スポーツ賭けアプリザス州立大学

データの分類とセキュリティ スポーツ賭けアプリ

第 3433 章

発行: 2009 年 8 月

改訂/検討日: 2023 年 1 月, 05/2024

目次

.010 目的

.020 範囲

.030 発効日

.040 権限

.050 スポーツ賭けアプリ

.052 データ分類スキーマ

.054 データ セキュリティ基準

.056 第三者との契約

.060 定義

.070 役割と責任

.090 関連法, 規制, スポーツ賭けアプリポリシー

.100 質問/権利放棄

.010 目的

データと情報はスポーツ賭けアプリの重要な資産であり、完全性の喪失から保護されなければなりません, 機密保持, またはスポーツ賭けアプリのポリシーとガイドラインに準拠した利用可能性, 理事会のポリシー, および州および連邦の法律および規制.

.020 スコープ

このポリシーはすべてのスポーツ賭けアプリに適用されます, 部門, 行政単位, および関連組織. このポリシーの目的のため, 関連組織とは、スポーツ賭けアプリの情報技術リソースを使用して作成するスポーツ賭けアプリに関連する組織を指します, アクセス, ストア, またはビジネス機能を実行するためにスポーツ賭けアプリデータを管理. これは、サードパーティ ベンダーが作成するものにも適用されます, 保管, または契約上の合意に従ってスポーツ賭けアプリデータを維持する.

.030 発効日

このスポーツ賭けアプリは 2 月 2 日に発効しました, 2009

9 月 1 日以降に設計および実装されたすべての新しいシステム, 2009, セクションのセキュリティ基準に準拠するスポーツ賭けアプリがあります .054 以下. データ スチュワードは、機密データを含むすべてのシステムに対するコンプライアンス計画を 1 月 1 日までに作成するスポーツ賭けアプリがあります, 2011.

.040 権限

その スポーツ賭けアプリザス州, ITEC 情報技術セキュリティ標準ポリシー 7230A, セクション 11 データ保護基準 (PDF), 州政府機関がスポーツ賭けアプリ, 摂政の機関を含む, 機密性を確保するメカニズムを採用する, 空き状況, および使用制限情報の完全性.

.050 スポーツ賭けアプリ

すべてのスポーツ賭けアプリデータは、に従って分類する必要があります。 K州 データ分類スキーマと K-State データ セキュリティ標準に従って保護されている. このポリシーはすべての形式スポーツ賭けアプリメディアのデータに適用されます.

.052 データ分類スキーマ

データと情報資産は、保存または処理されるデータに関連するリスクに従って分類されます. 最もリスクの高いデータには、侵害を防ぐために最高レベルの保護が必要です; リスクが低いデータには、比例して必要な保護も少なくなります. データの使用方法に基づいてスポーツ賭けアプリデータを分類するために、3 つのレベルのデータ分類が使用されます, 不正な開示に対する感度, および外部機関によって課される要件.

データは通常、データベースに集約された形式で保存されます, テーブル, スポーツ賭けアプリファイル. ほとんどのデータ収集において, 機密性の高いデータ要素が機密性の低いデータ要素から分離されていない. たとえば, 学生情報システムには、学生の名簿情報と社会保障番号が含まれます. したがって, データ コレクション内の最も機密性の高い要素の分類によって、コレクション全体のデータ分類が決まります.

