検出から修復までのコンプライアンス状況の分析
IBM Cloud® Security and Compliance Center Workload Protection セキュリティチーム、コンプライアンス担当者、および DevOps エンジニアが、クラウド環境全体にわたるセキュリティ態勢を継続的に監視、評価、改善できるよう支援する、包括的なコンプライアンス態勢管理機能を提供します。 このプラットフォームにより、組織はコンプライアンス違反を検知し、自社のセキュリティ態勢を把握し、是正措置を講じて問題を解決まで導くことができます。
コンプライアンス状況に関する情報は インベントリに含まれており、これによりリソースの可視性が向上し、状況を十分に踏まえた優先順位付けが可能になります。 この情報は、コンプライアンス違反の是正および解決を推進する上で役立ちます。 在庫やその他のコンプライアンス関連情報にアクセスするには、「
Workload Protection 」UIを開いてください。 コンソールで、 ナビゲーションメニュー アイコン
> [セキュリティ] > [コンプライアンス] の順にクリックし、 Workload Protection のインスタンス名をクリックします。 次に、「 ダッシュボードを開く 」をクリックして、 Workload Protection のUIを開きます。
コンプライアンス態勢管理の仕組み
Workload Protection ゾーン内のリソースをコンプライアンスポリシーに照らして評価します。 違反事項はすべて収集され、 Workload Protection のUIにある「 コンプライアンス 」ページにタイル形式で表示されます。 この評価は、最新の遵守状況を把握するために1日1回実施されます。
Workload Protection の既定のポリシーを使用することも、組織の具体的な要件に合わせて カスタムポリシーを作成することもできます。 違反を評価する際、個々のリソースを選択して、それに関連する違反の一覧を確認することができ、これにより的を絞った是正措置を講じることが可能になります。
主なコンセプト
コンプライアンス・ワークフローは、以下の主要な構成要素から成り立っています：
- ゾーン
- インフラストラクチャのさまざまな部分を表す、リソースの論理的なグループ分け。 デフォルトの「 Entire Infrastructure 」ゾーンは、 Workload Protection によって自動的に作成されます。また、組織構造に合わせてカスタムゾーンを定義することも可能です。 ゾーンは、スコープまたはリソースタイプの集合によって定義されます。
- ポリシー
- コンプライアンス基準を定義する要件の集まり。 ポリシーには、そのコンプライアンス基準を定義するための1つ以上の管理措置が含まれます。 ポリシーは、業界の枠組みや組織独自の要件に基づいて策定することができます。
- 要件
- 満たさなければならない具体的なコンプライアンス基準。 各要件は、1つ以上の管理措置で構成されています。
- コントロール
- 環境内で発生しうる問題や違反を特定し、その問題を是正するための解決策を提示します。 ビジネス、セキュリティ、コンプライアンス、および運用上の要件に対応するため、さまざまな種類の制御が採用されています。 さらに柔軟性を高めるために、 カスタムコントロールを作成することもできます。
「 コンプライアンスの概要」ページには、各ゾーンに適用されているポリシーごとの主要なコンプライアンス状況指標が表示されます。 詳細については、「 コンプライアンス UI の概要 」を参照してください。
コンプライアンス・ワークフローの概要
コンプライアンス体制管理の一般的なワークフローは、以下の段階を経ます：
- 検出と評価。『 Workload Protection 』は毎日環境をスキャンし、定義されたポリシーに基づいてリソースを評価します。『 Workload Protection 』は違反を特定し、その重大度に応じて分類することで、コンプライアンス状況の包括的な概要を提供します。
- 分析と優先順位付け。 セキュリティおよびコンプライアンスチームは、各ゾーンに適用されているポリシーごとに、セキュリティ態勢の概要を示すパフォーマンス指標を確認することができます。 ポリシーを選択することで、チームは、未達成の要件、関連する統制、および影響を受けるリソースなど、詳細な結果を確認できます。
- 評価と意思決定。 違反事項を検討する際は、 各チームはコントロールペインを確認できます を参照し、要件と管理措置の階層構造を理解してください。 各項目の横には、合格か不合格かが表示されています。
- 是正措置。『 Workload Protection 』では、コンプライアンス違反に対処するための複数の是正措置オプションが用意されています。 詳細については、 「評価と是正 」を参照してください。
- 報告および文書化。 組織は、 コンプライアンスレポートを作成することができ、そのレポートはUIからダウンロードしたり、API経由でアクセスしたりすることができます。 これらのレポートは、コンプライアンス状況に関する情報を必要とする開発チーム、経営陣、監査人、およびその他の利害関係者と共有することができます。
- ソースの特定と修正。 Git との連携が実装されると、 Workload Protection は、定義済みの Git ソースからのマニフェストを毎日、あるいは新しい Git ソースが追加されるたびにスキャンして分析します。 このシステムは、ソースファイル内で宣言されているリソースを特定し、検出されたリソースと、デプロイおよび評価済みのリソースとの照合を試みます。
役割別のユースケース
組織内の各役割は、コンプライアンス態勢の管理からそれぞれ固有の形で恩恵を受けています：
コンプライアンスおよびセキュリティチーム
コンプライアンスおよびセキュリティチームのメンバーは、コンプライアンス機能を利用して以下のことを行います：
- あらかじめ定義されたポリシーに基づいて、各ビジネスゾーンの現在のコンプライアンス状況を確認してください。
- 監査人に対し、特定の時点における当該事業区域のコンプライアンス状況を提示する。
- コンプライアンス状況に関するレポートを作成し、監査担当者や経営陣と共有する。
- コンプライアンスのギャップの大きさを把握し、経時的な改善状況を追跡する。
- 過去のデータを可視化することで、コンプライアンス態勢の推移を監視する。
DevOps 技術者
DevOps チームメンバーは、コンプライアンス機能を利用して、以下のことを行います：
- 各ビジネスゾーンにおいて、あらかじめ定義されたポリシーに対するコンプライアンス違反を特定する。
- 違反の重大度に応じて対応し、重大度の高い問題を優先して対処してください。
- 自動パッチやプルリクエストを活用して、違反事項を効率的に修正します。
- 組織のリスク管理方針に基づき、例外事項および許容可能なリスクを文書化する。
- コンプライアンスチェックをCI/CDパイプラインに組み込む。
クラウドアーキテクト
クラウドアーキテクトは、コンプライアンス機能を利用して、以下のことを行います：
- 最初からコンプライアンス要件を満たすインフラを設計する。
- さまざまなリソースの種類や構成に対して、どの制御が適用されるかを理解する。
- アーキテクチャ上の決定がコンプライアンスに与える影響を評価する。
- 新しい導入が組織のセキュリティポリシーに準拠していることを確認してください。