Netflixコンテンツセキュリティのベストプラクティス
Netflixスタジオ情報セキュリティチームは、リリース前のNetflixコンテンツを扱う会社向けのベストプラクティスを以下のように策定しました。 セキュリティ領域ごとの目的をまとめて達成する大まかな推奨基準と考えてください。 それぞれのベストプラクティスは具体的な解決策を示すものではなく、理想的な結果とそれを得るためのさまざまな方法や手段を示します。 皆様がリスクベースアプローチによりコンテンツセキュリティに取り組み、特定のリスクがセキュリティフレームワークによって確実に対処されることを推奨します。 皆様と協力し、Netflixのセキュリティに関する個別の要求がプロジェクト固有のニーズに合うようにします。 皆様の業務または皆様のワークフローの一部がホームスタジオ以外で行われる場合は、ホームスタジオのセキュリティガイドラインをご確認ください。
セキュリティ管理
- 情報セキュリティの基本方針と原理を文書に明確に記録する
- セキュリティのトレーニングや意識向上プログラムを実施する
- 定期的にリスクを評価する
- ハードウェアとソフトウェアを最新の状態に保つ
- 顧客のデータや素材に関係するインシデントが発生した場合の対処法を記載した"インシデント対応計画"を実施可能な状態にする。 Netflixコンテンツに関係するインシデントはすぐに sis@netflix.comにエスカレーションしてください。
- 業務継続計画を実施可能な状態にする
- 顧客プロジェクトの担当者のみがコンテンツにアクセスできるようにする
- プロジェクトの関係者以外にコンテンツを開示する場合はNDAを締結する
- セキュリティにおける主要な役割の担当を決める
ネットワーク
- 適切な場合、ネットワーク接続を最小権限の原則に基づいて設定する (例: ゼロトラスト、VLANを使用したネットワークのセグメント化、物理的なエアギャップ)
- 監査とログインシステムを実施する (ネットワークアクティビティ、接続やトラフィックなど)
- ネットワークへのリモート接続にはVPNを使用し、可能であれば多要素認証 (MFA) を設定
エンドポイント (例: ワークステーション、サーバー)
- コンテンツの処理や保管用のエンドポイントの機器は常にセキュアな状態であること (例: ファイアウォールとディスク暗号化を有効にする、パスワードによる保護)
本人確認 (例: ユーザーコントロール)
- コンテンツを扱うネットワークで、ユーザーIDを検証する認証フレームワークを構築する
- 認証とあわせて、最小権限の原則に基づいて権限を与える権限付与フレームワークを構築する
- MFA、シングルサインオン (SSO) などの強固な認証保護機能を実装する
- IDライフサイクル管理を実施する (例: オンボーディングとオフボーディングの手続き)
データの保護
- 次のようなエンドツーエンドのデータ保護対策を実施する
- 転送データの暗号化
- 保存データの暗号化 (ファイルベース、データベース、ディスクベース)
- 個別のコンテンツの保護 (DRM、透かし)
物理的セキュリティ
- 物理的アクセス制御を実施する (例: カメラ、カードリーダー、警報装置) 対象: 注意を要するエリア周辺および必要な場所
- 慎重に扱うべき物理的アセット (例: 外付けハードドライブ、印刷資料) は、 安全な物理的場所に保管する
- 物理的にアセットを輸送する際は、記録管理が適切に実施されていること
- 注意を要するエリアでは、ビジターの所在をはっきりさせる (例: ログインや付き添い)
さらにアドバイスが必要でしたら、Netflixスタジオ情報セキュリティ (sis@netflix.com) にご連絡ください。