する場合、GDPRに準拠したプロキシの使用ポリシーが必要です。

PCI DSS (支払いカード業界データセキュリティ基準)

支払いを処理する企業に対するPCI DSSバージョン4.0の要件には、次のものが含まれます:

• 要件1.2.1: カードデータ環境と外部ネットワーク間のすべての許可された接続を文書化すること (プロキシはその接続の一つです)
• 要件10.2: プロキシの管理を含む、管理者権限を持つユーザーのすべてのアクションのログを保持すること
• 要件12.3: プロキシサーバーを含む技術の使用に関するポリシー

ISO 27001 (情報セキュリティマネジメントシステム)

この基準は、A.13.1.1 (ネットワークセキュリティ要素の管理) の文脈で文書化を要求します:

• すべてのプロキシサーバーとその構成のインベントリ
• プロキシへのアクセス管理手順
• 使用状況の監視と異常の特定
• ポリシーの定期的な見直し (最低でも年に一度)

152-FZ "個人データに関する法律" (ロシア)

ロシアの法律は、次のことを文書化することを要求します:

• 個人データのセキュリティに関する脅威モデル (プロキシが保護手段または潜在的な脅威として機能する場合)
• 情報システムの作成または改修に関する技術仕様 (プロキシがその一部である場合)
• 情報システムの分類およびカテゴライズに関する文書

プロキシサーバー使用ポリシーのテンプレート

プロキシ使用ポリシーは、ルール、責任、手続きを定義する基本文書です。以下は、コンプライアンス要件に適応したポリシーの構造です:

1. 総則

ポリシーの目的: 外部リソースへのアクセスとデータ処理におけるセキュリティ、プライバシー、規制要件の遵守を確保するためのプロキシサーバー使用のルールを定義すること。

適用範囲: このポリシーは、プロキシサーバーを使用してインターネットリソースにアクセスしたりデータを処理したりするすべての従業員、契約者、自動化システムに適用されます。

2. プロキシ使用の許可された目的

プロキシサーバーは、以下のビジネス目的のためにのみ使用することができます:

• 競合の監視: 市場分析のために、競合他社の価格、品揃え、マーケティング活動に関する公開情報を収集すること (部門: マーケティング、プロダクト)。
• ウェブサービスのテスト: 異なる地理的地域から自社のウェブリソースの可用性と正確性を確認すること (部門: 開発、QA)。
• 広告キャンペーンの検証: 異なる地域やデバイスでの広告の表示を確認すること (部門: マーケティング)。
• DDoSからの保護: 外部APIにアクセスする際に企業システムのIPアドレスを隠すこと (部門: IT)。
• 匿名性の確保: 調査や機密情報の取り扱いにおいて従業員の個人データを保護すること (部門: セキュリティ、コンプライアンス)。

3. プロキシの種類とその適用

4. プロキシへのアクセス取得手続き

プロキシサーバーへのアクセスが必要な従業員は、次の手続きを経なければなりません:

1. 申請の提出: ビジネスの根拠、プロキシの種類、使用期間を記載したアクセスリクエストフォームを記入します。
2. 上司の承認: 部門の直属の上司による承認。
3. コンプライアンスの確認: 情報セキュリティ部門またはコンプライアンス部門によるポリシーへの適合性の評価。
4. 認証情報の発行: IT部門が各ユーザーにユニークな認証情報を提供します。
5. トレーニング: 従業員はプロキシの安全な使用に関する簡単な指導を受けます (ビデオまたは文書形式で行われる可能性があります)。

申請の審査期間: 提出から3営業日以内。

5. 責任と役割

• 情報セキュリティディレクター (CISO): ポリシーの承認、遵守の監視、監査の調整。
• IT部門: 技術的実装、アクセスの発行、プロキシインフラの監視。
• コンプライアンスオフィサー: プロキシの使用が規制要件に適合しているかの確認、文書の管理。
• 部門の責任者: 自部門の従業員からのリクエストの承認、目的に沿った使用の監視。
• 最終ユーザー: ポリシーの遵守、インシデントや疑わしい活動についての即時報告。

アクセスログと監視: 記録すべき内容

プロキシの使用ログを保持することは、単なる技術的必要性ではなく、ほとんどのコンプライアンス基準の必須要件です。ログは、誰が、いつ、どの目的でプロキシを使用したかを追跡し、異常や無許可のアクセスを特定するのに役立ちます。

