コンプライアンス マネージャーでの改善アクションの操作

概要

改善アクションは、コンプライアンス 活動を一元化するのに役立ちます。 各改善アクションでは、データ保護の規制と標準との整合に役立つ詳細なガイダンスを使用して、実行するアクションを推奨します。 改善のための処置は、実装やテスト作業を行う組織内のユーザーに割り当てることができます。 また、アクション内に証拠を格納したり、メモを追加したり、状態の更新を記録したりすることもできます。 多くの改善アクションには、自動テストと監視が付属しています。

コンプライアンス マネージャーは、規制、標準、または認定の要件を満たすために、一部のアクションが Microsoft によって自動的に完了される共有責任モデル内で機能します。 コンプライアンス マネージャーの [改善アクション] タブに一覧表示されるアクションは、組織が完了を担当するアクションです。

自動テストと監視

一部の改善アクションは組織によって手動でテストする必要があります。多くのアクションは自動的にテストおよび監視できます。 コンプライアンス マネージャーは、特定の構成が改善アクションの実装要件を満たすタイミングを判断するのに役立つ、Microsoft 365 環境とマルチクラウド環境の設定を自動的に識別します。 コンプライアンス マネージャーは、次に説明する 4 種類の自動化を利用します。

組み込みの自動化

コンプライアンス マネージャーには、他の Microsoft ソリューションや Microsoft 以外のサービスからシグナルを受信する機能が組み込まれています。 コンプライアンス マネージャーは、データ ライフサイクル管理、情報保護、データ損失防止、コミュニケーション コンプライアンス、インサイダー リスク管理など、組織がサブスクライブする可能性がある他の Microsoft Purview ソリューションからのシグナルを検出します。 コンプライアンス マネージャーは、Microsoft Priva からのシグナルも検出します (この機能はプレビュー段階です)。 自動化はソリューションに特に適用され、クラウド サービスのスコープではありません。 自動テスト設定の詳細については、こちらをご覧ください。

Microsoft セキュア スコアの自動化

コンプライアンス マネージャーは、Microsoft Secure Score によって監視される補完的な改善アクションからのシグナルを検出します。 これらのシグナルを通じて、コンプライアンス マネージャーは、継続的な制御評価を提供するために、特定の改善アクションを自動的にテストできます。 改善アクションが正常にテストされ、実装されると、そのアクションに対して可能な最大ポイントを受け取り、全体的なコンプライアンス スコアに与えられます。

Microsoft Defender for Cloud の自動化

Defender for Cloud との統合により、コンプライアンス マネージャーは改善アクションを容易にし、Microsoft Azure、アマゾン ウェブ サービス (AWS)、Google Cloud Platform (GCP) など、複数の Microsoft および Microsoft 以外のクラウド サービス間で継続的な監視を提供できます。 この監視のクラウド インフラストラクチャは、目的のサービスのサブスクリプション レベルでアクションの状態を評価および評価できることを意味します。 サービスの各サブスクリプション内の改善アクションごとに、特定の実装とテスト結果を確認できます。 改善アクションに対して受け取る全体的なスコアは、そのサービス内の各サブスクリプションの個々のスコアの集計です。 マルチクラウドのサポートとスコアリングの詳細については、こちらを参照してください。

コネクタ

Microsoft 以外の他のサービスをサポートするために、コンプライアンス マネージャー専用に構築されたコネクタの選択をロールアウトしています。 Salesforce および Zoom 用のコネクタが利用可能になり、近日中にリリースされるコネクタが増えています。 詳細については、「 コンプライアンス マネージャーでのコネクタの操作」を参照してください。

テストの種類

コンプライアンス マネージャーには、改善アクションをテストする方法のオプションが用意されています。 改善アクションの詳細ページで、上部の情報バーの [テストの種類 ] 状態に、アクションのテスト方法が表示されます。 ここから、アクションをテストする方法 ( 手動 または 自動) を選択できます。

