Australian Government ISM PROTECTED 規制コンプライアンスの組み込みイニシアチブの詳細

[アーティクル]
04/17/2024

この記事では、Azure Policy 規制コンプライアンスの組み込みイニシアティブ定義が、Australian Government ISM PROTECTED のコンプライアンスドメインとコントロールにどのように対応するのかについて詳しく説明します。このコンプライアンス基準の詳細については、Australian Government ISM PROTECTED に関するページを参照してください。 "所有権" については、Azure Policy のポリシー定義に関するページと、「クラウドにおける共同責任」を参照してください。

以下のマッピングは、Australian Government ISM PROTECTED コントロールに対するものです。コントロールの多くは、Azure Policy のイニシアチブ定義で実装されています。完全なイニシアチブ定義を確認するには、Azure portal で [ポリシー] を開き、 [定義] ページを選択します。次に、[プレビュー]: Australian Government ISM PROTECTED 規制コンプライアンスの組み込みイニシアチブ定義を見つけて選択します。

重要

以下の各コントロールは、1 つ以上の Azure Policy 定義に関連します。これらのポリシーは、コントロールに対するコンプライアンスの評価に役立つ場合があります。ただし、多くの場合、コントロールと 1 つ以上のポリシーとの間には、一対一での一致、または完全な一致はありません。そのため、Azure Policy での準拠では、ポリシー定義自体のみが示されています。これによって、コントロールのすべての要件に完全に準拠していることが保証されるわけではありません。また、コンプライアンス標準には、現時点でどの Azure Policy 定義でも対応されていないコントロールが含まれています。したがって、Azure Policy でのコンプライアンスは、全体のコンプライアンス状態の部分的ビューでしかありません。このコンプライアンス標準に対するコンプライアンスドメイン、コントロール、Azure Policy 定義の間の関連付けは、時間の経過と共に変わる可能性があります。変更履歴を表示するには、GitHub のコミット履歴に関するページを参照してください。

人的セキュリティのガイドライン - システムとそのリソースへのアクセス

ユーザー ID - 414

ID: AU ISM 414

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
Azure リソースに対する所有者アクセス許可を持つアカウントで MFA を有効にする必要があります。	アカウントまたはリソースに対する侵害を防止するために、所有者としてのアクセス許可を持つすべてのサブスクリプションアカウントで多要素認証 (MFA) を有効にする必要があります。	AuditIfNotExists、Disabled	1.0.0
Azure リソースに対する読み取りアクセス許可を持つアカウントで MFA を有効にする必要があります。	アカウントまたはリソースの侵害を防止するために、読み取り権限を持つすべてのサブスクリプションアカウントで多要素認証 (MFA) を有効にする必要があります。	AuditIfNotExists、Disabled	1.0.0
Azure リソースに対する書き込みアクセス許可を持つアカウントで MFA を有効にする必要があります。	アカウントまたはリソースに対する侵害を防止するために、書き込み権限を持つすべてのサブスクリプションアカウントに対して多要素認証 (MFA) を有効にする必要があります。	AuditIfNotExists、Disabled	1.0.0

ユーザー ID - 415

ID: AU ISM 415

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
ID のない仮想マシンでゲスト構成の割り当てを有効にするためにシステム割り当てマネージド ID を追加する	このポリシーでは、Azure でホストされ、ゲスト構成でサポートされているものの、マネージド ID を持たない仮想マシンに、システム割り当てマネージド ID が追加されます。システム割り当てマネージド ID は、すべてのゲスト構成割り当てに対する前提条件であるため、ゲスト構成ポリシー定義を使用する前にマシンに追加する必要があります。ゲスト構成の詳細については、https://aka.ms/gcpol を参照してください。	変更	4.1.0
ユーザー割り当て ID を持つ VM でゲスト構成の割り当てを有効にするためにシステム割り当てマネージド ID を追加する	このポリシーでは、Azure でホストされ、ゲスト構成でサポートされており、少なくとも 1 つのユーザー割り当て ID を持っているものの、システム割り当てマネージド ID を持たない仮想マシンに、システム割り当てマネージド ID が追加されます。システム割り当てマネージド ID は、すべてのゲスト構成割り当てに対する前提条件であるため、ゲスト構成ポリシー定義を使用する前にマシンに追加する必要があります。ゲスト構成の詳細については、https://aka.ms/gcpol を参照してください。	変更	4.1.0
Administrators グループ内に指定されたメンバーが存在する Windows マシンを監査する	前提条件がポリシーの割り当てスコープにデプロイされていることが要求されます。詳細については、 https://aka.ms/gcpol を参照してください。ポリシーパラメーターに指定されたメンバーがローカルの Administrators グループに含まれている場合、マシンは非準拠となります。	auditIfNotExists	2.0.0
Windows VM でゲスト構成の割り当てを有効にするために Windows ゲスト構成拡張機能をデプロイする	このポリシーでは、Azure でホストされ、ゲスト構成でサポートされている Windows 仮想マシンに Windows ゲスト構成拡張機能がデプロイされます。 Windows ゲスト構成拡張機能は、すべての Windows ゲスト構成割り当ての前提条件であるため、Windows ゲスト構成ポリシー定義を使用する前にマシンにデプロイする必要があります。ゲスト構成の詳細については、https://aka.ms/gcpol を参照してください。	deployIfNotExists	1.2.0

システムへのアクセスの中断 - 430

ID: AU ISM 430

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
Azure リソースに対する所有者アクセス許可を持つブロックされたアカウントを削除する必要があります。	所有者としてのアクセス許可を持つ非推奨のアカウントは、サブスクリプションから削除する必要があります。非推奨のアカウントは、サインインがブロックされているアカウントです。	AuditIfNotExists、Disabled	1.0.0
Azure リソースに対する読み取りおよび書き込みアクセス許可を持つブロックされたアカウントを削除する必要があります。	非推奨のアカウントは、サブスクリプションから削除する必要があります。非推奨のアカウントは、サインインがブロックされているアカウントです。	AuditIfNotExists、Disabled	1.0.0

システムへの一時アクセス - 441

ID: AU ISM 441

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
Azure リソースに対する所有者アクセス許可を持つブロックされたアカウントを削除する必要があります。	所有者としてのアクセス許可を持つ非推奨のアカウントは、サブスクリプションから削除する必要があります。非推奨のアカウントは、サインインがブロックされているアカウントです。	AuditIfNotExists、Disabled	1.0.0
Azure リソースに対する読み取りおよび書き込みアクセス許可を持つブロックされたアカウントを削除する必要があります。	非推奨のアカウントは、サブスクリプションから削除する必要があります。非推奨のアカウントは、サインインがブロックされているアカウントです。	AuditIfNotExists、Disabled	1.0.0
Azure リソースに対する所有者アクセス許可を持つゲストアカウントを削除する必要があります。	監視されていないアクセスを防止するために、所有者アクセス許可を持つ外部アカウントは、サブスクリプションから削除する必要があります。	AuditIfNotExists、Disabled	1.0.0
Azure リソースに対する書き込みアクセス許可を持つゲストアカウントを削除する必要があります。	監視されていないアクセスを防止するために、書き込み権限がある外部アカウントは、サブスクリプションから削除する必要があります。	AuditIfNotExists、Disabled	1.0.0

