Data Security Center:セキュリティベースラインチェック

前提条件

• Data Security Center 無料版インスタンスをアクティベートしたか、有料版の DSC インスタンスを購入済みであること。

  Data Security Center の無料版は確認項目の一部をサポートし、有料版はすべての機能をサポートします。詳細については、「Data Security Center 無料版のアクティベート」および「Data Security Center の購入」をご参照ください。

• 資産の権限付与が完了していること。詳細については、「資産の権限付与」をご参照ください。

セキュリティベースラインチェック

GB/T 37988-2019「情報セキュリティ技術 - データセキュリティ能力成熟度モデル」に基づき、DSC は PIPL-based Security Baseline Check および Alibaba Cloud Data Security Best Practices ベースラインに対するチェックを提供します。複雑なデータベース環境や、構造化データ、非構造化データなどのさまざまなデータ型に対して、DSC は 7 つのカテゴリのチェックポリシーとそれに対応する確認項目を提供します。Risk Governance > Configuration Risks ページの Policies タブには、すべての確認項目が一覧表示されます。DSC は、タイプとレベル別に分類されたリスクの概要と詳細リスト、および修正提案を提供します。データ資産のセキュリティを強化し、攻撃者による悪用を防ぐために、検出された構成リスクに迅速に対処することを推奨します。

ベースライン

• PIPL-based Security Baseline Check：個人情報保護規制に基づき、このベースラインは個人情報を含むデータ資産のライフサイクル全体にわたるセキュリティリスク検出を提供します。

  このベースラインチェックは、データ検出タスクによって個人情報または機密性の高い個人情報が含まれていることが判明したデータベースインスタンスおよび OSS バケットで実行されます。

• Alibaba Cloud Data Security Best Practices：Alibaba Cloud のデータセキュリティのベストプラクティスから派生した検出ベースラインです。データ資産のライフサイクル全体にわたるセキュリティリスク検出を提供します。

  このベースラインチェックは、権限が付与されたすべてのデータベースインスタンスおよび OSS バケットで実行されます。

サポートされているポリシー

サポートされているデータベース

セキュリティベースラインチェックは、DSC に接続されている以下の Alibaba Cloud データベースの構成リスクを検出します。

確認項目の有効化または無効化

デフォルトでは、Data Security Center (DSC) は、リスク検出のためにチェックポリシー内のすべての確認項目を有効にします。ビジネス要件に基づいて、特定の確認項目を有効または無効にできます。

1. DSC コンソールにログインします。

2. 左側のナビゲーションウィンドウで、Risk Governance > Configuration Risks を選択します。

3. Policies タブで、Alibaba Cloud Data Security Best Practices または PIPL-based Security Baseline Check タブをクリックして、ベースラインチェックポリシーを表示します。

4. ポリシーリストで、Status 列のスイッチを切り替えて、特定の確認項目を有効または無効にします。

   チェックポリシー全体を有効または無効にして、そのすべての確認項目を一括で管理することもできます。

チェックの実行

最終チェック時間

Policies タブで、Alibaba Cloud Data Security Best Practices または PIPL-based Security Baseline Check タブをクリックして、Last Checked Time を表示します。

自動チェック

Data Security Center (DSC) は、毎日約 01:00 (UTC+8) に、接続されているデータ資産に対してセキュリティベースラインチェックを自動的に実行します。

手動チェック

新しい資産を接続した場合やデータベース構成を変更した場合は、Re-check 機能を使用して、すべての資産をすぐにスキャンできます。再チェックは通常、完了までに約 10 分かかります。

1. 左側のナビゲーションウィンドウで、Risk Governance > Configuration Risks を選択します。

2. Risk Trends ページで、Alerts タブをクリックします。対象のポリシーを見つけ、Actions 列の Details をクリックします。

3. Risk Situation または Assets タブで、Re-check をクリックして、特定の資産または特定の確認項目のリスクを再スキャンします。

   [リスク状況] タブには、各確認項目が [確認項目]、[リスクのある資産数]、[関連資産]、[ステータス]、[操作] の列とともに一覧表示されます。[操作] 列の [チェック] をクリックして、単一の確認項目のスキャンを実行できます。

資産リスクの傾向

DSC は、セキュリティベースラインチェックと機密データ検出の結果を組み合わせて、機密レベル別のデータ資産のセキュリティ態勢、個人データのセキュリティ態勢、リスクガバナンスの進捗、機密データ検出結果などのチャートと統計を提供し、資産のセキュリティ態勢を明確に把握できるようにします。

1. 左側のナビゲーションウィンドウで、Risk Governance > Configuration Risks を選択します。

2. Risk Trends タブで、右側のドロップダウンリストからセキュリティベースラインタイプを選択します。

3. Asset Risks タブで、以下の情報を確認して、ビジネス資産のリスク態勢を理解します。

   • 機密レベル別のデータ資産のセキュリティ態勢

     データ機密レベル別に分類された、高、中、低リスクの資産数を示す横棒グラフです。

   • 個人データのセキュリティ態勢

     機密性の高い個人情報、個人情報、または一般データを含むかどうかで分類された、高、中、低リスクの資産数を示す横棒グラフです。

   • リスクガバナンスの進捗

     • Progress 列の数字は、資産に適用可能な確認項目の総数に対する合格した確認項目の比率を示します。たとえば、2/3 は、資産が適用可能な 3 つの確認項目のうち 2 つに合格したことを示します。Completed が表示されている場合、資産は関連するすべてのチェックに合格しています。