アクセスログの必須フィールド

各ログエントリには、次のデータが含まれている必要があります:

ログ収集の自動化

ほとんどのプロキシプロバイダーは、使用統計を取得するためのAPIを提供しています。これらのデータをSIEMシステム (Security Information and Event Management) または集中ログストレージに統合してください。

ログ収集と分析のための推奨ツール:

• ELKスタック (Elasticsearch, Logstash, Kibana): 中小企業向けの無料ソリューションで、プロキシの使用状況をリアルタイムで可視化できます。
• Splunk: 強力なイベント相関と異常検出機能を備えた商用プラットフォーム。
• Graylog: シンプルなインターフェースを持つSplunkのオープンソース代替。
• Azure Monitor / AWS CloudWatch: 該当するプラットフォームを使用する企業向けのクラウドソリューション。

アラートの設定

自動アラートは、ポリシー違反や疑わしい活動を特定するのに役立ちます:

• 異常なデータ量: 従業員がセッション中にプロキシを通じて1GB以上のデータを転送した場合 (データベースのダウンロードを示す可能性があります)。
• 勤務外のアクセス: 事前に承認されていない夜間や週末のプロキシ使用。
• 地理的位置の変更: 1人のユーザーが短期間に5か国以上のプロキシを使用している。
• 禁止されたリソースへのアクセス: 企業のブラックリストにあるドメインへの接続を試みる。
• 複数の失敗した試行: 1時間に10回以上の認証失敗 (アカウント情報の侵害の可能性)。

プロキシを通じた個人データ保護の文書化

あなたのシステムがプロキシを通じて個人データを処理する場合 (例えば、ユーザーの検証、不正トランザクションの確認、分析の収集など)、これらのデータを保護するための措置を文書化する必要があります。

プロキシのためのデータ処理影響評価 (DPIA)

GDPRは、個人の権利と自由に高いリスクをもたらす可能性のある処理活動に対してデータ処理影響評価 (DPIA) を実施することを要求しています。プロキシの使用は、次の条件に該当する場合にこの要件に該当する可能性があります:

• 機密性の高い個人データ (健康、財務、生体情報) を処理する場合
• データ保護の水準が不十分な国 (非EU) でプロキシを使用する場合
• 大規模にデータを処理する場合 (10,000人以上のデータ主体)

プロキシ使用のためのDPIAの構造:

1. 処理の説明: どのデータがプロキシを通じて転送され、どの目的で、どのデータ主体のカテゴリが影響を受けるか。
2. 必要性と比例性: プロキシの使用が必要な理由と、リスクの少ない代替手段がない理由を説明する。
3. データ主体へのリスク: 何がうまくいかない可能性があるか (データ漏洩、無許可のアクセス、データの管理喪失)。
4. リスク軽減策: 暗号化、アクセス制限、プロキシプロバイダーとの契約、定期的な監査。
5. DPOとの相談: データ保護責任者がいる場合、その意見を文書化する必要があります。

データ処理者としてのプロキシプロバイダーとの契約

プロキシプロバイダーが、そのサーバーを通過する個人データにアクセスする技術的な能力を持っている場合、彼らはGDPRの用語で「データ処理者」となります。

プロバイダーとの契約には、次のことが明記されている必要があります:

• 処理の対象と期間: どのデータが処理され、どの期間処理されるか。
• 処理者の義務: セキュリティとプライバシーの確保、データ主体の権利の実現に対する支援。
• サブ処理者: プロバイダーが第三者を雇うことができるか、あなたの同意が必要か。
• 国境を越えた転送: プロキシサーバーが所在する国、適用される保護メカニズム (標準契約条項、適合性決定)。
• インシデントの通知: プロバイダーがデータセキュリティ違反を直ちに報告する義務。
• 監査と検査: プロバイダーが契約条件を遵守しているかを確認する権利。

プロキシを通じたデータ転送時の暗号化

どの暗号化手法が適用されるかを文書化してください:

