ニュージーランド政府の情報セキュリティとプライバシーに関する考慮事項

  • [アーティクル]

2023年4月、ニュージーランド政府は更新された クラウドファーストポリシーに合意しました。 このポリシーと以前の決定では、パブリック クラウド サービスを使用する前に、ニュージーランド政府機関が次のアクションを実行する必要があります。

  • オンプレミスのシステムとインフラストラクチャから離れる
  • 情報を安全に格納する
  • クラウド プランを作成して使用する
  • Te Ao Māori の観点を検討する
  • 持続可能性の原則を採用する
  • リスクを評価する

ニュージーランド政府は、特定の組織がニュージーランド政府の情報セキュリティとプライバシーに関する考慮事項に準拠することを要求しています。 この要件は、政府最高デジタル責任者 (GCIO) の義務に該当する組織 (公的および非公開のサービス部門、地区保健委員会、クラウンエンティティなど) に適用されます。 これらの組織は、クラウド サービスの使用を決定するときにフレームワークに従う必要があります。 フレームワーク内のいくつかの質問は、プライバシー法 2020 に関連します。 これらの質問に対する Microsoft の回答は、該当する場合はニュージーランドプライバシー法 2020 に基づいています。

また、クラウド サービスを採用する方法に関する機関向けの一連のガイドラインも公開しました。 このフレームワークには、次の手順が含まれています。

  • 情報を適切に分類する
  • パブリック クラウド サービスを使用する利点を把握する
  • organizationのクラウド プランを使用する
  • パブリック クラウド サービスを購入する方法を確認する
  • リスク検出ツールを使用する
  • リスクを評価するためにorganizationのプロセスを使用する

ニュージーランド政府は、クラウド サービスを評価して採用する際に、すべての州サービス機関がこのフレームワーク内で機能することを期待しています。 Cloud Computing の要件 は、クラウド サービスを採用するときに機関が実行する必要がある内容と、政府のクラウド ポリシーの履歴の概要を示しています。

必要なリスク評価

ニュージーランド政府機関が潜在的なクラウド ソリューションに対して一貫した堅牢なデュー デリジェンスを実施するのを支援するために、GCIO はパブリック Cloud Servicesのためのリスク検出ツールを公開しました。 このツールには、データ主権、プライバシー、セキュリティ、ガバナンス、機密性、データの整合性、可用性、インシデント対応と管理に焦点を当てた約 100 の質問が含まれています。 このツールでは、クラウド サービス プロバイダーが正式なコンプライアンスを実証する必要があるニュージーランド政府の標準は定義されていません。 ただし、ドキュメントに記載されている質問の多くは、クラウド サービス プロバイダーがさまざまな関連基準にどのように準拠しているかを理解することの重要性を示しています。

リスク評価に対する Microsoft の対応

政府機関が Microsoft エンタープライズ クラウド サービスの分析と評価を行うのを支援するために、Microsoft は、Microsoft クラウド サービスが認定されている基準にリンクすることで、リスク評価ツールに記載されている質問にエンタープライズ クラウド サービスがどのように対処するかを示すドキュメントを作成しています。 これらの認定資格は、プライバシーとセキュリティのリスクを効果的に軽減し、データ主権の懸念に対処するために、クラウド サービスが設計、構築、運用されていることをパブリック部門と民間セクターのお客様の両方に保証する方法の中心です。

ニュージーランド 情報セキュリティ マニュアルに基づき、お客様の機関がその情報通信技術 (ICT) システムの認定と認定を受ける必要がある場合は、分析の一環としてこれらの応答を使用できます。

注:

Microsoft では、Azure、Dynamics 365、Microsoft 365、Microsoft Fabric の更新されたコンテンツの公開に取り組んでいます。 最新情報については、すぐにご確認ください。

リソース