Manual

手動テスト用に設定された改善アクションは、手動でテストして実装するアクションです。 必要な実装とテスト状態の状態を設定し、[ 証拠] タブ に証拠ファイルをアップロードします。一部のアクションでは、改善アクションをテストするための唯一の方法です。

自動

特定の改善アクションは、コンプライアンス マネージャーによって自動的にテストできます。 自動的にテストできる改善アクションとテストできない改善アクションの詳細を取得します。

自動的にテストできる改善アクションの場合は、[テストの種類] の [自動] オプションが表示されます。 コンプライアンス マネージャーは、他のコンプライアンス ソリューションとクラウド サービスからのシグナルを検出します。 改善アクションが正常に実装されたことを通知すると、そのアクションの適格なポイントが自動的に受け取られ、関連するコントロールと評価のスコアが考慮されます。 スコアリングの詳細については、こちらを参照してください。

対象となるすべての改善アクションに対して、自動テストが既定でオンになっています。 これらの設定を調整して、特定の改善アクションのみを自動的にテストすることも、すべてのアクションの自動テストをオフにすることもできます。 自動テストのしくみと設定を調整する方法の詳細については、「 自動テストを設定する」を参照してください。

改善のための処置ページ

組織が管理するすべての改善アクションは、コンプライアンス マネージャーの [改善アクション ] ページに一覧表示されます。 改善アクションの一覧には、対応する規制、テストの状態とソース、所有者、アクションの種類など、各アクションに関連する基本情報が表示されます。 一部の列の説明については、以下を参照してください。 列をフィルター処理してビューをカスタマイズします。

達成されたポイント

各改善アクションは、全体的なコンプライアンス スコアに貢献する多数のポイントの価値があります。 この列には、達成できる合計のうち獲得されたポイントの数が表示されます。

サービス

このサービスは、Microsoft Azure や Amazon Web Services などのデータ ソースであり、改善アクションによって評価および影響が与えられます。

グループ

この列には、改善アクションが関連付けられている評価グループが表示されます。 評価グループの詳細については、こちらをご覧ください。

ソリューション

ソリューションは、推奨されるアクションを実行する場所です。たとえば、Microsoft Communication Compliance、Microsoft Priva、Microsoft Defender for Cloud などです。

Categories

コンプライアンス マネージャーは、全体的なコンプライアンス体制を強化するために注意が必要な領域を理解するのに役立つ一般的なカテゴリに改善アクションをグループ化します。 カテゴリは、アクセスの制御、検出と対応、情報の管理、インフラストラクチャ クラウド、コンプライアンスの管理、デバイスの管理、内部リスクの管理、プライバシー管理、脅威からの保護、および情報の保護です。

アクションの種類

改善アクションは、本質的に技術的または非技術的な場合があります。

• 技術的なアクションは、ソリューションの技術を操作することで実装されます (構成を変更する、など)。

• 非技術アクション は組織によって管理され、ソリューションのテクノロジを操作する以外の方法で実装されます。 非技術アクションには、 ドキュメント と 運用の 2 種類があります。

アクションの種類が 改善アクションのスコアリングに与える影響について説明します。

改善アクションの詳細ページ

[改善アクション] ページの一覧から 改善アクション を選択して、アクションの詳細ページを表示します。 詳細ページには、詳細な実装ガイダンスと、適切なソリューションまたはサービスを起動するためのリンクが表示されます。 改善アクションの詳細ページから実行できる操作を次に示します。

• 上部の情報バーから基本的な状態をすばやく取得します。
• 作業の実行を担当する所有者を割り当てます。
• [詳細] タブで実装ガイダンスを 確認 します。推奨されるソリューションへの直接リンクに従って、実装作業を開始し、実装に関するメモを追加します。
• [ 詳細 ] タブからクラウド サービスのサブスクリプション内のアクションの状態を確認し、サブスクリプション レベルの詳細にドリルダウンします。
• [ 証拠] タブ の証拠ファイルとリンクをアップロードして保存します。
• [ 関連コントロール ] タブをオンにして、改善アクションを含むすべてのコントロールを表示します。 制御リストは、規制によってフィルター処理できます。