• HTTPSプロキシ: あなたのシステムとプロキシサーバー間のすべてのトラフィックはTLS 1.2以上で暗号化されます。
• SSHトンネルを使用したSOCKS5: 特に機密性の高いデータに対する追加の暗号化レベル。
• エンドツーエンド暗号化: データは送信者側で暗号化され、受信者側でのみ復号され、プロキシは暗号化されたトラフィックのみを確認します。

文書には、プロトコルのバージョンや暗号化アルゴリズムを記載してください (例: "TLS 1.3 with AES-256-GCM")。

監査のための文書準備

外部または内部の監査が行われる際には、プロキシの使用に関するコンプライアンスを確認するための完全な文書パッケージを迅速に提供する必要があります。事前に準備しておくべきものは次のとおりです:

監査用文書パッケージ

1. プロキシサーバー使用ポリシー (承認者の署名がある最新バージョン)
   • ポリシーの変更履歴
   • 従業員の確認文書 (署名済みまたは電子確認)
2. プロキシサーバーのインベントリ
   • 使用されているすべてのプロキシのリスト (IPアドレス、地理的所在地、種類)
   • プロバイダーに関する情報 (会社名、連絡先、契約の詳細)
   • 各プロキシの使用開始日
3. アクセスログ
   • 過去12か月間のログ (または基準で要求される期間)
   • 特定された異常と取られた措置に関する報告
   • 部門別の使用統計
4. プロバイダーとの契約
   • プロキシサービス提供に関する基本契約
   • GDPRコンプライアンスのためのデータ処理契約 (DPA)
   • プロキシがEU外にある場合の標準契約条項 (SCC)
   • 可用性とセキュリティの保証を含むサービスレベル契約 (SLA)
5. DPIA (データ処理影響評価) — 該当する場合
6. アクセス管理手続き
   • プロキシへのアクセスリクエストフォーム
   • 承認されたリクエストと拒否されたリクエストの例
   • 従業員の退職時のアクセス取り消し手続き
7. インシデントとその調査
   • プロキシに関連するインシデントの記録 (あった場合)
   • 調査に関する報告
   • 是正措置
8. トレーニングと意識向上
   • プロキシの安全な使用に関するトレーニング資料
   • 従業員によるトレーニングの受講記録

監査人からの典型的な質問

次の質問に答える準備をしてください (証拠を持って):

• 「プロキシが許可された目的のみに使用されていることをどのように監視していますか？」 — ログと監視手続きを示してください。
• 「個人データがプロキシプロバイダーに渡らないようにどのように保証していますか？」 — DPA、暗号化ポリシー、no-logの確認を示してください。
• 「プロキシへのアクセスを持つ従業員のリストをどのくらいの頻度で見直していますか？」 — 四半期ごとの見直し手続きを示してください。
• 「プロキシプロバイダーが業務を停止したり、侵害された場合はどうなりますか？」 — ビジネス継続計画 (BCP) と代替プロバイダーのリストを示してください。
• 「国境を越えたデータ転送のコンプライアンスをどのように確保していますか？」 — SCCとプロキシの所在国分析を示してください。

監査準備の自動化

すべての文書の最新バージョンを含む「監査フォルダー」を物理的または電子的に作成してください。更新の責任者を任命してください (通常はコンプライアンスオフィサーまたはCISO)。

GRCプラットフォーム (ガバナンス、リスク、コンプライアンス) を使用して自動化してください:

• OneTrust: ポリシー管理、文書見直しの自動リマインダー。
• ServiceNow GRC: ITプロセスとの統合、コンプライアンス証拠の自動収集。
• Vanta / Drata: SOC 2、ISO 27001のためのコンプライアンス自動化と継続的監視。

文書とログの保存期間

様々な基準や法律は、文書とログの保存に関する最小期間を定めています。これらの期間を遵守しないと、罰金を科されたり、調査の際にコンプライアンスを証明できなくなる可能性があります。

安全な削除手続き

保存期間が終了した後、文書とログは安全に削除され、古いデータの漏洩リスクを最小限に抑える必要があります:

• 電子文書: 安全な削除手法を使用してください (単に「削除」するのではなく、データを最低3回上書きすること)。
• 紙の文書: 秘密度レベルP-4以上のシュレッダーで破棄します (DIN 66399に従って)。
• バックアップ: 主要ストレージだけでなく、すべてのバックアップからデータを削除することを忘れないでください。
• 削除の文書化: 削除手続きを記録してください。