システムへの特権アクセス - 445

ID: AU ISM 445

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
ID のない仮想マシンでゲスト構成の割り当てを有効にするためにシステム割り当てマネージド ID を追加する	このポリシーでは、Azure でホストされ、ゲスト構成でサポートされているものの、マネージド ID を持たない仮想マシンに、システム割り当てマネージド ID が追加されます。システム割り当てマネージド ID は、すべてのゲスト構成割り当てに対する前提条件であるため、ゲスト構成ポリシー定義を使用する前にマシンに追加する必要があります。ゲスト構成の詳細については、https://aka.ms/gcpol を参照してください。	変更	4.1.0
ユーザー割り当て ID を持つ VM でゲスト構成の割り当てを有効にするためにシステム割り当てマネージド ID を追加する	このポリシーでは、Azure でホストされ、ゲスト構成でサポートされており、少なくとも 1 つのユーザー割り当て ID を持っているものの、システム割り当てマネージド ID を持たない仮想マシンに、システム割り当てマネージド ID が追加されます。システム割り当てマネージド ID は、すべてのゲスト構成割り当てに対する前提条件であるため、ゲスト構成ポリシー定義を使用する前にマシンに追加する必要があります。ゲスト構成の詳細については、https://aka.ms/gcpol を参照してください。	変更	4.1.0
Administrators グループ内に指定されたメンバーが存在する Windows マシンを監査する	前提条件がポリシーの割り当てスコープにデプロイされていることが要求されます。詳細については、 https://aka.ms/gcpol を参照してください。ポリシーパラメーターに指定されたメンバーがローカルの Administrators グループに含まれている場合、マシンは非準拠となります。	auditIfNotExists	2.0.0
Windows VM でゲスト構成の割り当てを有効にするために Windows ゲスト構成拡張機能をデプロイする	このポリシーでは、Azure でホストされ、ゲスト構成でサポートされている Windows 仮想マシンに Windows ゲスト構成拡張機能がデプロイされます。 Windows ゲスト構成拡張機能は、すべての Windows ゲスト構成割り当ての前提条件であるため、Windows ゲスト構成ポリシー定義を使用する前にマシンにデプロイする必要があります。ゲスト構成の詳細については、https://aka.ms/gcpol を参照してください。	deployIfNotExists	1.2.0

システムへの標準アクセス - 1503

ID: AU ISM 1503

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
サブスクリプションには最大 3 人の所有者を指定する必要がある	セキュリティ侵害を受けたサブスクリプション所有者が侵害を引き起こす可能性を下げるため、指定する所有者は最大 3 人までにすることをお勧めします。	AuditIfNotExists、Disabled	3.0.0
ID のない仮想マシンでゲスト構成の割り当てを有効にするためにシステム割り当てマネージド ID を追加する	このポリシーでは、Azure でホストされ、ゲスト構成でサポートされているものの、マネージド ID を持たない仮想マシンに、システム割り当てマネージド ID が追加されます。システム割り当てマネージド ID は、すべてのゲスト構成割り当てに対する前提条件であるため、ゲスト構成ポリシー定義を使用する前にマシンに追加する必要があります。ゲスト構成の詳細については、https://aka.ms/gcpol を参照してください。	変更	4.1.0
ユーザー割り当て ID を持つ VM でゲスト構成の割り当てを有効にするためにシステム割り当てマネージド ID を追加する	このポリシーでは、Azure でホストされ、ゲスト構成でサポートされており、少なくとも 1 つのユーザー割り当て ID を持っているものの、システム割り当てマネージド ID を持たない仮想マシンに、システム割り当てマネージド ID が追加されます。システム割り当てマネージド ID は、すべてのゲスト構成割り当てに対する前提条件であるため、ゲスト構成ポリシー定義を使用する前にマシンに追加する必要があります。ゲスト構成の詳細については、https://aka.ms/gcpol を参照してください。	変更	4.1.0
Administrators グループ内に指定されたメンバーが存在する Windows マシンを監査する	前提条件がポリシーの割り当てスコープにデプロイされていることが要求されます。詳細については、 https://aka.ms/gcpol を参照してください。ポリシーパラメーターに指定されたメンバーがローカルの Administrators グループに含まれている場合、マシンは非準拠となります。	auditIfNotExists	2.0.0
Windows VM でゲスト構成の割り当てを有効にするために Windows ゲスト構成拡張機能をデプロイする	このポリシーでは、Azure でホストされ、ゲスト構成でサポートされている Windows 仮想マシンに Windows ゲスト構成拡張機能がデプロイされます。 Windows ゲスト構成拡張機能は、すべての Windows ゲスト構成割り当ての前提条件であるため、Windows ゲスト構成ポリシー定義を使用する前にマシンにデプロイする必要があります。ゲスト構成の詳細については、https://aka.ms/gcpol を参照してください。	deployIfNotExists	1.2.0
複数の所有者がサブスクリプションに割り当てられている必要がある	管理者アクセスの冗長性を確保するため、複数のサブスクリプション所有者を指定することをお勧めします。	AuditIfNotExists、Disabled	3.0.0

システムへの特権アクセス - 1507

ID: AU ISM 1507

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
ID のない仮想マシンでゲスト構成の割り当てを有効にするためにシステム割り当てマネージド ID を追加する	このポリシーでは、Azure でホストされ、ゲスト構成でサポートされているものの、マネージド ID を持たない仮想マシンに、システム割り当てマネージド ID が追加されます。システム割り当てマネージド ID は、すべてのゲスト構成割り当てに対する前提条件であるため、ゲスト構成ポリシー定義を使用する前にマシンに追加する必要があります。ゲスト構成の詳細については、https://aka.ms/gcpol を参照してください。	変更	4.1.0
ユーザー割り当て ID を持つ VM でゲスト構成の割り当てを有効にするためにシステム割り当てマネージド ID を追加する	このポリシーでは、Azure でホストされ、ゲスト構成でサポートされており、少なくとも 1 つのユーザー割り当て ID を持っているものの、システム割り当てマネージド ID を持たない仮想マシンに、システム割り当てマネージド ID が追加されます。システム割り当てマネージド ID は、すべてのゲスト構成割り当てに対する前提条件であるため、ゲスト構成ポリシー定義を使用する前にマシンに追加する必要があります。ゲスト構成の詳細については、https://aka.ms/gcpol を参照してください。	変更	4.1.0
Administrators グループ内に指定されたメンバーが存在する Windows マシンを監査する	前提条件がポリシーの割り当てスコープにデプロイされていることが要求されます。詳細については、 https://aka.ms/gcpol を参照してください。ポリシーパラメーターに指定されたメンバーがローカルの Administrators グループに含まれている場合、マシンは非準拠となります。	auditIfNotExists	2.0.0
Windows VM でゲスト構成の割り当てを有効にするために Windows ゲスト構成拡張機能をデプロイする	このポリシーでは、Azure でホストされ、ゲスト構成でサポートされている Windows 仮想マシンに Windows ゲスト構成拡張機能がデプロイされます。 Windows ゲスト構成拡張機能は、すべての Windows ゲスト構成割り当ての前提条件であるため、Windows ゲスト構成ポリシー定義を使用する前にマシンにデプロイする必要があります。ゲスト構成の詳細については、https://aka.ms/gcpol を参照してください。	deployIfNotExists	1.2.0