     • Risk Level は、資産で失敗した確認項目の中で最も高いリスクレベルを示します。失敗した確認項目が複数のリスクレベルに対応する場合、DSC は最も高いリスクレベルのみを表示します。

構成リスクへの対処

Data Security Center (DSC) は、構成リスクを表示および処理するための複数の方法を提供します。リスクデータはすべてのビューで一貫しているため、最適な方法を選択できます。

資産別

特定の資産のチェック結果を確認するには、Risk Governance > Configuration Risks ページの Risk Trends タブにある Asset Risks タブに移動します。このビューには、サポートされているすべてのデータベース資産、その詳細なチェック結果、および修正のためのオプションが一覧表示されます。

1. 左側のナビゲーションウィンドウで、Risk Governance > Configuration Risks を選択します。

2. Risk Trends タブで、Asset Risks タブをクリックして構成リスクに対処します。

   • リスクへの対処

     DSC は修正ガイダンスのみを提供します。リスクにはご自身で対処する必要があります。対象のデータ資産インスタンスの Actions 列で Handle をクリックして、失敗した確認項目と修正手順を表示します。

     Risk Details エリアで Handle をクリックすると、対応するページに移動してリスクを解決できます。

     たとえば、[リスク詳細] エリアには、中リスク項目 [OSS-バケットのホットリンク保護を有効にする] と低リスク項目 [OSS-バケットのサーバーサイド暗号化を有効にする] が失敗したことが示されます。各項目には、[再チェック]、[ホワイトリストに追加]、[処理] の操作が利用可能です。修正ガイダンスとして、OSS コンソールに移動し、対象のバケットを選択して [データセキュリティ] > [ホットリンク保護] をクリックしてホットリンク保護を有効にするか、[データセキュリティ] > [サーバーサイド暗号化] をクリックし、[設定] をクリックして適切な暗号化方式を選択します。

• 資産全体をホワイトリストに追加

  セキュリティエンジニアがデータベース資産にセキュリティベースラインチェックが不要であると判断した場合、データベースインスタンスの Actions 列にある Add to Whitelist をクリックします。この操作により、その資産のすべての確認項目がホワイトリストに追加されます。資産がホワイトリストに追加されると、そのガバナンスの進捗は Completed に更新されます。

• 資産インスタンスの特定の確認項目をホワイトリストに追加

  セキュリティエンジニアが資産に対して特定の確認項目を除外できると判断した場合、対象のデータベースインスタンスの Actions 列で Handle をクリックします。Risk Remediation パネルで、対象の確認項目の横にある Add to Whitelist をクリックします。確認項目のステータスは Added to Whitelist に変わります。

ポリシー別

さまざまなポリシーのチェック結果を確認するには、Risk Governance > Configuration Risks ページの Risk Trends タブにある Alerts タブに移動します。このビューには、すべてのポリシーが一覧表示されます。ポリシーの詳細ページでは、その確認項目と関連する資産リストを表示できます。

1. 左側のナビゲーションウィンドウで、Risk Governance > Configuration Risks を選択します。

2. Risk Trends タブで、Alerts タブをクリックしてポリシーリストを表示します。

   • Number of alarms は、確認項目に失敗した資産の数を示します。

   • Associate Asset は、確認項目によってスキャンされた資産の総数を指します。資産は、スキャンする各確認項目ごとに 1 回カウントされます。

3. 対象のポリシーの Actions 列にある Details をクリックします。

4. Details ページで、[リスク] [状況] および Assets タブを表示します。

   • Risk Situation タブには、ポリシー内のすべての確認項目とその詳細 (リスクのある資産の数、関連資産の数、各確認項目のステータスなど) が表示されます。特定の確認項目を再スキャンするには、Actions 列の Check をクリックします。

   • Assets タブには、ポリシー内の確認項目が対象とするすべての資産が表示されます。特定の確認項目について資産を再スキャンしたり、ホワイトリストに追加または削除したり、Handle をクリックして対応するコンソールに移動して現在のリスクを解決したりできます。

確認項目別

特定の確認項目によって検出されたリスクを表示するには、Risk Governance > Configuration Risks の下の Policies タブに移動し、次の手順を実行します。

1. ポリシーリストで、対象のポリシー名の横にある展開アイコン () をクリックして、その下の確認項目を表示します。

2. 対象の確認項目の Actions 列にある Details または Configure Whitelist をクリックして、その詳細ページに移動します。このページでは、確認項目に関連付けられている資産を表示し、対応する操作を実行できます。

   次の操作がサポートされています。

   • 資産のチェック結果を無視できることを確認した場合は、対象資産の Actions 列にある Add to Whitelist をクリックします。これにより、その確認項目の資産がホワイトリストに追加されます。

   • 対象資産の Actions 列にある Handle をクリックして、対応するコンソールに移動して現在のリスクを解決します。

   • リスクを解決した後、対象資産の Actions 列にある Verification をクリックして、修正を検証できます。