AI はデータの流れを再構築します。データ損失防止機能を使用して、アトラシアンのプラットフォーム全体で機密データを検出、分類、制御する方法をご確認ください。詳細を見る →
Atlassian Guard でセキュリティ体制を強化
このガイドの提供内容
Atlassian Guard に慣れていない場合は、このガイドをご覧ください。このガイドでは、IAM (ID とアクセス管理)、DLP (データ損失防止)、脅威検出ルール、AI ガバナンスなどのセキュリティ機能と、それらが Guard でどのように実現されるかについて説明します。
NIST のサイバー セキュリティ フレームワークに準拠する Guard は、組織が価値の高いデータを保護し、脅威を検出し、リスクに対応できるようにする制御によって、アトラシアン プラットフォームのセキュアな基盤を拡張します。ワークフロー全体への AI 導入が進む中、Guard は、AI のプロンプトや応答に機密データが含まれないようにするガードレールを設定するのにも役立ちます。組み込みのプラットフォーム セキュリティに追加のカスタマイズ レイヤーが必要となる、複雑で規制の厳しい組織向けに設計されています。
このガイドでは、以下の場合に Guard がどのように役立つかについて説明します。
一元化された ID およびアクセス制御でデータを保護
データ損失防止制御でデータ損失を防止
より詳細な可視性で脅威やリスクのある行動を検出
自動修復によって迅速に対応し、脅威を封じ込め
プロンプトや応答に機密データが含まれないように、AI の使用を管理
不正アクセスからデータを保護する方法
IAM (ID とアクセス管理) を一元化することは、組織の貴重なデータを保護する効果的な方法です。Guard は、意図しないアクセスやデータ漏えいのリスクを軽減するためのセキュリティ制御を提供します。
ID とアクセス管理
Guard の IAM 機能により、適切なユーザーが Atlassian アプリへの適切なアクセス権を確実に持てるように一元管理できます。IAM は、デジタル ID を管理し、組織のデータへのアクセスを制御するためのプロセス、ポリシー、テクノロジーで構成されるサイバー セキュリティ フレームワークです。
認証ポリシーでユーザーのログイン方法を管理する
強力な認証ポリシーによって、侵害されたアカウントによるデータへのアクセスを防ぎ、安全で一貫したログイン エクスペリエンスを適用しやすくなります。各チームがさまざまなツールや情報を使用しているため、ユーザー グループごとにセキュリティ要件を調整できます。認証ポリシーを使用すると、以下を行えます。
2 段階認証またはシングル サインオンを強制する
管理対象ユーザーのグループごとに異なる認証ポリシーを作成する
複数の外部ユーザー ポリシーを作成して組織外のユーザーのアクセスを管理する
認証ポリシーが変更されたときにアラートを受け取る
ユーザーを自動的にプロビジョニングする
既存の ID プロバイダーに接続してユーザー プロビジョニングを自動化することで、エラーが発生しやすい手動のプロセスを回避できます。SCIM (System for Cross-domain Identity Management) スキーマを使用してアカウントの作成およびグループ メンバーシップの更新を自動化することで、ユーザーが役割に応じた適切なアプリへのアクセス権を確実に持つようにすることができます。組織を離れる際、ユーザーを自動的に削除することで、アクセスを必要としなくなったユーザー分の支払いおよびそれらのユーザーによるアクセス続行のリスクを回避できます。ユーザー プロビジョニングでは次のことができます。
ID プロバイダーを接続して、ユーザーを自動的にプロビジョニングおよびプロビジョニング解除する
新しいユーザーの自動同期、古いユーザーの削除、既存ユーザーのグループ メンバーシップの更新を実行する
ユーザー API トークンの制御
ユーザーは API トークンを生成して API 経由でアトラシアンのデータにアクセスできます。トークンは個々のユーザーに紐づけられており、侵害された場合は重大なリスクをもたらす可能性があります。Guard を使用すると、管理者はユーザー API トークンのライフサイクルを管理および可視化し、次のことができるようになります。
API トークンを取り消して、使用できないようにする
認証ポリシーでユーザー API トークンの有効期限を設定する
