NL BIO クラウド テーマ規制コンプライアンスの組み込みイニシアチブの詳細

このアーティクルでは、Azure Policy 規制コンプライアンスの組み込みイニシアチブの定義が、NL BIO クラウド テーマの コンプライアンス ドメイン と コントロール にどのように対応するのかを、詳しく説明します。 このコンプライアンス標準の詳細については、NL BIO クラウド テーマ に関するページを参照してください。 "所有権" については、Azure Policy のポリシー定義に関するページと、「クラウドにおける共同責任」を参照してください。

以下は NL BIO クラウド テーマ コントロールへのマッピングです。 コントロールの多くは、Azure Policy のイニシアチブ定義で実装されています。 完全なイニシアチブ定義を確認するには、Azure portal で [ポリシー] を開き、 [定義] ページを選択します。 次に、NL BIO クラウド テーマ 規制コンプライアンスの組み込みイニシアチブ定義を見つけて選択します。

重要

以下の各コントロールは、1 つ以上の Azure Policy 定義に関連します。 これらのポリシーは、コントロールに対するコンプライアンスの評価に役立つ場合があります。ただし、多くの場合、コントロールと 1 つ以上のポリシーとの間には、一対一での一致、または完全な一致はありません。 そのため、Azure Policy での準拠では、ポリシー定義自体のみが示されています。これによって、コントロールのすべての要件に完全に準拠していることが保証されるわけではありません。 また、コンプライアンス標準には、現時点でどの Azure Policy 定義でも対応されていないコントロールが含まれています。 したがって、Azure Policy でのコンプライアンスは、全体のコンプライアンス状態の部分的ビューでしかありません。 このコンプライアンス標準に対するコンプライアンス ドメイン、コントロール、Azure Policy 定義の間の関連付けは、時間の経過と共に変わる可能性があります。 変更履歴を表示するには、GitHub のコミット履歴に関するページを参照してください。

B.01.3 法律および規制 - 法的要件、法定要件、規制要件

法律および規制から生じる CSC に適用される要件が特定されています

ID: NL BIO クラウド テーマ B.01.3 所有権: 顧客

名前 (Azure portal)	説明	効果	Version (GitHub)
許可される場所	このポリシーでは、リソースをデプロイするときに組織が指定できる場所を制限できます。 geo コンプライアンス要件を強制するために使用されます。 リソース グループ Microsoft.AzureActiveDirectory/b2cDirectories や、「グローバル」リージョンを使用するリソースを除外します。	deny	1.0.0
リソース グループが許可される場所	このポリシーでは、組織がリソース グループを作成できる場所を制限できます。 geo コンプライアンス要件を強制するために使用されます。	deny	1.0.0

B.09.1 個人データのプライバシーと保護 - セキュリティのアスペクトとステージ

可用性、整合性、機密性に関する対策が講じられました。

ID: NL BIO クラウド テーマ B.09.1 所有権: 共有

名前 (Azure portal)	説明	効果	Version (GitHub)
Azure Cache for Redis へのセキュリティで保護された接続のみを有効にする必要がある	Azure Cache for Redis に対して SSL 経由の接続のみが有効であるかどうかを監査します。 セキュリティで保護された接続を使用することにより、サーバーとサービスの間の認証が確実に行われ、転送中のデータをネットワーク層の攻撃 (man-in-the-middle、傍受、セッションハイジャックなど) から保護します	Audit、Deny、Disabled	1.0.0
ストレージ アカウントへの安全な転送を有効にする必要がある	ストレージ アカウント内の安全な転送の要件を監査します。 安全な転送は、ストレージ アカウントに、セキュリティで保護された接続 (HTTPS) からの要求のみを受け入れるように強制するオプションです。 HTTPS を使用することにより、サーバーとサービス間の認証が確実に行われ、転送中のデータをネットワーク層の攻撃 (man-in-the-middle、傍受、セッション ハイジャックなど) から保護します	Audit、Deny、Disabled	2.0.0