K 州のデータ分類

1. 公共 - 制限なく一般に配布することが明示的または暗黙的に承認されたデータ. スポーツ賭けアプリに損害を与える可能性がなく、自由に配布できます, アフィリエイト, または個人. 定義上、不正な開示などというものは存在しないため、一般に公開データの機密性は非常に低くなります, しかし、データの整合性が重要である可能性があるため、それでも保護は保証されます. 例:
   1. K州の公共ウェブサイト.
   2. 学生向けのディレクトリ情報, 教員, および非公開を要求した者を除くスタッフ (例, 家庭の教育権利およびプライバシー法に基づく (フェルパ) 学生向け)。
   3. コースの説明。
   4. 学期のコーススケジュール.
   5. プレスリリース。
2. 内部 - アクセスが特定のワークグループに制限された、スポーツ賭けアプリ内部の業務使用のみを目的としたデータ, 部門, 個人のグループ, または正当なニーズを持つアフィリエイト. 内部データは通常、K州コミュニティ以外の関係者には公開されていません. 不正な開示はスポーツ賭けアプリに悪影響を与える可能性があります, アフィリエイト, または個人. 内部データの機密性は通常、低から中程度です. 例:
   1. 機密情報を含まない財務会計データ.
   2. 部門のイントラネット.
   3. 情報技術トランザクション ログ.
   4. 従業員 ID 数値 ("W0...")。
   5. 学生の学歴.
   6. ディレクトリ情報.
3. 機密- 限られたユーザーを対象とした非常に機密性の高いデータ, ワークグループによる特定の用途, 部門, または正当な知る必要がある個人のグループ. 法的な理由により、アクセスには Data Steward による明示的な承認が必要です, 契約上の, プライバシー, またはその他の制約. 不正な開示は、スポーツ賭けアプリまたは関連会社のビジネスまたは研究機能に重大な悪影響を与える可能性があります, 個人のプライバシー, または連邦法または州法および規制、またはスポーツ賭けアプリとの契約の遵守について. 機密データは非常に高い機密性を持っています. 例:
   1. 社会保障番号.
   2. 学生 ID 番号 (社会保障番号と同じ場合).
   3. クレジット カード番号。
   4. 個人識別情報 (個人情報). K.S.A. § 21-6107: 個人の権利の侵害を伴う犯罪PII を含むものとして定義, 個人名; 生年月日; 住所; 電話番号; 運転免許証番号スポーツ賭けアプリカード、スポーツ賭けアプリ運転者以外の身分証明書番号スポーツ賭けアプリカード; 社会保障番号スポーツ賭けアプリカード; 勤務先;従業員識別番号スポーツ賭けアプリその他の個人識別番号スポーツ賭けアプリカード;母親の旧姓;誕生, 死亡証明書スポーツ賭けアプリ結婚証明書;電子識別番号;電子署名; そして任意の金融番号, スポーツ賭けアプリ個人の財務リソースにアクセスするために使用できるパスワード, 含む, ただしこれに限定されません, 当座預金スポーツ賭けアプリ普通預金口座, クレジット カードスポーツ賭けアプリデビット カード情報, 要求払預金スポーツ賭けアプリ医療情報.K州の目的のため, PII にはパスポート番号と組み合わせた名前も含まれます.
   5. パスポート番号。
   6. 人事記録。
   7. 医療記録。
   8. 認証トークン (e.g., 個人デジタル証明書, パスワード, 生体認証データ).
4. 独自データ - 第三者に代わって K-State に提供される、スポーツ賭けアプリ K-State によって作成および維持されるデータの分類, 企業や政府機関など, 契約上の取り決めおよび/スポーツ賭けアプリ関連する法律や規制によって異なります. サードパーティが所有する独自データの分類とセキュリティ基準はサードパーティによって定義されます. K 州が所有する独自データは、K 州のデータ分類ポリシーとセキュリティ基準に従って分類および保護する必要があります. 機密データを管理スポーツ賭けアプリアクセスする個人は、サードパーティの所有者が指定する追加要件およびセキュリティ ポリシーと手順に従う責任があります. 独自データには、連邦政府によって国家安全保障情報として分類されたデータが含まれます（機密, 秘密, 極秘).

.054 データ セキュリティ基準

次の表は、データとデータ収集をその分類に基づいて保護するためにスポーツ賭けアプリな保護手段を定義しています. 専有データのデータ セキュリティ要件は契約機関によって決定されるため、以下の表には含まれていません.

次のデータ セキュリティ標準に加えて, 連邦スポーツ賭けアプリ州の法律や規制、スポーツ賭けアプリ契約上の取り決めの対象となるデータは、それらの法律で定義されているセキュリティ要件を満たさなければなりません, 規制, スポーツ賭けアプリ契約.

.056 第三者との契約

スポーツ賭けアプリデータに関わるスポーツ賭けアプリと第三者との間の契約には、適用されるすべての法律の遵守を要求する文言を含める必要があります, 規制, およびデータと情報セキュリティに関するスポーツ賭けアプリのポリシー; スポーツ賭けアプリデータが契約で許可されている以外の方法で使用または開示された場合は、スポーツ賭けアプリに直ちに通知; そして, 可能な限り, そのような使用または開示による悪影響を軽減する.

.060 の定義

ACL

アクセス制御リスト; ネットワーク デバイス内の一連のルール, ルーターなど, ネットワークのセグメントへのアクセスを制御します. ACL を備えたルーターは、ファイアウォールと同様に受信および送信ネットワーク トラフィックをフィルタリングできますが、機能は劣ります.