トークンが作成されたり取り消されたりしたときにアラートを受け取る Premium 限定
モバイル アクセス制御の監視と適用
分散型チームとモバイル デバイスは、人々に作業の場所や方法における柔軟性をもたらしますが、同時にセキュリティ上の課題も生み出します。モバイルの導入が進むにつれて、組織のデータへのアクセスに対する制御と可視性を維持することが難しくなります。Guard を使用すると、モバイル セキュリティ制御を大規模に適用でき、ユーザーは確立されたガードレール内でのみデータにアクセスできるようになります。モバイル アクセス制御により、次のことが可能です。
モバイル アプリ ポリシーを使用して、スクリーンショット、画面録画、ダウンロードのブロック、デバイスの最小要件の適用などを行う
Microsoft Intune の MAM (モバイル アプリ管理) 統合を使用して、既存の一元化されたダッシュボードからアトラシアンのモバイル アプリのセキュリティを管理する
自動化と統合を安全に管理する
サービス アカウントは自動化や統合に使用される、人間ではない Atlassian アカウントで、特定のユーザーのログインに紐付いていません。業界標準の認可プロトコルである OAuth 2.0 を使用しています。サービス アカウントは以下を保証します。
個人の認証情報は共有されないため、不正アクセスのリスクが軽減される
権限を厳格化して、必要なプロジェクトとスペースのみに限定する
明確な監査ログにより、各統合が何を行ったかを正確に確認できる
条件ベースのアクセスを強制する
条件ベースのアクセス ポリシーを使用すると、ユーザーが Atlassian アプリにアクセスする際のルールを設定できるため、リスクの高いアクセスをブロックしつつ、信頼できる管理されたオプションを許可できます。条件ベースのアクセスポリシーを使用すると、次のことができます。
データ保護ポリシーを適用できる管理対象のモバイル アプリ経由でのみアクセスを許可し、モバイル ブラウザからのアクセスをブロックする
データ損失から保護する方法
Guard で DLP (データ損失防止) 戦略を策定できます。DLP は、検出、分類、および制御を通じて、PII (個人を特定できる情報)、財務データ、知的財産などの機密データへの不正アクセスや悪用を防ぐことに重点を置いたセキュリティ規範です。
データ セキュリティ ポリシーでデータ損失のリスクを軽減
会社の機密データの喪失は、壊滅的な被害をもたらす可能性があります。重要な作業は Jira と Confluence に存在しており、そのデータを保護する必要があります。データ セキュリティ ポリシーは、Atlassian アプリ内でのデータのアクセス、共有、取り扱い方法に関するルールを適用するのに役立ちます。これにより、データ漏えい、意図しない公開、不正アクセスのリスクを軽減しながら、規制や社内のセキュリティ基準を満たすことができます。データ セキュリティ ポリシーで次のことが可能です。
データ セキュリティ ポリシーを作成してエクスポート、公開リンク、匿名アクセスなどのリスクのあるアクションをブロックする
組織全体でデータ セキュリティ制御を適用して、機密データを保護し、一貫性を確保し、管理者が "デフォルトで非公開" で運用できるオプションを提供する
機密レベルに基づいてデータ セキュリティ制御を設定し、最も価値の高いデータにより厳格なルールが適用されるようにする Premium 限定
機密レベルに基づいてデータを分類Premium 限定
データ分類とは、情報にラベルを割り当てるプロセスです。多くの組織では、特に政府や規制当局のルールを遵守する必要がある場合、データ ガバナンス戦略の基盤として分類を使用することで、コンプライアンスとアクセス制御をサポートしています。データ分類機能は Guard Premium 限定であり、次のことが可能です。
組織全体の機密レベルを管理し、組織全体の既定の分類を設定して、新規または未分類のコンテンツがベースライン レベルから開始されるようにする
Confluence と Jira のコンテンツに機密レベルを適用し、それらのレベルが変更されたときにアラートを受信する
機密レベルごとにデータ セキュリティ ポリシーを設定し、特定の機密レベルに対するエクスポートや公開リンクなどのアクションをブロックする
Jira および Confluence のコンテンツで特定のデータが検出された場合、そのコンテンツに自動的に分類を適用する (例: クレジット カード番号に "極秘" を適用する)