実装とテスト

所有者を割り当てる

改善アクションの実装作業を開始するには、自分で作業を行うか、所有者として別のユーザーに割り当てます。 所有者は、ビジネス ポリシー所有者、IT 実装者、またはタスクを実行する責任を持つ別の従業員である可能性があります。 適切な担当者を特定したら、作業を実行するのに十分な コンプライアンス マネージャー の役割 を持っていることを確認します。

改善アクションに所有者を割り当てるには、改善アクションの詳細ページを開きます。 ページ上部の情報バーの [ 所有者 ] ボックスで、ユーザーの名前の入力を開始し、表示されたら名前を選択します。 割り当てられたユーザーは、改善アクションが割り当てられていることを説明する電子メールを受け取り、改善アクションへの直接リンクが表示されます。

1 人のユーザーに複数の改善アクションを割り当てる

次の手順に従って、1 人のユーザーに複数の改善アクションを割り当てることができます。

1. コンプライアンス マネージャーで、[ 改善アクション ] ページに移動します。
2. 割り当てる改善アクションの左側にあるチェック ボックスをオンにします。
3. 改善アクション テーブルの上部にある [ ユーザーに割り当てる] を選択します。 [ 改善アクションの割り当て ] ポップアップ ウィンドウが表示されます。
4. 検索バーにユーザーの名前を入力してユーザーを検索するか、候補の一覧から名前を選択します。 ユーザーを選択したら、[ 割り当て] を選択します。

[ 改善アクション ] ページに戻り、 割り当てたアクションの [割り当て 先] 列に新しい所有者が表示されます。

実装作業

実装ガイダンスは、Microsoft Defender for Cloud に移動して作業を実行してアクションを完了するかどうかによって異なります。 マルチクラウド サポートの詳細については、こちらをご覧ください。 各アクションの種類の実装の手順を次に示します。

Defender for Cloud で実装するアクション

改善アクションの詳細ページで、上部の情報バーの [テスト ソース ] を表示します。 テスト ソースが Defender for Cloud の場合、アクションは Microsoft Azure、Amazon Web Services (AWS)、Google Cloud Platform (GCP) などのクラウド サービスに関連し、コンプライアンス マネージャーと Defender for Cloud の統合を使用してアクションが実装および監視されます。 これらのアクションは、インフラストラクチャ クラウドのカテゴリに属します。 自動的にテストできるかどうかは、 アクションの種類によって異なります。

• 技術的なアクションは自動的にテストされ、監視されます。
• 技術的でないアクションは手動でテストする必要があります。

以下のアクションの種類ごとの実装手順を確認します。

サブスクリプションの監視

Defender for Cloud で実装されたアクションの場合、[詳細] タブの [サブスクリプションの監視] セクションに、関連するすべてのサブスクリプションの一覧が表示されます (用語集の表示)。 このビューでは、各サービスのサブスクリプション全体のアクションの状態をより詳細に表示できます。 サブスクリプション名を選択して、実装の詳細、仮想リソースの状態、および関連する評価を含むポップアップ ウィンドウを表示します。

手動アクションの実装:

• [改善アクションの詳細] ページで、ガイダンスを実装し、必要な手順 を実行する方法に 関するページを確認します。 これには、オフラインで行われる技術以外の作業が含まれる場合があります。

• [ サブスクリプションの監視 ] に一覧表示されている各サブスクリプションの状態が更新されている必要があります。 各サブスクリプションには、サブスクリプション自体を表す 1 つの仮想リソースが含まれています。 サブスクリプション名を選択すると、そのサブスクリプションのポップアップ ウィンドウが表示されます。 適切な状態、日付を選択し、メモを入力します。

• 完了したら、[保存] を選択します。

自動アクションの実装:

