機密保護に、その場しのぎは通用しません。

これらの用語は、該当する機密区分の情報を扱う際の要件を示すものです。しかし技術的な計画のためには、どの情報がどこで処理されるのかをより具体的に把握する必要があります。モバイルワーク、共有ストレージ、記憶媒体は、それぞれ暗号化ソリューションに異なる要件を課します。そのため、製品選定に先立ってユースケースを共同で整理します。技術的な前提が発注者側の要件と合致するよう、担当のセキュリティ責任者には早い段階から関わってもらいます。

「NATOレベル」という表現は、具体的な提案には曖昧すぎます。ここで説明するサービス範囲は、NATO RESTRICTEDおよびそれに適したユースケースを対象としています。これは、より高い機密区分に対する一般的な保証を意味するものではありません。また、ある国内認可を確認なしに別の枠組みへそのまま適用することもありません。どの承認が必要で、どのような文書が求められるかは、プロジェクトの中で記録します。ここまで具体化することで、提案、実装、その後の検収の根拠が明確になります。

認可された製品には、定められた適用範囲があります。製品バージョン、プラットフォーム、それに付随する利用条件も選定の対象です。そのため、メーカー名や暗号方式を挙げるだけでは、適合性についての判断材料としては不十分です。OTOKO®は、具体的なソリューションを計画中の構成と照らして確認し、必要な運用手順を準備する支援を行います。本番運用の前に認可書類を確認することは、引き続き必須です。

この環境には、機器、利用者、管理体制、通信経路も含まれます。鍵管理、リカバリー、保守は、想定する保護レベルと整合させる必要があります。そのため、後からのアップデートや運用方式の変更が、再評価を必要とする場合があります。引き継ぎでは、合意した状態と未解決の課題を文書化します。これは、担当部門によるプロジェクト単位の承認に代わるものではなく、委託された範囲の中でその承認に必要となる技術的・組織的な基盤を提供するものです。

ドイツ保安審査法（SÜG）第10条に基づく保安調査を伴う拡大保安審査（Ü3）は、人および特定の機密性の高い業務を対象とするものです。ハードディスク、ソフトウェア、クラウドに対する技術的なセキュリティレベルではありません。案件がこれに相当する要件を求める場合は、実際に配置される担当者と想定されるアクセス権限について個別に確認します。また、プロジェクトの範囲は、許可された業務および情報経路に適合している必要があります。人的な審査は、製品認可やシステム承認の代わりにはなりません。

最初のやり取りには、課題設定と必要な支援内容についての非機密扱いの説明で十分です。機密指定された資料は、一般的な問い合わせフォームや公開スキャンサービス、事前に合意していない通信経路で扱うべきものではありません。協働が具体化した段階で、担当窓口と許可された経路を調整します。これにより、規模の小さな企業でも計画的にプロジェクトを準備できます。要件は、組織の規模や「軍事的環境」といった一律の呼び方からではなく、プロジェクトそのものから導き出されます。