システムへの特権アクセス - 1508

ID: AU ISM 1508

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
サブスクリプションには最大 3 人の所有者を指定する必要がある	セキュリティ侵害を受けたサブスクリプション所有者が侵害を引き起こす可能性を下げるため、指定する所有者は最大 3 人までにすることをお勧めします。	AuditIfNotExists、Disabled	3.0.0
ID のない仮想マシンでゲスト構成の割り当てを有効にするためにシステム割り当てマネージド ID を追加する	このポリシーでは、Azure でホストされ、ゲスト構成でサポートされているものの、マネージド ID を持たない仮想マシンに、システム割り当てマネージド ID が追加されます。システム割り当てマネージド ID は、すべてのゲスト構成割り当てに対する前提条件であるため、ゲスト構成ポリシー定義を使用する前にマシンに追加する必要があります。ゲスト構成の詳細については、https://aka.ms/gcpol を参照してください。	変更	4.1.0
ユーザー割り当て ID を持つ VM でゲスト構成の割り当てを有効にするためにシステム割り当てマネージド ID を追加する	このポリシーでは、Azure でホストされ、ゲスト構成でサポートされており、少なくとも 1 つのユーザー割り当て ID を持っているものの、システム割り当てマネージド ID を持たない仮想マシンに、システム割り当てマネージド ID が追加されます。システム割り当てマネージド ID は、すべてのゲスト構成割り当てに対する前提条件であるため、ゲスト構成ポリシー定義を使用する前にマシンに追加する必要があります。ゲスト構成の詳細については、https://aka.ms/gcpol を参照してください。	変更	4.1.0
Administrators グループ内に指定されたメンバーが存在する Windows マシンを監査する	前提条件がポリシーの割り当てスコープにデプロイされていることが要求されます。詳細については、 https://aka.ms/gcpol を参照してください。ポリシーパラメーターに指定されたメンバーがローカルの Administrators グループに含まれている場合、マシンは非準拠となります。	auditIfNotExists	2.0.0
Windows VM でゲスト構成の割り当てを有効にするために Windows ゲスト構成拡張機能をデプロイする	このポリシーでは、Azure でホストされ、ゲスト構成でサポートされている Windows 仮想マシンに Windows ゲスト構成拡張機能がデプロイされます。 Windows ゲスト構成拡張機能は、すべての Windows ゲスト構成割り当ての前提条件であるため、Windows ゲスト構成ポリシー定義を使用する前にマシンにデプロイする必要があります。ゲスト構成の詳細については、https://aka.ms/gcpol を参照してください。	deployIfNotExists	1.2.0
仮想マシンの管理ポートは、Just-In-Time のネットワークアクセス制御で保護する必要がある	可能なネットワークのジャストインタイム (JIT) アクセスが、推奨設定として Azure Security Center で監視されます	AuditIfNotExists、Disabled	3.0.0
複数の所有者がサブスクリプションに割り当てられている必要がある	管理者アクセスの冗長性を確保するため、複数のサブスクリプション所有者を指定することをお勧めします。	AuditIfNotExists、Disabled	3.0.0

メディアのガイドライン - メディアの使用

データ転送のためのメディアの使用 - 947

ID: AU ISM 947

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
Azure リソースに対する読み取りアクセス許可を持つアカウントで MFA を有効にする必要があります。	アカウントまたはリソースの侵害を防止するために、読み取り権限を持つすべてのサブスクリプションアカウントで多要素認証 (MFA) を有効にする必要があります。	AuditIfNotExists、Disabled	1.0.0

システムのセキュリティ強化のためのガイドライン - オペレーティングシステムのセキュリティ強化

オペレーティングシステムの構成 - 380

ID: AU ISM 380

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
Azure リソースに対する所有者アクセス許可を持つブロックされたアカウントを削除する必要があります。	所有者としてのアクセス許可を持つ非推奨のアカウントは、サブスクリプションから削除する必要があります。非推奨のアカウントは、サインインがブロックされているアカウントです。	AuditIfNotExists、Disabled	1.0.0
Azure リソースに対する読み取りおよび書き込みアクセス許可を持つブロックされたアカウントを削除する必要があります。	非推奨のアカウントは、サブスクリプションから削除する必要があります。非推奨のアカウントは、サインインがブロックされているアカウントです。	AuditIfNotExists、Disabled	1.0.0

オペレーティングシステムのバージョン - 1407

ID: AU ISM 1407

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
仮想マシンスケールセットにシステムの更新プログラムをインストールする必要がある	お使いの Windows と Linux の仮想マシンスケールセットが確実にセキュリティで保護されるようにするため、インストールする必要のあるシステムのセキュリティ更新プログラムおよび重要な更新プログラムが不足していないかどうかを監査します。	AuditIfNotExists、Disabled	3.0.0
システム更新プログラムをマシンにインストールする必要がある	使用中のサーバーにおけるセキュリティ関連のシステム更新プログラムの不足が、推奨設定として Azure Security Center で監視されます	AuditIfNotExists、Disabled	4.0.0

ウイルス対策ソフトウェア - 1417

ID: AU ISM 1417

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
エンドポイント保護ソリューションを仮想マシンスケールセットにインストールする必要がある	脅威と脆弱性から保護するため、お使いの仮想マシンスケールセットでのエンドポイント保護ソリューションの存在と正常性を監査します。	AuditIfNotExists、Disabled	3.0.0
Microsoft IaaSAntimalware 拡張機能は Windows Server に展開する必要がある	このポリシーは、Microsoft IaaSAntimalware 拡張機能がデプロイされていないすべての Windows Server VM を監査します。	AuditIfNotExists、Disabled	1.1.0
Endpoint Protection の不足を Azure Security Center で監視する	Endpoint Protection エージェントがインストールされていないサーバーが、推奨設定として Azure Security Center で監視されます	AuditIfNotExists、Disabled	3.0.0

アプリケーションの制御 - 1490

ID: AU ISM 1490

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
安全なアプリケーションの定義のために適応型アプリケーション制御をマシンで有効にする必要がある	アプリケーション制御を有効にして、マシンで実行されている既知の安全なアプリケーションの一覧を定義し、他のアプリケーションの実行時にアラートを出します。これは、マルウェアに対してマシンを強化するのに役立ちます。ルールの構成と保守のプロセスを簡略化するために、Security Center で機械学習を使用して各マシンで実行されているアプリケーションを分析し、既知の安全なアプリケーションの一覧を提示します。	AuditIfNotExists、Disabled	3.0.0

システムのセキュリティ強化のためのガイドライン - 認証のセキュリティ強化

単一要素認証 - 421

ID: AU ISM 421

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
ID のない仮想マシンでゲスト構成の割り当てを有効にするためにシステム割り当てマネージド ID を追加する	このポリシーでは、Azure でホストされ、ゲスト構成でサポートされているものの、マネージド ID を持たない仮想マシンに、システム割り当てマネージド ID が追加されます。システム割り当てマネージド ID は、すべてのゲスト構成割り当てに対する前提条件であるため、ゲスト構成ポリシー定義を使用する前にマシンに追加する必要があります。ゲスト構成の詳細については、https://aka.ms/gcpol を参照してください。	変更	4.1.0
ユーザー割り当て ID を持つ VM でゲスト構成の割り当てを有効にするためにシステム割り当てマネージド ID を追加する	このポリシーでは、Azure でホストされ、ゲスト構成でサポートされており、少なくとも 1 つのユーザー割り当て ID を持っているものの、システム割り当てマネージド ID を持たない仮想マシンに、システム割り当てマネージド ID が追加されます。システム割り当てマネージド ID は、すべてのゲスト構成割り当てに対する前提条件であるため、ゲスト構成ポリシー定義を使用する前にマシンに追加する必要があります。ゲスト構成の詳細については、https://aka.ms/gcpol を参照してください。	変更	4.1.0
Windows VM でゲスト構成の割り当てを有効にするために Windows ゲスト構成拡張機能をデプロイする	このポリシーでは、Azure でホストされ、ゲスト構成でサポートされている Windows 仮想マシンに Windows ゲスト構成拡張機能がデプロイされます。 Windows ゲスト構成拡張機能は、すべての Windows ゲスト構成割り当ての前提条件であるため、Windows ゲスト構成ポリシー定義を使用する前にマシンにデプロイする必要があります。ゲスト構成の詳細については、https://aka.ms/gcpol を参照してください。	deployIfNotExists	1.2.0
Windows マシンは [セキュリティの設定 - アカウントポリシー] の要件を満たしている必要がある	Windows マシンには、パスワードの履歴、有効期間、長さ、複雑さ、暗号化を元に戻せる状態での保存について、カテゴリ [セキュリティオプション - アカウントポリシー] で指定されたグループポリシー設定が必要です。このポリシーでは、ゲスト構成の前提条件がポリシーの割り当てスコープにデプロイされていることが要求されます。詳細については、 https://aka.ms/gcpol を参照してください。	AuditIfNotExists、Disabled	3.0.0