• [サブスクリプション の監視] の下に一覧表示されている各サブスクリプションを一度に 1 つずつ選択します。
• サブスクリプションに完了していない仮想リソースが表示される場合は、サブスクリプションを選択し、ポップアップ ウィンドウで [ 仮想リソース ] タブを選択します。
• 各リソースの状態を調べて、修復が必要なリソースを特定します。
• 修復が必要なリソースについては、ガイダンスを 実装する方法に関するページを 参照してください。 次 に、[Defender for Cloud に移動 ] を選択して、必要な変更を行います。

改善アクションの状態の更新は、24 時間以内に表示されます。

Defender for Cloud で実装しないアクション

[ 詳細 ] タブの実装ガイダンスには、実装作業を実行するための手順とソリューションへのリンクが用意されています。 実装作業を実行して記録するには:

1. ガイダンス を実装する方法を 確認し、関連するソリューションへのリンクに従って必要な作業を実行します。 これには、オフラインで行われる技術以外の作業が含まれる場合があります。

2. 実装作業を実行したら、上部の情報バーの [ 実装の状態 ] ドロップダウン メニューから次のいずれかの状態オプションを選択します。

   • 実装されていません
   • 実装
   • 代替実装 - Microsoft 以外の他のツールを使用した場合、または Microsoft の推奨事項に含まれていない他のアクションを実行した場合は、このオプションを選択します
   • 計画
   • スコープ外 - 組織に関連せず、スコアに貢献しません

3. その後、実装状態の変更の日付を記録する必要があります。 アクションの情報バーの上にある [ メモの編集] を 選択します。 [ アクションの詳細の編集] ポップアップ ウィンドウが [ 実装 ] タブに表示されます。実装の状態は、ここで編集することもできます。

4. [ 実装日 ] フィールドで、実装日を選択します。

5. [メモ] フィールドに、省略可能な実装ノートを入力します ( ノートの詳細については、こちらをご覧ください)。

6. ポップアップ ウィンドウで [保存] を 選択して、ウィンドウを閉じます。

7. アクションの情報バーの上にある [保存] または [保存して閉じる ] を選択して、行った変更を保存します。

一般的なアクションは、グループ間で同期されます。 同じグループ内の 2 つの異なる評価が、ユーザーが管理する改善アクションを共有する場合、アクションの実装の詳細または状態に対して行った更新は、グループ内の他の評価で同じアクションに自動的に同期されます。 この同期を使用すると、1 つの改善アクションを実装し、複数の規制にまたがるいくつかの要件を満たすことができます。

テスト作業

改善アクションのテスト状態は、アクションの詳細ページの [テスト状態] フィールドに表示されます。 改善アクションが実装されたら、以下の手順に従って、手動でテストされたアクションのテスト状態を更新できます。 編集アクセス許可を持つユーザーは、アクションの状態を調整できます。

1. [改善アクションの詳細] ページで、上部の情報バーの [ テスト状態 ] ドロップダウン メニューから次のいずれかの状態オプションを選択できます。

   • なし - アクションに対して作業が開始されていません
   • 評価されていない - アクションがテストされていません
   • 合格 - 実装は評価者によって検証されました
   • 失敗した低リスク
   • 失敗した中程度のリスク
   • 失敗した高リスク
   • スコープ外 - アクションは評価の範囲外であり、スコアに影響しません
   • 決定する
   • 判別できませんでした
   • 部分的にテスト済み
   • 処理中

2. その後、テスト日を記録する必要があります。 アクションの情報バーの上にある [ メモの編集] を 選択します。 [ アクションの詳細の編集] ポップアップ ウィンドウが表示されます。

3. [ テストと検証 ] タブで、テスト日を選択します。 ここでテストの状態を編集することもできます。

4. [ノート] フィールドに、オプションのテスト ノート ( ノートの詳細) を入力します。

5. ポップアップ ウィンドウで [保存] を 選択して、ウィンドウを閉じます。

6. アクションの情報バーの上にある [保存] または [保存して閉じる ] を選択して、行った変更を保存します。

Defender for Cloud で実装される手動でテストされたアクションについては、サブスクリプション内でテスト状態を設定する方法の 実装手順 を参照してください。