コンテンツを再分類できるユーザーを制限して、データ ガバナンス フレームワークを強化する
不審なアクティビティを検出し、データの悪用を防ぐ方法
未承認アプリや異常な動作を可視化することで、高リスクの脅威を迅速に特定し、対処できるようになります。Guard は、チームが潜在的な脅威を調査して対応するために必要なコンテキストを得られるよう、インサイト、監査ログ、および検出ルール機能を提供します。
アプリの使用状況とセキュリティ プラクティスを監視
チームが Atlassian アプリをどのように使用しているかを十分に把握できなければ、リスク管理は不可能ではないにしても困難です。組織のアプリ使用状況、シャドー IT、ユーザーのセキュリティ体制を可視化することで、アプリの使用やセキュリティ ポリシーについて情報に基づいた意思決定を行うことができます。Guard では、次のことができます。
アクティブ ユーザーと認証方法についてのインサイトを得る
管理対象ユーザーが組織外で作成したアプリを検出することで、シャドー IT を削減し、一元的なガバナンスの管理下に置くことができる
組織全体の監査ログにアクセスする
ユーザー アクティビティ、アプリへのアクセス、管理対象アカウント、および組織の設定に関する課題を診断したり、質問に回答したりする必要がある場合、主要アクティビティの記録を保持することが不可欠です。Guard の監査ログは、コンプライアンス要件を満たし、インシデントを調査するために必要な監査証跡を提供します。Guard では、次のことができます。
ユーザー アクセス権の変更など、管理者のアクティビティに関する監査ログを表示する
ユーザーが作成したアクティビティの監査ログを表示する Premium 限定
ユーザーの API トークンの使用状況を追跡する Premium 限定
Webhook または監査ログ API を介してサードパーティ ツールにイベントをストリーミングし、セキュリティ チームが希望する環境で作業できるようにする Premium 限定
不審なユーザー アクティビティを検出するPremium 限定
Guard は、不審なアクティビティ、異常、およびデータ損失の可能性を検出するためのさまざまなツールを提供しています。承認およびアクセス イベント、データ漏洩イベント、アトラシアンの管理、Jira、および Confluence にわたるアプリまたは統合の構成変更など、特定の種類のユーザー アクティビティが検出されたときにアラートを受け取ります。アラートは、お客様とセキュリティ チームに調査と修復に必要な情報を提供し、解決までの時間を短縮します。アクティビティ検出機能は Guard Premium 限定で、以下が含まれます。
検出基準が満たされたときにアラートを受け取る
既存の SIEM やメッセージング ツールにアラートを送信し、作業を 1 か所に集約する
特定のユーザーを除外して、誤検知アラートの数を減らす
機密データを悪用から保護Premium 限定
チームがどれほど注意していても、クレジット カード番号、API トークン、AWS アクセス キーなどの機密データが、Jira 課題、Confluence ページ、およびその他の非アトラシアン ツールに紛れ込む可能性があります。組織が拡大し、データが分散すればするほど、すべてを把握することは難しくなります。最も重要な機密データがどこに存在するかを把握し、死角を特定できるようにする必要があります。
組み込みまたはカスタムの検出機能を使用して、特定の種類の機密データがページや課題に追加された場合にアラートを受け取ることで、セキュリティ チームが調査し、必要に応じてそのデータを削除できます。コンテンツ検出機能は Guard Premium でのみ利用でき、次の機能が含まれます。
組織全体で Jira と Confluence 内の機密データをスキャンし、何年分ものデータを完全に可視化
幅広いデータをすぐにスキャンできる 60 種類以上の組み込み検出機能から選択
カスタム検出機能を作成し、Confluence または Jira 内の特定の用語、フレーズ、パターンに関するアラートを受信
選択したページまたは課題を除外して、誤検知アラートを削減
アラートを SIEM またはメッセージング ツール (Splunk、Slack、Microsoft Teams など) と統合し、チームによる迅速な対応を実現
脅威がインシデントに発展する前に対応する方法Premium 限定