多要素認証 - 1173

ID: AU ISM 1173

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
Azure リソースに対する所有者アクセス許可を持つアカウントで MFA を有効にする必要があります。	アカウントまたはリソースに対する侵害を防止するために、所有者としてのアクセス許可を持つすべてのサブスクリプションアカウントで多要素認証 (MFA) を有効にする必要があります。	AuditIfNotExists、Disabled	1.0.0
Azure リソースに対する書き込みアクセス許可を持つアカウントで MFA を有効にする必要があります。	アカウントまたはリソースに対する侵害を防止するために、書き込み権限を持つすべてのサブスクリプションアカウントに対して多要素認証 (MFA) を有効にする必要があります。	AuditIfNotExists、Disabled	1.0.0

多要素認証 - 1384

ID: AU ISM 1384

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
Azure リソースに対する所有者アクセス許可を持つアカウントで MFA を有効にする必要があります。	アカウントまたはリソースに対する侵害を防止するために、所有者としてのアクセス許可を持つすべてのサブスクリプションアカウントで多要素認証 (MFA) を有効にする必要があります。	AuditIfNotExists、Disabled	1.0.0
Azure リソースに対する読み取りアクセス許可を持つアカウントで MFA を有効にする必要があります。	アカウントまたはリソースの侵害を防止するために、読み取り権限を持つすべてのサブスクリプションアカウントで多要素認証 (MFA) を有効にする必要があります。	AuditIfNotExists、Disabled	1.0.0
Azure リソースに対する書き込みアクセス許可を持つアカウントで MFA を有効にする必要があります。	アカウントまたはリソースに対する侵害を防止するために、書き込み権限を持つすべてのサブスクリプションアカウントに対して多要素認証 (MFA) を有効にする必要があります。	AuditIfNotExists、Disabled	1.0.0

システムに対する認証 - 1546

ID: AU ISM 1546

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
ID のない仮想マシンでゲスト構成の割り当てを有効にするためにシステム割り当てマネージド ID を追加する	このポリシーでは、Azure でホストされ、ゲスト構成でサポートされているものの、マネージド ID を持たない仮想マシンに、システム割り当てマネージド ID が追加されます。システム割り当てマネージド ID は、すべてのゲスト構成割り当てに対する前提条件であるため、ゲスト構成ポリシー定義を使用する前にマシンに追加する必要があります。ゲスト構成の詳細については、https://aka.ms/gcpol を参照してください。	変更	4.1.0
ユーザー割り当て ID を持つ VM でゲスト構成の割り当てを有効にするためにシステム割り当てマネージド ID を追加する	このポリシーでは、Azure でホストされ、ゲスト構成でサポートされており、少なくとも 1 つのユーザー割り当て ID を持っているものの、システム割り当てマネージド ID を持たない仮想マシンに、システム割り当てマネージド ID が追加されます。システム割り当てマネージド ID は、すべてのゲスト構成割り当てに対する前提条件であるため、ゲスト構成ポリシー定義を使用する前にマシンに追加する必要があります。ゲスト構成の詳細については、https://aka.ms/gcpol を参照してください。	変更	4.1.0
パスワードなしのアカウントからのリモート接続が許可されている Linux マシンを監査する	前提条件がポリシーの割り当てスコープにデプロイされていることが要求されます。詳細については、 https://aka.ms/gcpol を参照してください。パスワードなしのアカウントからのリモート接続が許可されている Linux マシンは非準拠となります	AuditIfNotExists、Disabled	3.1.0
パスワードなしのアカウントが存在する Linux マシンを監査する	前提条件がポリシーの割り当てスコープにデプロイされていることが要求されます。詳細については、 https://aka.ms/gcpol を参照してください。パスワードなしのアカウントがある Linux マシンは非準拠となります。	AuditIfNotExists、Disabled	3.1.0
Linux VM でゲスト構成の割り当てを有効にするために Linux ゲスト構成拡張機能をデプロイする	このポリシーでは、Azure でホストされ、ゲスト構成でサポートされている Linux 仮想マシンに Linux ゲスト構成拡張機能がデプロイされます。 Linux ゲスト構成拡張機能は、すべての Linux ゲスト構成割り当ての前提条件であるため、Linux ゲスト構成ポリシー定義を使用する前にマシンにデプロイする必要があります。ゲスト構成の詳細については、https://aka.ms/gcpol を参照してください。	deployIfNotExists	3.1.0
Service Fabric クラスターでは、クライアント認証に Azure Active Directory のみを使用する必要がある	Service Fabric で Azure Active Directory によるクライアント認証のみを使用していることを監査します	Audit、Deny、Disabled	1.1.0
ストレージアカウントではネットワークアクセスを制限する必要があります	ストレージアカウントに対するネットワークアクセスは、制限する必要があります。許可されているネットワークのアプリケーションのみがストレージアカウントにアクセスできるように、ネットワークルールを構成します。インターネットまたはオンプレミスの特定のクライアントからの接続を許可するために、特定の Azure 仮想ネットワークからのトラフィックまたはパブリックインターネット IP アドレス範囲に対してアクセスを許可することができます。	Audit、Deny、Disabled	1.1.1

システム管理のためのガイドライン - システム管理

管理トラフィックフローの制限 - 1386

ID: AU ISM 1386

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
App Service アプリではリモートデバッグをオフにする必要がある	リモートデバッグを実行するには、App Service アプリ上で受信ポートが開かれている必要があります。リモートデバッグを無効にする必要があります。	AuditIfNotExists、Disabled	2.0.0
関数アプリではリモートデバッグをオフにする必要がある	リモートデバッグを実行するには、受信ポートが関数アプリ上で開かれている必要があります。リモートデバッグを無効にする必要があります。	AuditIfNotExists、Disabled	2.0.0
仮想マシンの管理ポートは、Just-In-Time ネットワークアクセス制御によって保護されている必要があります	可能なネットワークのジャストインタイム (JIT) アクセスが、推奨設定として Azure Security Center で監視されます	AuditIfNotExists、Disabled	3.0.0