自動的にテストされたアクションは、Defender for Cloud を介した自動監視が最初に設定されている場合、 スコープ外 の状態を示す場合があります。 これは、Defender for Cloud からの信号を処理するのに最大 24 時間かかる場合があるためです。 改善アクションの状態は 24 時間ごとに更新されます。

自動的にテストされたアクションには、次のいずれかのテスト状態が表示される場合もあります。

• 検出対象 - テスト状態を示す待機中のシグナル
• 検出できませんでした - テスト状態を検出できませんでした。再び自動的にチェックされます
• 部分的にテストされた - アクションが部分的にテストされました。パスも失敗もしません

テスト履歴のエクスポート

改善アクションのテスト状態のすべての変更の履歴を示すレポートをエクスポートできます。 これらのレポートは、テナントのデータに基づいて定期的または頻繁に更新されるため、 自動的にテストされるアクションの進行状況を監視するのに特に役立ちます。

改善アクションの詳細ページで、上部の情報バーの上にある [ テスト履歴のエクスポート ] を選択します。 レポートは Excel ファイルとしてダウンロードされます。

メモを入力して表示する

実装またはテスト作業に関する内部参照用のメモを入力できます。 これらのメモは、アクションの割り当てられた所有者だけでなく、編集アクセス許可を持つ任意のユーザーによって追加または編集できます。

ノートは、改善アクションの詳細ページには表示されません。 ノートを表示したり、メモを追加したりするには、改善アクションの詳細ページの右上にある [ノートの編集] コマンドを選択する必要があります。 [メモの 編集] を選択すると、[ アクションの詳細の編集 ] ポップアップ ウィンドウが表示されます。 ポップアップ ウィンドウの [実装 ] タブと [テスト] タブ と検証 タブの両方にメモのテキスト フィールドが表示されます (これは、 実装とテスト作業の状態と日付を選択することもできます)。

ノートを追加したら、ポップアップ ウィンドウで [保存] を選択します。 ウィンドウが閉じます。 次に、アクションの情報バーの上にある [保存] または [保存] を選択して閉じて メモを保存します。

証拠の格納

実装とテスト作業に関連する証拠を、ファイルまたはリンクの形式で、改善アクションの詳細ページの [ 証拠 ] タブに直接アップロードできます。 この環境は、コンプライアンス標準と規制を満たすコントロールの満足度を示すのに役立つ、セキュリティで保護された一元化されたリポジトリです。 読み取り専用アクセス権を持つユーザーは、このセクションのコンテンツを読み取ることができます。 編集権限を持つユーザーのみが、証拠のアップロード、ダウンロード、削除を行うことができます。

証拠のアップロード

• 改善アクションの詳細ページで、[ 証拠 ] タブに移動します。
• [ 証拠の追加] を選択し、[ ドキュメント ] または [リンク] を選択 します。
• ドキュメントの場合は、アップロードするファイルを参照して選択し、[完了] を選択 します。 受け入れられるファイルの種類は次のとおりです。
  • ドキュメント (.doc、.xls、.ppt、.txt、.pdf)
  • イメージ (.jpg、.png)
  • ビデオ (.mkv)
  • 圧縮ファイル (.zip、.rar)
• リンクの場合は、リンクの名前とその URL を入力し、[完了] を選択 します。

証拠を削除する

改善アクションがまだ成功または失敗の状態に達していない場合は、証拠を削除できます。 証拠ファイルまたはリンクを削除するには、項目の名前の右側にあるアクション メニュー (3 つのドット) を選択し、[削除] を選択 します。 メッセージが表示されたら、削除を確認します。

改善アクションのテスト状態が Passed、Failed、または Out of scope の場合、証拠ファイルとリンクは削除できなくなります。

完了のために評価者に改善アクションを割り当てる

作業を完了し、テストを実施し、証拠をアップロードしたら、次の手順では、検証のために評価者に改善アクションを割り当てます。 評価者は、作業を検証し、証拠を調べ、適切なテスト状態を選択します。