調査と修復は、セキュリティ インシデント対応における重要なステップです。これには、セキュリティ インシデントの性質とスコープを特定、分析、把握したうえで、解決して影響を抑えるために必要なアクションを講じることが含まれます。Guard Premium は、セキュリティ脅威がインシデントに発展する前に特定、分析、解決するための調査および修復ツールを提供します。
アラートに対応する
対処されていないセキュリティ リスクは深刻化し、重大な被害をもたらす可能性があります。管理者またはセキュリティ専門家として、リスクを迅速に特定し、さらなる被害を防ぐために直ちに対応するとともに、セキュリティ対策やポリシーを継続的に調整することができます。調査機能は Guard Premium でのみ利用でき、次の機能が含まれます。
説明、アクターの詳細、修復手順を 1 か所に集約したダッシュボードで、アラートを包括的に調査
アクターに関する情報を表示して、より広範なアクティビティ、デバイス、場所を確認し、そのアクティビティが不審かどうかを判断
アクティビティ タイムライン パネルなど、アラートおよびアクターに関するコンテキスト データを確認
修復措置を講じる
脅威が発生した際、対応が遅れると、そのリスクと影響が増大します。各アラートには推奨される修復手順が含まれているため、チームは迅速に対応し、リスクの高いアクティビティやデータの不正使用による影響を最小限に抑えられます。修復機能は Guard Premium でのみ利用でき、次の機能が含まれます。
アクターを一時停止にするなど、さらなる不審なアクティビティを阻止するための措置を直ちに実行
アラートから直接、Jira および Confluence 内の機密コンテンツをスキャンしてマスキング処理を実行
ページまたは課題へのアクセス制限や再分類など、一般的な修復アクションを自動化
機密データがプロンプトや応答に含まれないよう AI の利用状況を管理する方法
AI が日常のワークフローに組み込まれる中、セキュリティ チームには、機密データが漏えいする前にガードレールを設定する手段が必要です。Guard Premium は、Rovo がアクセスできる情報と、機密コンテンツの処理方法を制御できる AI ガバナンス機能により、これを実現します。
以下の AI ガバナンス機能は近日追加予定です。最新情報については、「Cloud ロードマップ」をご確認ください。
Rovo のきめ細かな制御Premium 限定
Guard Premium では、ユーザーが Rovo チャットを利用するときと、サードパーティ コネクタからのデータがアトラシアンに取り込まれるときという 2 つの重要なポイントで、AI とのインタラクションを制御できます。これらの制御を組み合わせることで、機密情報を漏えいさせることなく、組織全体に AI を導入できます。
Rovo チャット内の機密データをスキャンしてブロックする
Guard は、すべてのエージェントについて、Rovo チャットのプロンプトと応答をスキャンします。機密データの検出条件に一致するコンテンツをブロックまたはマスキングできるため、ユーザーがプロンプトに機密情報を貼り付けたり、エージェントが応答にそのデータを表示したりするのを防ぐことができます。Rovo チャットのセキュリティでは、次のことができます。
Rovo チャットのプロンプトと応答のテキストをスキャン
機密データがエージェントに到達する前にブロック
一致したコンテンツをインラインでマスキングし、会話を安全に継続
金融情報、身元情報、認証情報、健康情報など、さまざまなカテゴリの組み込み検出機能を使用
ブロックまたはマスキングされたプロンプトと応答の推移に関するインサイトを確認
Rovo に取り込まれるデータを制御する
Guard は、Google Drive などのサードパーティ コネクタに含まれる機密データが、そもそもアトラシアンに取り込まれないようにします。接続されたソースに機密データが含まれている場合、Guard は Rovo によるインデックス作成や表示を防ぎ、アトラシアン環境へのリスクの持ち込みを完全に阻止できます。コネクタのデータ セキュリティでは、次のことができます。
機密データの検出条件に一致するコネクタ ドキュメントを、アトラシアンに取り込まれる前にブロック
チャット時のスキャンだけに頼ることなく、サードパーティ ソース由来のリスクを防止
ブロックされたコネクタ ドキュメントと、最も頻繁にトリガーされた検出カテゴリを確認