システム管理のためのガイドライン - システムのパッチ適用

セキュリティの脆弱性にパッチを適用するタイミング - 940

ID: AU ISM 940

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
脆弱性評価ソリューションを仮想マシンで有効にする必要がある	仮想マシンを監査して、サポートされている脆弱性評価ソリューションを実行しているかどうかを検出します。すべてのサイバーリスクとセキュリティプログラムの中核となるコンポーネントは、脆弱性の特定と分析です。 Azure Security Center の標準価格帯には、追加費用なしで仮想マシン脆弱性スキャンをする機能が含まれています。また、Security Center では、このツールを自動的にデプロイできます。	AuditIfNotExists、Disabled	3.0.0
SQL データベースでは脆弱性の検出結果を解決する必要がある	脆弱性評価スキャン結果と、データベースの脆弱性を修正する方法についての推奨事項を監視します。	AuditIfNotExists、Disabled	4.1.0
コンテナーのセキュリティ構成の脆弱性を修復する必要があります	Docker がインストールされているマシンのセキュリティ構成の脆弱性を監査し、Azure Security Center で推奨事項として表示します。	AuditIfNotExists、Disabled	3.0.0
使用しているマシンでセキュリティ構成の脆弱性を修復する必要がある	構成ベースラインを満たしていないサーバーが、推奨設定として Azure Security Center で監視されます	AuditIfNotExists、Disabled	3.1.0
仮想マシンスケールセットのセキュリティ構成の脆弱性を修復する必要がある	攻撃から保護するため、お使いの仮想マシンスケールセットの OS 脆弱性を監査します。	AuditIfNotExists、Disabled	3.0.0
SQL Managed Instance で脆弱性評価を有効にする必要がある	定期的な脆弱性評価スキャンが有効になっていない各 SQL Managed Instance を監査します。脆弱性評価は、潜在的なデータベースの脆弱性を検出、追跡、および修正するのに役立ちます。	AuditIfNotExists、Disabled	1.0.1
脆弱性評価を SQL サーバー上で有効にする必要がある	脆弱性評価が適切に構成されていない Azure SQL サーバーを監査します。脆弱性評価は、潜在的なデータベースの脆弱性を検出、追跡、および修正するのに役立ちます。	AuditIfNotExists、Disabled	3.0.0

セキュリティの脆弱性にパッチを適用するタイミング - 1144

ID: AU ISM 1144

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
脆弱性評価ソリューションを仮想マシンで有効にする必要がある	仮想マシンを監査して、サポートされている脆弱性評価ソリューションを実行しているかどうかを検出します。すべてのサイバーリスクとセキュリティプログラムの中核となるコンポーネントは、脆弱性の特定と分析です。 Azure Security Center の標準価格帯には、追加費用なしで仮想マシン脆弱性スキャンをする機能が含まれています。また、Security Center では、このツールを自動的にデプロイできます。	AuditIfNotExists、Disabled	3.0.0
SQL データベースでは脆弱性の検出結果を解決する必要がある	脆弱性評価スキャン結果と、データベースの脆弱性を修正する方法についての推奨事項を監視します。	AuditIfNotExists、Disabled	4.1.0
コンテナーのセキュリティ構成の脆弱性を修復する必要があります	Docker がインストールされているマシンのセキュリティ構成の脆弱性を監査し、Azure Security Center で推奨事項として表示します。	AuditIfNotExists、Disabled	3.0.0
使用しているマシンでセキュリティ構成の脆弱性を修復する必要がある	構成ベースラインを満たしていないサーバーが、推奨設定として Azure Security Center で監視されます	AuditIfNotExists、Disabled	3.1.0
仮想マシンスケールセットのセキュリティ構成の脆弱性を修復する必要がある	攻撃から保護するため、お使いの仮想マシンスケールセットの OS 脆弱性を監査します。	AuditIfNotExists、Disabled	3.0.0
SQL Managed Instance で脆弱性評価を有効にする必要がある	定期的な脆弱性評価スキャンが有効になっていない各 SQL Managed Instance を監査します。脆弱性評価は、潜在的なデータベースの脆弱性を検出、追跡、および修正するのに役立ちます。	AuditIfNotExists、Disabled	1.0.1
脆弱性評価を SQL サーバー上で有効にする必要がある	脆弱性評価が適切に構成されていない Azure SQL サーバーを監査します。脆弱性評価は、潜在的なデータベースの脆弱性を検出、追跡、および修正するのに役立ちます。	AuditIfNotExists、Disabled	3.0.0

セキュリティの脆弱性にパッチを適用するタイミング - 1472

ID: AU ISM 1472

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
脆弱性評価ソリューションを仮想マシンで有効にする必要がある	仮想マシンを監査して、サポートされている脆弱性評価ソリューションを実行しているかどうかを検出します。すべてのサイバーリスクとセキュリティプログラムの中核となるコンポーネントは、脆弱性の特定と分析です。 Azure Security Center の標準価格帯には、追加費用なしで仮想マシン脆弱性スキャンをする機能が含まれています。また、Security Center では、このツールを自動的にデプロイできます。	AuditIfNotExists、Disabled	3.0.0
SQL データベースでは脆弱性の検出結果を解決する必要がある	脆弱性評価スキャン結果と、データベースの脆弱性を修正する方法についての推奨事項を監視します。	AuditIfNotExists、Disabled	4.1.0
コンテナーのセキュリティ構成の脆弱性を修復する必要があります	Docker がインストールされているマシンのセキュリティ構成の脆弱性を監査し、Azure Security Center で推奨事項として表示します。	AuditIfNotExists、Disabled	3.0.0
使用しているマシンでセキュリティ構成の脆弱性を修復する必要がある	構成ベースラインを満たしていないサーバーが、推奨設定として Azure Security Center で監視されます	AuditIfNotExists、Disabled	3.1.0
仮想マシンスケールセットのセキュリティ構成の脆弱性を修復する必要がある	攻撃から保護するため、お使いの仮想マシンスケールセットの OS 脆弱性を監査します。	AuditIfNotExists、Disabled	3.0.0
SQL Managed Instance で脆弱性評価を有効にする必要がある	定期的な脆弱性評価スキャンが有効になっていない各 SQL Managed Instance を監査します。脆弱性評価は、潜在的なデータベースの脆弱性を検出、追跡、および修正するのに役立ちます。	AuditIfNotExists、Disabled	1.0.1
脆弱性評価を SQL サーバー上で有効にする必要がある	脆弱性評価が適切に構成されていない Azure SQL サーバーを監査します。脆弱性評価は、潜在的なデータベースの脆弱性を検出、追跡、および修正するのに役立ちます。	AuditIfNotExists、Disabled	3.0.0

セキュリティの脆弱性にパッチを適用するタイミング - 1494

ID: AU ISM 1494

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
脆弱性評価ソリューションを仮想マシンで有効にする必要がある	仮想マシンを監査して、サポートされている脆弱性評価ソリューションを実行しているかどうかを検出します。すべてのサイバーリスクとセキュリティプログラムの中核となるコンポーネントは、脆弱性の特定と分析です。 Azure Security Center の標準価格帯には、追加費用なしで仮想マシン脆弱性スキャンをする機能が含まれています。また、Security Center では、このツールを自動的にデプロイできます。	AuditIfNotExists、Disabled	3.0.0
SQL データベースでは脆弱性の検出結果を解決する必要がある	脆弱性評価スキャン結果と、データベースの脆弱性を修正する方法についての推奨事項を監視します。	AuditIfNotExists、Disabled	4.1.0
コンテナーのセキュリティ構成の脆弱性を修復する必要があります	Docker がインストールされているマシンのセキュリティ構成の脆弱性を監査し、Azure Security Center で推奨事項として表示します。	AuditIfNotExists、Disabled	3.0.0
使用しているマシンでセキュリティ構成の脆弱性を修復する必要がある	構成ベースラインを満たしていないサーバーが、推奨設定として Azure Security Center で監視されます	AuditIfNotExists、Disabled	3.1.0
仮想マシンスケールセットのセキュリティ構成の脆弱性を修復する必要がある	攻撃から保護するため、お使いの仮想マシンスケールセットの OS 脆弱性を監査します。	AuditIfNotExists、Disabled	3.0.0
SQL Managed Instance で脆弱性評価を有効にする必要がある	定期的な脆弱性評価スキャンが有効になっていない各 SQL Managed Instance を監査します。脆弱性評価は、潜在的なデータベースの脆弱性を検出、追跡、および修正するのに役立ちます。	AuditIfNotExists、Disabled	1.0.1
脆弱性評価を SQL サーバー上で有効にする必要がある	脆弱性評価が適切に構成されていない Azure SQL サーバーを監査します。脆弱性評価は、潜在的なデータベースの脆弱性を検出、追跡、および修正するのに役立ちます。	AuditIfNotExists、Disabled	3.0.0