• アクションの状態が "Pass" に設定されている場合: アクションは完了し、合計ポイント数を受け取ります。

• アクションの状態が "失敗" に設定されている場合: アクションが要件を満たしていないため、評価担当者は適切なユーザーに割り当ててより多くの作業を行うことができます。

コンプライアンス マネージャーの評価者ロールを使用すると、ユーザーは評価を作成する完全な権限を持たずに、この作業を実行できます。 アクセス許可を設定する方法と、評価と規制へのロールベースのアクセス権を付与する方法について説明します。

改善アクションの更新を受け入れる

改善アクションで更新プログラムを使用できる場合は、その名前の横に通知が表示されます。 更新プログラムを受け入れるか、後で延期することができます。

更新の原因

スコアリング、自動化、またはスコープに関連する変更がある場合、更新が発生します。 変更には、規制の変更に基づく改善アクションに関する新しいガイダンスが含まれる場合や、製品の変更が原因である可能性があります。 組織が管理する改善アクションのみが更新通知を受け取ります。

評価更新通知が表示される場所

改善アクションが更新されると、[改善アクション] ページと関連する評価の詳細ページに、その名前の横に [保留中の更新 ] ラベルが表示されます。

改善アクションの詳細ページに移動し、上部バナーの [ 更新プログラムの確認 ] ボタンを選択して、変更に関する詳細を確認し、更新プログラムを承諾または延期します。

更新プログラムを確認して受け入れるか延期します

改善アクションの詳細ページから [ 更新プログラムの確認 ] を選択すると、画面の右側にポップアップ ウィンドウが表示されます。 ポップアップ ウィンドウには、影響を受けた評価やスコアとスコープの変更など、更新に関する重要な詳細が表示されます。

[ 更新を受け入れる ] を選択して、改善アクションに対するすべての変更を受け入れます。 受け入れられた変更は永続的です。

[キャンセル] を選択した場合、更新プログラムは改善アクションに適用されません。 ただし、更新を受け入れるまで、引き続き [保留中の更新 ] 通知が表示されます。

• 更新プログラムの受け入れを推奨する理由: 更新プログラムを受け入れることは、ソリューションの使用と適切な改善アクションの実行に関する最新のガイダンスを確実に提供し、認定資格の要件を満たすのに役立ちます。

• 更新プログラムを延期する理由: 改善アクションを含む評価を完了している最中の場合は、更新プログラムを受け入れる前に作業を完了済みであることを確認してください。 更新プログラムを後で延期するには、[更新プログラムの確認] ポップアップ ウィンドウで [キャンセル ] を選択します。

すべての更新プログラムを一度に受け入れる

複数の更新プログラムがあり、それらをすべて一度に受け入れる場合は、改善アクション テーブルの上部にある [ すべての更新プログラムを受け入れる ] リンクを選択します。 ポップアップ ウィンドウが表示され、更新するアクションの数が一覧表示されます。 [更新プログラムを 受け入れる ] ボタンを選択して、すべての更新プログラムを適用します。

改善アクション ページに戻ると、ページの上部に更新を完了するように求めるメッセージが表示されることがあります。

改善アクションの変更に関するアラートを設定する

実装やテストの状態の変更、スコアの増減など、改善アクションに対する特定の変更が発生したときにすぐに通知するようにアラートを設定できます。 このような変更の迅速な通知を受け取ることは、コンプライアンス リスクの可能性を維持するのに役立ちます。 アラートを設定する方法については、「 コンプライアンス マネージャーのアラートとアラート ポリシー 」を参照してください。

すべての改善アクションのレポートをエクスポートする

[改善アクション] ページで、 アクション の一覧の上にある [アクションのエクスポート] を選択します。 Excel ファイルがダウンロードされます。 ファイルには、すべての改善アクションと、改善アクション ページに表示されるフィルター カテゴリが含まれています。 これは、複数の改善アクションを一度に更新するために使用するのと同じファイルです。 複数の改善アクションを更新するためにファイルを操作する方法の詳細を取得します。