認証

デジタル ID を確認するプロセス. たとえば, 誰かがウェブメールにログインしたとき, パスワードは、ログインしている人が の所有者であることを証明します。 eID. 検証プロセスは認証と呼ばれます.

認可

リソースへのアクセスを、リソースの使用を許可されたユーザーにのみ許可する.

空き状況

情報へのタイムリーかつ信頼性の高いアクセスと使用を保証.

国家安全保障に関する機密情報

連邦政府によって不正開示に対する保護がスポーツ賭けアプリと判断され、文書形式の場合に機密扱いであることを示すマークが付けられている情報. 分類は 3 つあります - 機密, 秘密, そして最高機密（を参照） ホワイトハウスのプレスリリース: 国家安全保障の機密情報).

機密保持

情報へのアクセスと開示に対する認可された制限を維持する, 個人のプライバシーと機密情報を保護する手段を含む.

ファイアウォール

ネットワーク トラフィックをフィルタリングしてリソースへのアクセスを制御する、ステートフル パケット インスペクションを備えた特殊なハードウェアおよび/スポーツ賭けアプリソフトウェア システム, データベース サーバーなど, これにより、保護を提供し、セキュリティ ポリシーを適用. ACL を持つルーターは、このドキュメントの目的ではファイアウォールとみなされません.

IDS

侵入検知システム; ネットワーク トラフィックを監視して潜在的なセキュリティ侵入を検出するシステム. 通常, 侵入の疑いが記録され、セキュリティ担当者スポーツ賭けアプリシステム管理担当者に通知するアラートが生成されます.

誠実さ

情報の不適切な変更スポーツ賭けアプリ破壊に対する保護, 否認防止と信頼性を保証します.

IPS

侵入防止システム; セキュリティ イベントを防止スポーツ賭けアプリ停止するために悪意のあるネットワーク トラフィックをブロックする機能が追加された IDS.

ローカル ネットワーク

マンハッタンまたはサリナのキャンパスに物理的に位置し、IP アドレスが 129 で始まる K 州立スポーツ賭けアプリのデータ ネットワークのセグメント.130.X.X またはルーティング不可能なプライベート IP アドレス (e.g., 10.X.X.X).

リモート アクセス

マンハッタンスポーツ賭けアプリサリナのキャンパス外の物理的な場所から K 州のローカル ネットワークにアクセス. これには、K-State の VPN サービスを使用したキャンパス外からのアクセスが含まれます.

安全なデータセンター

常勤の IT 専門家が管理するコンピューターをホスティングする施設, データ ストレージ, および/スポーツ賭けアプリ 24 時間 365 日監査可能な制限付きアクセスを備えたネットワーク機器, 環境制御, 電源保護, およびネットワーク ファイアウォール保護.

安全なサーバー

他のコンピュータにサービスを提供するコンピュータ, アプリケーション, スポーツ賭けアプリユーザー; サーバー オペレーティング システムを実行しています; 関連するセキュリティ標準に従って強化されています, 業界のベストプラクティス, およびK州のセキュリティ政策.

感度

不正な開示に対する必要な保護レベルを示します, 変更, 詐欺, 廃棄物, スポーツ賭けアプリ個人に対する潜在的な悪影響による虐待, グループ, 機関, スポーツ賭けアプリアフィリエイト. 悪影響は経済的なものになる可能性があります, 法的, スポーツ賭けアプリ自分の評判や競争上の地位. データの機密性が高くなります, それを保護する必要性が高まる.

スポーツ賭けアプリデータ

スポーツ賭けアプリザス州立大学 (以下「大学」) の機能に関連するデータ:

1. スポーツ賭けアプリの情報技術システムに保存されています.
2. K州立スポーツ賭けアプリの教職員が管理, または学生.
3. キャンパス内外の組織的プロセスに関連する. これは、あらゆるフォーマットスポーツ賭けアプリメディアに適用されます（つまり、, 電子データに限定されません).

VPN

仮想プライベート ネットワーク; VPN は、インターネット上で安全な通信チャネルを提供します。チャネルの設定には認証がスポーツ賭けアプリで、チャネルを流れるすべてのトラフィックが暗号化されます.

.070 役割と責任

スポーツ賭けアプリデータにあらゆるレベルでアクセスできるすべての人が、そのセキュリティに対して責任を負い、プライバシーと機密性の要件を遵守することが期待されます, 保護および管理手順に従う, あらゆる種類のレポート機能でデータを正確に表示します. 次の役割には、スポーツ賭けアプリのデータとデータ コレクションを保護および管理するための特別な責任があります.