セキュリティの脆弱性にパッチを適用するタイミング - 1495

ID: AU ISM 1495

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
脆弱性評価ソリューションを仮想マシンで有効にする必要がある	仮想マシンを監査して、サポートされている脆弱性評価ソリューションを実行しているかどうかを検出します。すべてのサイバーリスクとセキュリティプログラムの中核となるコンポーネントは、脆弱性の特定と分析です。 Azure Security Center の標準価格帯には、追加費用なしで仮想マシン脆弱性スキャンをする機能が含まれています。また、Security Center では、このツールを自動的にデプロイできます。	AuditIfNotExists、Disabled	3.0.0
SQL データベースでは脆弱性の検出結果を解決する必要がある	脆弱性評価スキャン結果と、データベースの脆弱性を修正する方法についての推奨事項を監視します。	AuditIfNotExists、Disabled	4.1.0
コンテナーのセキュリティ構成の脆弱性を修復する必要があります	Docker がインストールされているマシンのセキュリティ構成の脆弱性を監査し、Azure Security Center で推奨事項として表示します。	AuditIfNotExists、Disabled	3.0.0
使用しているマシンでセキュリティ構成の脆弱性を修復する必要がある	構成ベースラインを満たしていないサーバーが、推奨設定として Azure Security Center で監視されます	AuditIfNotExists、Disabled	3.1.0
仮想マシンスケールセットのセキュリティ構成の脆弱性を修復する必要がある	攻撃から保護するため、お使いの仮想マシンスケールセットの OS 脆弱性を監査します。	AuditIfNotExists、Disabled	3.0.0
SQL Managed Instance で脆弱性評価を有効にする必要がある	定期的な脆弱性評価スキャンが有効になっていない各 SQL Managed Instance を監査します。脆弱性評価は、潜在的なデータベースの脆弱性を検出、追跡、および修正するのに役立ちます。	AuditIfNotExists、Disabled	1.0.1
脆弱性評価を SQL サーバー上で有効にする必要がある	脆弱性評価が適切に構成されていない Azure SQL サーバーを監査します。脆弱性評価は、潜在的なデータベースの脆弱性を検出、追跡、および修正するのに役立ちます。	AuditIfNotExists、Disabled	3.0.0

セキュリティの脆弱性にパッチを適用するタイミング - 1496

ID: AU ISM 1496

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
脆弱性評価ソリューションを仮想マシンで有効にする必要がある	仮想マシンを監査して、サポートされている脆弱性評価ソリューションを実行しているかどうかを検出します。すべてのサイバーリスクとセキュリティプログラムの中核となるコンポーネントは、脆弱性の特定と分析です。 Azure Security Center の標準価格帯には、追加費用なしで仮想マシン脆弱性スキャンをする機能が含まれています。また、Security Center では、このツールを自動的にデプロイできます。	AuditIfNotExists、Disabled	3.0.0
SQL データベースでは脆弱性の検出結果を解決する必要がある	脆弱性評価スキャン結果と、データベースの脆弱性を修正する方法についての推奨事項を監視します。	AuditIfNotExists、Disabled	4.1.0
コンテナーのセキュリティ構成の脆弱性を修復する必要があります	Docker がインストールされているマシンのセキュリティ構成の脆弱性を監査し、Azure Security Center で推奨事項として表示します。	AuditIfNotExists、Disabled	3.0.0
使用しているマシンでセキュリティ構成の脆弱性を修復する必要がある	構成ベースラインを満たしていないサーバーが、推奨設定として Azure Security Center で監視されます	AuditIfNotExists、Disabled	3.1.0
仮想マシンスケールセットのセキュリティ構成の脆弱性を修復する必要がある	攻撃から保護するため、お使いの仮想マシンスケールセットの OS 脆弱性を監査します。	AuditIfNotExists、Disabled	3.0.0
SQL Managed Instance で脆弱性評価を有効にする必要がある	定期的な脆弱性評価スキャンが有効になっていない各 SQL Managed Instance を監査します。脆弱性評価は、潜在的なデータベースの脆弱性を検出、追跡、および修正するのに役立ちます。	AuditIfNotExists、Disabled	1.0.1
脆弱性評価を SQL サーバー上で有効にする必要がある	脆弱性評価が適切に構成されていない Azure SQL サーバーを監査します。脆弱性評価は、潜在的なデータベースの脆弱性を検出、追跡、および修正するのに役立ちます。	AuditIfNotExists、Disabled	3.0.0

システム管理のためのガイドライン - データバックアップと復元

バックアップの実行 - 1511

ID: AU ISM 1511

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
ディザスターリカバリーを構成されていない仮想マシンの監査	ディザスターリカバリーが構成されていない仮想マシンを監査します。ディザスターリカバリーの詳細については、https://aka.ms/asr-doc にアクセスしてください。	auditIfNotExists	1.0.0

システム監視のためのガイドライン - イベントログと監査

ログに記録されるイベント - 582

ID: AU ISM 582

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
選択したリソースの種類の診断設定を監査します	選択したリソースの種類の診断設定の監査。必ず、診断設定をサポートするリソースの種類のみを選んでください。	AuditIfNotExists	2.0.1
仮想マシンは、指定されたワークスペースに接続する必要がある	ポリシーまたはイニシアティブ割り当てで指定されている Log Analytics ワークスペースに仮想マシンがログを記録していない場合、それらを非準拠として報告します。	AuditIfNotExists、Disabled	1.1.0

ログに記録されるイベント - 1537

ID: AU ISM 1537

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
選択したリソースの種類の診断設定を監査します	選択したリソースの種類の診断設定の監査。必ず、診断設定をサポートするリソースの種類のみを選んでください。	AuditIfNotExists	2.0.1
保護されていない Azure SQL サーバーに対して Azure Defender for SQL を有効にする必要がある	Advanced Data Security を使用していない SQL サーバーの監査	AuditIfNotExists、Disabled	2.0.1
保護されていない SQL Managed Instance に対して Azure Defender for SQL を有効にする必要がある	Advanced Data Security を使用していない各 SQL Managed Instance を監査します。	AuditIfNotExists、Disabled	1.0.2

ソフトウェア開発のガイドライン - Web アプリケーション開発

Web ブラウザーベースのセキュリティ制御 - 1424

ID: AU ISM 1424

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
App Service アプリでは、すべてのリソースがアプリにアクセスできるように CORS を構成しない	クロスオリジンリソース共有 (CORS) では、すべてのドメインに対してアプリへのアクセスを許可しないでください。必要なドメインにのみアプリへのアクセスを許可してください。	AuditIfNotExists、Disabled	2.0.0

Web アプリケーションの相互作用 - 1552

ID: AU ISM 1552

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
App Service アプリに HTTPS を介してのみアクセスできるようにする	HTTPS を使用すると、サーバー/サービスの認証が確実に実行され、転送中のデータがネットワーク層の傍受攻撃から保護されるようになります。	Audit, Disabled, Deny	4.0.0
関数アプリに HTTPS を介してのみアクセスできるようにする	HTTPS を使用すると、サーバー/サービスの認証が確実に実行され、転送中のデータがネットワーク層の傍受攻撃から保護されるようになります。	Audit, Disabled, Deny	5.0.0
Azure Cache for Redis へのセキュリティで保護された接続のみを有効にする必要がある	Azure Cache for Redis に対して SSL 経由の接続のみが有効であるかどうかを監査します。セキュリティで保護された接続を使用することにより、サーバーとサービスの間の認証が確実に行われ、転送中のデータをネットワーク層の攻撃 (man-in-the-middle、傍受、セッションハイジャックなど) から保護します	Audit、Deny、Disabled	1.0.0