B.10.2 セキュリティ組織 - セキュリティ機能

セキュリティ機能により、積極的な支援が提供されます。

ID: NL BIO クラウド テーマ B.10.2 所有権: 共有

名前 (Azure portal)	説明	効果	Version (GitHub)
サブスクリプションには最大 3 人の所有者を指定する必要がある	セキュリティ侵害を受けたサブスクリプション所有者が侵害を引き起こす可能性を下げるため、指定する所有者は最大 3 人までにすることをお勧めします。	AuditIfNotExists、Disabled	3.0.0
複数の所有者がサブスクリプションに割り当てられている必要がある	管理者アクセスの冗長性を確保するため、複数のサブスクリプション所有者を指定することをお勧めします。	AuditIfNotExists、Disabled	3.0.0

B.10.3 セキュリティ組織 - 組織上の地位

CSP は、情報セキュリティ組織に組織全体における正式な地位を付与しています。

ID: NL BIO クラウド テーマ B.10.3 所有権: 共有

名前 (Azure portal)	説明	効果	Version (GitHub)
サブスクリプションには最大 3 人の所有者を指定する必要がある	セキュリティ侵害を受けたサブスクリプション所有者が侵害を引き起こす可能性を下げるため、指定する所有者は最大 3 人までにすることをお勧めします。	AuditIfNotExists、Disabled	3.0.0
複数の所有者がサブスクリプションに割り当てられている必要がある	管理者アクセスの冗長性を確保するため、複数のサブスクリプション所有者を指定することをお勧めします。	AuditIfNotExists、Disabled	3.0.0

B.10.4 セキュリティ組織 - 任務、責任、権限

CSP は、情報セキュリティに関する責任を記述し、その責任を特定の役員に割り当てました。

ID: NL BIO クラウド テーマ B.10.4 所有権: 共有

名前 (Azure portal)	説明	効果	Version (GitHub)
サブスクリプションには最大 3 人の所有者を指定する必要がある	セキュリティ侵害を受けたサブスクリプション所有者が侵害を引き起こす可能性を下げるため、指定する所有者は最大 3 人までにすることをお勧めします。	AuditIfNotExists、Disabled	3.0.0
複数の所有者がサブスクリプションに割り当てられている必要がある	管理者アクセスの冗長性を確保するため、複数のサブスクリプション所有者を指定することをお勧めします。	AuditIfNotExists、Disabled	3.0.0

