Security and Compliance Center入門

2025年7月17日現在、このバージョンでは新しいインスタンスを作成することはできません。 Security and Compliance Center Workload Protection のアップデートにより、すべての機能が利用可能になりました。詳細については、移行に関する文書を参照のこと。

金融サービスのような規制の厳しい業界にとって、クラウド環境で継続的なコンプライアンスを実現することは、顧客データやアプリケーションデータを保護するための重要な第一歩である。歴史的に、このプロセスは難しく、手作業であったため、組織はリスクにさらされていた。ただし、 IBM Cloud® Security and Compliance Centerを使用すると、日次の自動コンプライアンス検査を開発ライフサイクルに統合して、そのリスクを最小限に抑えることができます。

評価を実行しても、法規制への適合は保証されません。評価により、特定のリソースに対する現在の状況のポイント・イン・タイム・ステートメントが提供されます。結果を検討して解釈し、組織が業界に必要な制御に従っていることを確認するのは、お客様の責任です。

開始前に

開始する前に、以下の前提条件を満たしていることを確認してください。

Security and Compliance Center のインスタンス。
結果データの保存に使用できるバケットを含むCloud Object Storageのインスタンス。
評価したいアカウント内のリソース。
Security and Compliance Center内のリソースの作成と管理に必要なアクセス。 {scc} 内でエンティティを作成および管理するには、Writer サービス・ロール以上を持っている必要があります。

ストレージの構成

リソースのコンプライアンス評価を開始する前に、Cloud Object Storage バケットを構成する必要があります。バケットの要件については、Security and Compliance Centerにデータを格納して処理するを参照してください。

Cloud Object Storage バケットに接続するには、Security and Compliance Center UI を使用します。

Security and Compliance Center ナビゲーションで、 「設定」をクリックする。
「ストレージ」 タイルで、 「接続」 をクリックします。
Cloud Object Storage と Security and Compliance Center の間のサービス間ポリシーが構成されていることを確認します。ポリシーが既に設定されている場合、この画面は表示されず、次のステップにスキップできます。
Cloud Object Storage のインスタンスを選択する。
表から、使用したいバケツを選択します。
「接続」 をクリックします。

スコープの作成

スコープとは、評価したいリソースをグループ化したものである。スコープの作成については、リソースをターゲットにするを参照してください。

オプション：利用可能なプロファイルを確認する

アタッチメントの設定を開始する前に、利用可能なプロファイルを確認し、それらを比較して、使用ケースに最適なプロファイルを使用していることを確認できます。 Security and Compliance Centerの プロファイルタブを使用できます。UIを使用するか、利用可能な定義済みプロファイルで詳細をお読みください。

リソースの評価

リソースを評価するには、添付ファイルを作成する必要があります。添付ファイルは、スコープとしてグループ化したリソースと、それらを評価したいプロファイルをペアにしています。

Security and Compliance Centerのインスタンスで、[添付ファイル] ページに移動し、[作成] をクリックします。
添付ファイルの名前と説明を記入してください。そして、「次へ」 をクリックします。

チームの他のメンバーが探している情報をすぐに見つけられるよう、できるだけ説明的な文章にしましょう。
評価したいプロファイルを選択します。次に、調整したい設定可能なパラメータの情報を入力します。

推奨されないプロファイル・バージョンでは、新しい添付ファイルを作成できません。評価に使用する最新バージョンを選択します。
次へをクリックします。
対象とするスコープを選択する。そして、「次へ」 をクリックします。

このビューで利用可能なスコープは、選択したプロファイルに対して評価可能なリソースを含むスコープのみにフィルタリングされます。作成したスコープが表示されない場合は、別のプロファイルを選択するか、スコープに含まれるリソースを調整してください。
注釈セクションで、個々のコントロールにカスタム注釈を追加する。これらの注釈は参考用であり、評価プロセスには影響しない。そして、「次へ」 をクリックします。
スキャン設定を定義します。
1. 評価を実施する頻度を選択します。
2. 特定された障害に対する通知を設定する。
3. 次へをクリックします。
選択内容を確認します。問題がなければ、「作成」をクリックする。

添付ファイルを作成すると、スキャンがスケジュールされます。スキャンが完了すると、Security and Compliance Centerダッシュボードに結果が表示されます。

次のステップ

これでアタッチメントを立ち上げて実行できるようになったので、範囲をセグメント化したり、使用ケースに合わせたカスタムプロファイルの作成を開始したりすることができます。