1. チーフデータスチュワード - すべての情報リソースの監督を担当するスポーツ賭けアプリの上級管理責任者 (e.g., 学長と副学長).
2. データスチュワード - 学部長, アソシエート バイス プレジデント, そして学術界のトップたち, 管理者, またはスポーツ賭けアプリデータのコレクション (セット) を監督する責任を負う関連部門またはその指名者. 彼らは事実上データの所有者であり、したがってその適切な取り扱いと保護に対して最終的な責任を負います. データ スチュワードは、データとその管理下にあるデータ コレクションを適切に分類する責任があります, データ アクセス権限の付与, 各スポーツ賭けアプリデータ コレクションのデータ マネージャーを任命, データ関連の役割を担う人々が適切なトレーニングを受けているかどうかを確認する, また、責任を負うすべてのデータについて、関連するすべてのポリシーとセキュリティ要件への準拠を保証します.
3. データ管理評議会 - データ分類スキーマを維持するために最高データ スチュワードおよび最高情報責任者によって任命されたデータ スチュワードのグループ, スポーツ賭けアプリデータ コレクションの定義, それぞれにデータ スチュワードを割り当てる, データの分類または所有権に関する紛争を解決する.
4. データマネージャー - スポーツ賭けアプリデータ収集の運用管理を提供するためにデータスチュワードによって認可された個人. データ管理者は、データ収集に関する文書を管理します (データへのアクセスおよび必要に応じて監査証跡へのアクセスを許可された者のリストを含む), データ アクセス制御を管理, セキュリティ要件が実装され、遵守されていることを確認します.
5. データプロセッサ - データ スチュワードまたは被指名人によって承認され、データ マネージャーによって入場が許可された個人, 変更, またはスポーツ賭けアプリデータを削除. データ処理者は完全性に対して責任を負います, 精度, およびそれらに割り当てられたデータの適時性.
6. データ閲覧者 - スポーツ賭けアプリデータにアクセスできるが、立ち入りを許可されていないスポーツ賭けアプリコミュニティ内のすべての人, 変更, または削除.
7. 最高情報セキュリティ責任者 - 情報および情報技術のセキュリティ スポーツ賭けアプリと標準に関するアドバイスとガイダンスを提供します.
8. 内部監査室 - データ分類、セキュリティ スポーツ賭けアプリおよび標準への準拠について監査を実行します.

.090 関連法, 規制, スポーツ賭けアプリポリシー

スポーツ賭けアプリザス州立大学のポリシー

1. スポーツベットアイオー ボーナス を提供する必要があります.
2. 輸出規制に関する情報, 機密/機密研究データ, 人間の被験者, など
3. スポーツベット ブックメーカー 電子通信のプライバシーの尊重.,.060

スポーツ賭けアプリザス州

1. K.S.A. § 21-6107: 個人の権利の侵害を伴う犯罪
2. スポーツ賭けアプリザス州, ITEC 情報技術セキュリティ標準ポリシー 7320A (PDF). これらはK州には直接当てはまりません, ただし、データ セキュリティ管理に関する適切なガイドラインを提供し、摂政以外の州機関に求められる最低限の基準を示します.
3. スポーツ賭けアプリザス州, ITEC 情報技術ポリシー 8010a - データ審査委員会の標準

連邦法とガイドライン

1. 1974 年家族の教育権およびプライバシー法 (FERPA)
2. 1996 年医療保険の相互運用性および説明責任法 (HIPAA)
3. グラム・リーチ・ブライリー法 (GLBA)
4. 1986 年電子通信プライバシー法 (ECPA)
5. NIST 特別出版物 800-88, 改訂 1: メディアのサニタイズに関するガイドライン
6. NIST 特別出版物 800-53: 連邦情報システムおよび組織のセキュリティとプライバシーの管理
7. NIST Publication 800-60: 情報の種類と情報システムをセキュリティ カテゴリにマッピングするためのガイド
8. 大統領令 12958: 国家安全保障の機密情報, 修正通り, 2003 年 3 月

その他

• ペイメント カード業界のデータ セキュリティ基準 (PCI DSS)

.100 の質問/免除

その 情報技術担当副社長兼最高情報責任者 (CIO) このポリシーの責任者. CIO スポーツ賭けアプリ被指名人は、このポリシースポーツ賭けアプリ関連手順の例外を承認する必要があります. 質問は までお送りください。 最高情報セキュリティ責任者 (CISO).