C.04.3 技術的な脆弱性の管理 - タイムライン

悪用の確率と予想される損害の両方が大きい場合、1 週間以内にパッチがインストールされます。

ID: NL BIO クラウド テーマ C.04.3 所有権: 共有

名前 (Azure portal)	説明	効果	Version (GitHub)
脆弱性評価ソリューションを仮想マシンで有効にする必要がある	仮想マシンを監査して、サポートされている脆弱性評価ソリューションを実行しているかどうかを検出します。 すべてのサイバーリスクとセキュリティプログラムの中核となるコンポーネントは、脆弱性の特定と分析です。 Azure Security Center の標準価格帯には、追加費用なしで仮想マシン脆弱性スキャンをする機能が含まれています。 また、Security Center では、このツールを自動的にデプロイできます。	AuditIfNotExists、Disabled	3.0.0
App Service アプリは最新の 'HTTP バージョン' を使用する必要がある	セキュリティ上の欠陥のため、または追加機能を組み込むために、HTTP の新しいバージョンが定期的にリリースされます。 新しいバージョンのセキュリティ修正プログラム (存在する場合) や新機能を利用するために、最新の HTTP バージョンを Web アプリに使用します。	AuditIfNotExists、Disabled	4.0.0
Java を使用する App Service アプリでは、指定された 'Java バージョン' を使用する必要があります	セキュリティ上の欠陥のため、または追加機能を組み込むために、Java ソフトウェアの新しいバージョンが定期的にリリースされます。 最新バージョンのセキュリティ修正プログラム (該当する場合) や新機能を利用できるように、最新の Java バージョンを App Service アプリに使用することをお勧めします。 このポリシーは Linux アプリにのみ適用されます。 このポリシーでは、要件を満たす Java バージョンを指定する必要があります。	AuditIfNotExists、Disabled	3.1.0
PHP を使用する App Service アプリでは、指定された 'PHP バージョン' を使用する必要があります	セキュリティ上の欠陥のため、または追加機能を組み込むために、PHP ソフトウェアの新しいバージョンが定期的にリリースされます。 最新バージョンのセキュリティ修正プログラム (該当する場合) や新機能を利用できるように、最新の PHP バージョンを App Service アプリに使用することをお勧めします。 このポリシーは Linux アプリにのみ適用されます。 このポリシーでは、要件を満たす PHP バージョンを指定する必要があります。	AuditIfNotExists、Disabled	3.2.0
Python を使用する App Service アプリでは、指定された 'Python バージョン' を使用する必要があります	セキュリティ上の欠陥のため、または追加機能を組み込むために、Python ソフトウェアの新しいバージョンが定期的にリリースされます。 最新バージョンのセキュリティ修正プログラム (該当する場合) や新機能を利用できるように、最新の Python バージョンを App Service アプリに使用することをお勧めします。 このポリシーは Linux アプリにのみ適用されます。 このポリシーでは、要件を満たす Python バージョンを指定する必要があります。	AuditIfNotExists、Disabled	4.1.0
Azure Defender for App Service を有効にする必要がある	Azure Defender for App Service は、Azure がクラウド プロバイダーとして提供するクラウドの規模と可視性を活用して、Web アプリへの一般的な攻撃を監視します。	AuditIfNotExists、Disabled	1.0.3
Azure Defender for Azure SQL Database サーバーを有効にする必要がある	Azure Defender for SQL により、潜在的なデータベースの脆弱性を明示および軽減するための機能が提供され、SQL データベースへの脅威を示す可能性のある異常なアクティビティが検出され、機密データの検出と分類が行われます。	AuditIfNotExists、Disabled	1.0.2
Azure Defender for Key Vault を有効にする必要がある	Azure Defender for Key Vault では、キー コンテナー アカウントにアクセスしたりそれを悪用したりする、異常で害を及ぼす可能性のある試行を検出することにより、追加の保護レイヤーとセキュリティ インテリジェンスが提供されます。	AuditIfNotExists、Disabled	1.0.3
Azure Defender for Resource Manager を有効にする必要がある	Azure Defender for Resource Manager では、組織内尾のリソース管理操作を自動的に監視します。 Azure Defender では、脅威を検出し、疑わしいアクティビティについて警告します。 Azure Defender for Resource Manager の機能に関する詳細については、https://aka.ms/defender-for-resource-manager を参照してください。 この Azure Defender プランを有効にすると、料金が発生します。 リージョンごとの料金の詳細については、Security Center の価格に関するページを参照してください: https://aka.ms/pricing-security-center。	AuditIfNotExists、Disabled	1.0.0
サーバー用 Azure Defender を有効にする必要がある	サーバー用 Azure Defender では、サーバーのワークロードに対するリアルタイムの脅威の防止が提供され、セキュリティ強化の推奨事項と、不審なアクティビティに関するアラートが生成されます。	AuditIfNotExists、Disabled	1.0.3
Azure Defender for SQL servers on machines を有効にする必要がある	Azure Defender for SQL により、潜在的なデータベースの脆弱性を明示および軽減するための機能が提供され、SQL データベースへの脅威を示す可能性のある異常なアクティビティが検出され、機密データの検出と分類が行われます。	AuditIfNotExists、Disabled	1.0.2