データベースシステムのガイドライン - データベースサーバー

データベースサーバーと Web サーバー間の通信 - 1277

ID: AU ISM 1277

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
ID のない仮想マシンでゲスト構成の割り当てを有効にするためにシステム割り当てマネージド ID を追加する	このポリシーでは、Azure でホストされ、ゲスト構成でサポートされているものの、マネージド ID を持たない仮想マシンに、システム割り当てマネージド ID が追加されます。システム割り当てマネージド ID は、すべてのゲスト構成割り当てに対する前提条件であるため、ゲスト構成ポリシー定義を使用する前にマシンに追加する必要があります。ゲスト構成の詳細については、https://aka.ms/gcpol を参照してください。	変更	4.1.0
ユーザー割り当て ID を持つ VM でゲスト構成の割り当てを有効にするためにシステム割り当てマネージド ID を追加する	このポリシーでは、Azure でホストされ、ゲスト構成でサポートされており、少なくとも 1 つのユーザー割り当て ID を持っているものの、システム割り当てマネージド ID を持たない仮想マシンに、システム割り当てマネージド ID が追加されます。システム割り当てマネージド ID は、すべてのゲスト構成割り当てに対する前提条件であるため、ゲスト構成ポリシー定義を使用する前にマシンに追加する必要があります。ゲスト構成の詳細については、https://aka.ms/gcpol を参照してください。	変更	4.1.0
Windows VM でゲスト構成の割り当てを有効にするために Windows ゲスト構成拡張機能をデプロイする	このポリシーでは、Azure でホストされ、ゲスト構成でサポートされている Windows 仮想マシンに Windows ゲスト構成拡張機能がデプロイされます。 Windows ゲスト構成拡張機能は、すべての Windows ゲスト構成割り当ての前提条件であるため、Windows ゲスト構成ポリシー定義を使用する前にマシンにデプロイする必要があります。ゲスト構成の詳細については、https://aka.ms/gcpol を参照してください。	deployIfNotExists	1.2.0
Azure Cache for Redis へのセキュリティで保護された接続のみを有効にする必要がある	Azure Cache for Redis に対して SSL 経由の接続のみが有効であるかどうかを監査します。セキュリティで保護された接続を使用することにより、サーバーとサービスの間の認証が確実に行われ、転送中のデータをネットワーク層の攻撃 (man-in-the-middle、傍受、セッションハイジャックなど) から保護します	Audit、Deny、Disabled	1.0.0
ストレージアカウントへの安全な転送を有効にする必要がある	ストレージアカウント内の安全な転送の要件を監査します。安全な転送は、ストレージアカウントに、セキュリティで保護された接続 (HTTPS) からの要求のみを受け入れるように強制するオプションです。 HTTPS を使用することにより、サーバーとサービス間の認証が確実に行われ、転送中のデータをネットワーク層の攻撃 (man-in-the-middle、傍受、セッションハイジャックなど) から保護します	Audit、Deny、Disabled	2.0.0
Windows Web マシンをセキュリティで保護された通信プロトコルを使用するように構成する必要がある	インターネット経由で通信される情報のプライバシーを保護するために、お客様のマシンでは、業界標準の暗号化プロトコルであるトランスポート層セキュリティ (TLS) の最新バージョンを使う必要があります。 TLS を使うと、マシン間の接続が暗号化されることで、ネットワーク経由の通信がセキュリティで保護されます。	AuditIfNotExists、Disabled	4.1.1

データベースサーバーの内容の保護 - 1425

ID: AU ISM 1425

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
Transparent Data Encryption を SQL データベース上で有効にする必要がある	保存データを保護し、コンプライアンス要件を満たすには、Transparent Data Encryption を有効にする必要があります	AuditIfNotExists、Disabled	2.0.0
コンピューティングとストレージのリソース間で一時ディスク、キャッシュ、データフローを仮想マシンによって暗号化する必要がある	既定では、仮想マシンの OS とデータのディスクは、保存時にプラットフォームマネージドキーを使用して暗号化されます。一時ディスク、データキャッシュ、およびコンピューティングとストレージの間を流れているデータは暗号化されません。次のような場合は、この推奨事項を無視してください。1. ホストでの暗号化を使用している場合。または 2. マネージドディスクでのサーバー側暗号化がセキュリティ要件を満たしている場合。 Azure Disk Storage のサーバー側暗号化の詳細は、https://aka.ms/disksse、さまざまなディスク暗号化オファリングhttps://aka.ms/diskencryptioncomparisonを参照してください。	AuditIfNotExists、Disabled	2.0.3

データベースシステムのガイドライン - データベース管理システムソフトウェア

データベース管理者アカウント - 1260

ID: AU ISM 1260

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
SQL Server に対して Azure Active Directory 管理者をプロビジョニングする必要がある	Azure AD 認証を可能にする SQL サーバー向けの Azure Active Directory 管理者のプロビジョニングを監査します。 Azure AD 認証を使用して、アクセス許可の管理を簡単にし、データベースユーザーとその他の Microsoft サービスの ID を一元管理できます	AuditIfNotExists、Disabled	1.0.0

データベース管理者アカウント - 1261

ID: AU ISM 1261

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
SQL Server に対して Azure Active Directory 管理者をプロビジョニングする必要がある	Azure AD 認証を可能にする SQL サーバー向けの Azure Active Directory 管理者のプロビジョニングを監査します。 Azure AD 認証を使用して、アクセス許可の管理を簡単にし、データベースユーザーとその他の Microsoft サービスの ID を一元管理できます	AuditIfNotExists、Disabled	1.0.0

データベース管理者アカウント - 1262

ID: AU ISM 1262

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
SQL Server に対して Azure Active Directory 管理者をプロビジョニングする必要がある	Azure AD 認証を可能にする SQL サーバー向けの Azure Active Directory 管理者のプロビジョニングを監査します。 Azure AD 認証を使用して、アクセス許可の管理を簡単にし、データベースユーザーとその他の Microsoft サービスの ID を一元管理できます	AuditIfNotExists、Disabled	1.0.0

データベース管理者アカウント - 1263

ID: AU ISM 1263

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
SQL Server に対して Azure Active Directory 管理者をプロビジョニングする必要がある	Azure AD 認証を可能にする SQL サーバー向けの Azure Active Directory 管理者のプロビジョニングを監査します。 Azure AD 認証を使用して、アクセス許可の管理を簡単にし、データベースユーザーとその他の Microsoft サービスの ID を一元管理できます	AuditIfNotExists、Disabled	1.0.0

データベース管理者アカウント - 1264

ID: AU ISM 1264

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
SQL Server に対して Azure Active Directory 管理者をプロビジョニングする必要がある	Azure AD 認証を可能にする SQL サーバー向けの Azure Active Directory 管理者のプロビジョニングを監査します。 Azure AD 認証を使用して、アクセス許可の管理を簡単にし、データベースユーザーとその他の Microsoft サービスの ID を一元管理できます	AuditIfNotExists、Disabled	1.0.0

