クラウドを導入したあと、最初に問われるのは「初期設定のままで良いのか」という点です。ここでは、評価の進め方と、社内で決めておくべきことを整理します。
セキュリティベースラインとは何か
守るべき最低限の設定を、あらかじめ一覧として定義したものです。「何を守るか」ではなく「どこまで下げないか」の線だと考えると分かりやすいと思います。
なぜ初期設定のままでは足りないのか
クラウドの初期設定は、幅広い使い方に合わせた汎用的なものです。利便性を優先している項目もあり、そのまま本番で使うと想定外の経路が開いたままになることがあります。
よく見落とされる項目
- 管理者権限を持つアカウントの棚卸し
- 多要素認証の適用範囲（例外の有無）
- 外部共有の既定値
- 監査ログの保存期間
評価の進め方
一度に全部を直そうとすると、業務が止まります。順序をつけて進めます。
- 現状の設定を棚卸しして、基準との差分を一覧にする
- 差分を「影響が小さく効果が大きい順」に並べ替える
- 業務への影響を確認しながら、段階的に寄せていく
- 変更内容を記録し、次回の基準にする
すべてを満たすことが目的ではありません。満たしていない項目を「把握していない状態」から「把握したうえで受け入れている状態」に変えることが、評価の本当の価値です。
社内で先に決めておくこと
技術的な作業に入る前に、次の2点を決めておくと後戻りが減ります。
- 例外を認める場合、誰が承認するのか
- 基準を見直す頻度（年1回か、構成変更のたびか）
補足：評価は一度きりの作業ではありません
クラウドのサービスは更新され続けるため、基準そのものも古くなります。評価の仕組みを運用に組み込むところまでを設計に含めることをおすすめします。
まとめ
セキュリティベースラインは、点検表であると同時に、社内で合意した線引きの記録でもあります。まずは棚卸しから始めてみてください。
ご相談はお問い合わせからお受けしています。
※本記事は仮の内容です。公開前に差し替えます。