エンドポイント保護ソリューションを仮想マシン スケール セットにインストールする必要がある	脅威と脆弱性から保護するため、お使いの仮想マシン スケール セットでのエンドポイント保護ソリューションの存在と正常性を監査します。	AuditIfNotExists、Disabled	3.0.0
関数アプリでは、最新の 'HTTP バージョン' を使用する必要がある	セキュリティ上の欠陥のため、または追加機能を組み込むために、HTTP の新しいバージョンが定期的にリリースされます。 新しいバージョンのセキュリティ修正プログラム (存在する場合) や新機能を利用するために、最新の HTTP バージョンを Web アプリに使用します。	AuditIfNotExists、Disabled	4.0.0
Java を使用する関数アプリでは、指定された 'Java バージョン' を使用する必要があります	セキュリティ上の欠陥のため、または追加機能を組み込むために、Java ソフトウェアの新しいバージョンが定期的にリリースされます。 最新バージョンのセキュリティ修正プログラム (存在する場合) や新機能を利用できるように、最新の Java バージョンを関数アプリに使用することをお勧めします。 このポリシーは Linux アプリにのみ適用されます。 このポリシーでは、要件を満たす Java バージョンを指定する必要があります。	AuditIfNotExists、Disabled	3.1.0
Python を使用する関数アプリでは、指定された 'Python バージョン' を使用する必要があります	セキュリティ上の欠陥のため、または追加機能を組み込むために、Python ソフトウェアの新しいバージョンが定期的にリリースされます。 最新バージョンのセキュリティ修正プログラム (存在する場合) や新機能を利用できるように、最新の Python バージョンを関数アプリに使用することをお勧めします。 このポリシーは Linux アプリにのみ適用されます。 このポリシーでは、要件を満たす Python バージョンを指定する必要があります。	AuditIfNotExists、Disabled	4.1.0
Kubernetes Service を脆弱性のない Kubernetes バージョンにアップグレードする必要がある	現在の Kubernetes バージョンの既知の脆弱性から保護するため、Kubernetes Service クラスターを新しい Kubernetes バージョンにアップグレードしてください。 脆弱性 CVE-2019-9946 は、Kubernetes バージョン 1.11.9 以上、1.12.7 以上、1.13.5 以上、および 1.14.0 以上でパッチが適用されています	Audit、Disabled	1.0.2
Microsoft Defender for Containers を有効にする必要がある	Microsoft Defender for Containers では、Azure、ハイブリッド、マルチクラウド Kubernetes 環境に対する強化、脆弱性評価、ランタイム保護を提供します。	AuditIfNotExists、Disabled	1.0.0
Microsoft Defender for Storageを有効にする必要があります	Microsoft Defender for Storage では、お使いのストレージ アカウントに対する潜在的脅威が検出されます。 これは、データおよびワークロードに対する 3 つの大きな影響、すなわち、悪意のあるファイルのアップロード、機密データの流出、データの破損を防ぐのに役立ちます。 新しい Defender for Storage プランには、マルウェア スキャンと機密データの脅威検出機能が含まれています。 このプランはまた、(ストレージ アカウントごとの) 価格構造が予想しやすくなっており、カバレッジとコストを制御できます。	AuditIfNotExists、Disabled	1.0.0
Endpoint Protection の不足を Azure Security Center で監視する	Endpoint Protection エージェントがインストールされていないサーバーが、推奨設定として Azure Security Center で監視されます	AuditIfNotExists、Disabled	3.0.0
SQL データベースでは脆弱性の検出結果を解決する必要がある	脆弱性評価スキャン結果と、データベースの脆弱性を修正する方法についての推奨事項を監視します。	AuditIfNotExists、Disabled	4.1.0
仮想マシン スケール セットにシステムの更新プログラムをインストールする必要がある	お使いの Windows と Linux の仮想マシン スケール セットが確実にセキュリティで保護されるようにするため、インストールする必要のあるシステムのセキュリティ更新プログラムおよび重要な更新プログラムが不足していないかどうかを監査します。	AuditIfNotExists、Disabled	3.0.0
システム更新プログラムをマシンにインストールする必要がある	使用中のサーバーにおけるセキュリティ関連のシステム更新プログラムの不足が、推奨設定として Azure Security Center で監視されます	AuditIfNotExists、Disabled	4.0.0
使用しているマシンでセキュリティ構成の脆弱性を修復する必要がある	構成ベースラインを満たしていないサーバーが、推奨設定として Azure Security Center で監視されます	AuditIfNotExists、Disabled	3.1.0
仮想マシン スケール セットのセキュリティ構成の脆弱性を修復する必要がある	攻撃から保護するため、お使いの仮想マシン スケール セットの OS 脆弱性を監査します。	AuditIfNotExists、Disabled	3.0.0
Synapse ワークスペースで脆弱性評価を有効にする必要がある	Synapse ワークスペースで定期的な SQL 脆弱性評価スキャンを構成することで、潜在的な脆弱性を検出、追跡、修復します。	AuditIfNotExists、Disabled	1.0.0
マシンで Windows Defender Exploit Guard を有効にする必要がある	Windows Defender Exploit Guard では、Azure Policy ゲスト構成エージェントを使用します。 Exploit Guard には、さまざまな攻撃ベクトルに対してデバイスをロックダウンし、マルウェア攻撃でよく使用される動作をブロックするよう設計された 4 つのコンポーネントがありますが、企業がセキュリティ リスクと生産性の要件のバランスをとれるようになっています (Windows のみ)。	AuditIfNotExists、Disabled	2.0.0