ネットワークのガイドライン - ネットワーク設計と構成

ネットワークアクセス制御 - 520

ID: AU ISM 520

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
ストレージアカウントではネットワークアクセスを制限する必要があります	ストレージアカウントに対するネットワークアクセスは、制限する必要があります。許可されているネットワークのアプリケーションのみがストレージアカウントにアクセスできるように、ネットワークルールを構成します。インターネットまたはオンプレミスの特定のクライアントからの接続を許可するために、特定の Azure 仮想ネットワークからのトラフィックまたはパブリックインターネット IP アドレス範囲に対してアクセスを許可することができます。	Audit、Deny、Disabled	1.1.1

ネットワークアクセス制御 - 1182

ID: AU ISM 1182

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
アダプティブネットワーク強化の推奨事項をインターネット接続仮想マシンに適用する必要がある	Azure Security Center では、インターネットに接続している仮想マシンのトラフィックパターンを分析し、可能性のある攻撃面を減少させるためにネットワークセキュリティグループの規則の推奨事項を提供します	AuditIfNotExists、Disabled	3.0.0
インターネットに接続する仮想マシンは、ネットワークセキュリティグループを使用して保護する必要がある	ネットワークセキュリティグループ (NSG) を使用してアクセスを制限することにより、潜在的な脅威から仮想マシンを保護します。 NSG を使用してトラフィックを制御する方法の詳細については、https://aka.ms/nsg-doc を参照してください。	AuditIfNotExists、Disabled	3.0.0
ストレージアカウントではネットワークアクセスを制限する必要があります	ストレージアカウントに対するネットワークアクセスは、制限する必要があります。許可されているネットワークのアプリケーションのみがストレージアカウントにアクセスできるように、ネットワークルールを構成します。インターネットまたはオンプレミスの特定のクライアントからの接続を許可するために、特定の Azure 仮想ネットワークからのトラフィックまたはパブリックインターネット IP アドレス範囲に対してアクセスを許可することができます。	Audit、Deny、Disabled	1.1.1

ネットワークのガイドライン - オンラインサービスのサービス継続性

サービス拒否戦略 - 1431

ID: AU ISM 1431

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
Azure DDoS Protection を有効にする必要があります	パブリック IP を持つアプリケーションゲートウェイの一部であるサブネットを含むすべての仮想ネットワークに対して DDoS Protection を有効にする必要があります。	AuditIfNotExists、Disabled	3.0.1

暗号のガイドライン - 暗号に関する基礎的条件

保存データの暗号化 - 459

ID: AU ISM 459

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
コンピューティングとストレージのリソース間で一時ディスク、キャッシュ、データフローを仮想マシンによって暗号化する必要がある	既定では、仮想マシンの OS とデータのディスクは、保存時にプラットフォームマネージドキーを使用して暗号化されます。一時ディスク、データキャッシュ、およびコンピューティングとストレージの間を流れているデータは暗号化されません。次のような場合は、この推奨事項を無視してください。1. ホストでの暗号化を使用している場合。または 2. マネージドディスクでのサーバー側暗号化がセキュリティ要件を満たしている場合。 Azure Disk Storage のサーバー側暗号化の詳細は、https://aka.ms/disksse、さまざまなディスク暗号化オファリングhttps://aka.ms/diskencryptioncomparisonを参照してください。	AuditIfNotExists、Disabled	2.0.3

暗号のガイドライン - トランスポート層セキュリティ

トランスポート層セキュリティの使用 - 1139

ID: AU ISM 1139

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
ID のない仮想マシンでゲスト構成の割り当てを有効にするためにシステム割り当てマネージド ID を追加する	このポリシーでは、Azure でホストされ、ゲスト構成でサポートされているものの、マネージド ID を持たない仮想マシンに、システム割り当てマネージド ID が追加されます。システム割り当てマネージド ID は、すべてのゲスト構成割り当てに対する前提条件であるため、ゲスト構成ポリシー定義を使用する前にマシンに追加する必要があります。ゲスト構成の詳細については、https://aka.ms/gcpol を参照してください。	変更	4.1.0
ユーザー割り当て ID を持つ VM でゲスト構成の割り当てを有効にするためにシステム割り当てマネージド ID を追加する	このポリシーでは、Azure でホストされ、ゲスト構成でサポートされており、少なくとも 1 つのユーザー割り当て ID を持っているものの、システム割り当てマネージド ID を持たない仮想マシンに、システム割り当てマネージド ID が追加されます。システム割り当てマネージド ID は、すべてのゲスト構成割り当てに対する前提条件であるため、ゲスト構成ポリシー定義を使用する前にマシンに追加する必要があります。ゲスト構成の詳細については、https://aka.ms/gcpol を参照してください。	変更	4.1.0
App Service アプリは最新の TLS バージョンを使用する必要がある	セキュリティ上の欠陥への対応、機能の追加、および速度の向上のために、TLS の新しいバージョンが定期的にリリースされます。最新の TLS バージョンにアップグレードして、App Service アプリで最新バージョンのセキュリティ修正プログラム (存在する場合) や新機能を利用できるようにします。	AuditIfNotExists、Disabled	2.0.1
Windows VM でゲスト構成の割り当てを有効にするために Windows ゲスト構成拡張機能をデプロイする	このポリシーでは、Azure でホストされ、ゲスト構成でサポートされている Windows 仮想マシンに Windows ゲスト構成拡張機能がデプロイされます。 Windows ゲスト構成拡張機能は、すべての Windows ゲスト構成割り当ての前提条件であるため、Windows ゲスト構成ポリシー定義を使用する前にマシンにデプロイする必要があります。ゲスト構成の詳細については、https://aka.ms/gcpol を参照してください。	deployIfNotExists	1.2.0
関数アプリは最新の TLS バージョンを使用する必要がある	セキュリティ上の欠陥への対応、機能の追加、および速度の向上のために、TLS の新しいバージョンが定期的にリリースされます。最新の TLS バージョンにアップグレードして、関数アプリで最新バージョンのセキュリティ修正プログラム (存在する場合) や新機能を利用できるようにします。	AuditIfNotExists、Disabled	2.0.1
Windows マシンを安全な通信プロトコルを使うように構成する必要がある	インターネット経由で通信される情報のプライバシーを保護するために、お客様のマシンでは、業界標準の暗号化プロトコルであるトランスポート層セキュリティ (TLS) の最新バージョンを使う必要があります。 TLS を使うと、マシン間の接続が暗号化されることで、ネットワーク経由の通信がセキュリティで保護されます。	AuditIfNotExists、Disabled	4.1.1

ゲートウェイのガイドライン - コンテンツのフィルター処理

ウイルス対策スキャン-1288

ID: AU ISM 1288

名前 _{(Azure portal)}	説明	効果	Version _(GitHub)
エンドポイント保護ソリューションを仮想マシンスケールセットにインストールする必要がある	脅威と脆弱性から保護するため、お使いの仮想マシンスケールセットでのエンドポイント保護ソリューションの存在と正常性を監査します。	AuditIfNotExists、Disabled	3.0.0
Microsoft IaaSAntimalware 拡張機能は Windows Server に展開する必要がある	このポリシーは、Microsoft IaaSAntimalware 拡張機能がデプロイされていないすべての Windows Server VM を監査します。	AuditIfNotExists、Disabled	1.1.0
Endpoint Protection の不足を Azure Security Center で監視する	Endpoint Protection エージェントがインストールされていないサーバーが、推奨設定として Azure Security Center で監視されます	AuditIfNotExists、Disabled	3.0.0

次のステップ

Azure Policy に関するその他の記事:

規制コンプライアンスの概要。
イニシアチブ定義の構造を参照してください。
Azure Policy のサンプルの他の例を確認します。
「Policy の効果について」を確認します。
準拠していないリソースを修復する方法を学習します。