C.04.6 技術的な脆弱性の管理 - タイムライン

遅れることなくパッチ管理を実行することで技術的な弱点を修正できます。

ID: NL BIO クラウド テーマ C.04.6 所有権: 共有

名前 (Azure portal)	説明	効果	Version (GitHub)
脆弱性評価ソリューションを仮想マシンで有効にする必要がある	仮想マシンを監査して、サポートされている脆弱性評価ソリューションを実行しているかどうかを検出します。 すべてのサイバーリスクとセキュリティプログラムの中核となるコンポーネントは、脆弱性の特定と分析です。 Azure Security Center の標準価格帯には、追加費用なしで仮想マシン脆弱性スキャンをする機能が含まれています。 また、Security Center では、このツールを自動的にデプロイできます。	AuditIfNotExists、Disabled	3.0.0
App Service アプリは最新の 'HTTP バージョン' を使用する必要がある	セキュリティ上の欠陥のため、または追加機能を組み込むために、HTTP の新しいバージョンが定期的にリリースされます。 新しいバージョンのセキュリティ修正プログラム (存在する場合) や新機能を利用するために、最新の HTTP バージョンを Web アプリに使用します。	AuditIfNotExists、Disabled	4.0.0
Java を使用する App Service アプリでは、指定された 'Java バージョン' を使用する必要があります	セキュリティ上の欠陥のため、または追加機能を組み込むために、Java ソフトウェアの新しいバージョンが定期的にリリースされます。 最新バージョンのセキュリティ修正プログラム (該当する場合) や新機能を利用できるように、最新の Java バージョンを App Service アプリに使用することをお勧めします。 このポリシーは Linux アプリにのみ適用されます。 このポリシーでは、要件を満たす Java バージョンを指定する必要があります。	AuditIfNotExists、Disabled	3.1.0
PHP を使用する App Service アプリでは、指定された 'PHP バージョン' を使用する必要があります	セキュリティ上の欠陥のため、または追加機能を組み込むために、PHP ソフトウェアの新しいバージョンが定期的にリリースされます。 最新バージョンのセキュリティ修正プログラム (該当する場合) や新機能を利用できるように、最新の PHP バージョンを App Service アプリに使用することをお勧めします。 このポリシーは Linux アプリにのみ適用されます。 このポリシーでは、要件を満たす PHP バージョンを指定する必要があります。	AuditIfNotExists、Disabled	3.2.0
Python を使用する App Service アプリでは、指定された 'Python バージョン' を使用する必要があります	セキュリティ上の欠陥のため、または追加機能を組み込むために、Python ソフトウェアの新しいバージョンが定期的にリリースされます。 最新バージョンのセキュリティ修正プログラム (該当する場合) や新機能を利用できるように、最新の Python バージョンを App Service アプリに使用することをお勧めします。 このポリシーは Linux アプリにのみ適用されます。 このポリシーでは、要件を満たす Python バージョンを指定する必要があります。	AuditIfNotExists、Disabled	4.1.0
Azure Defender for App Service を有効にする必要がある	Azure Defender for App Service は、Azure がクラウド プロバイダーとして提供するクラウドの規模と可視性を活用して、Web アプリへの一般的な攻撃を監視します。	AuditIfNotExists、Disabled	1.0.3
Azure Defender for Azure SQL Database サーバーを有効にする必要がある	Azure Defender for SQL により、潜在的なデータベースの脆弱性を明示および軽減するための機能が提供され、SQL データベースへの脅威を示す可能性のある異常なアクティビティが検出され、機密データの検出と分類が行われます。	AuditIfNotExists、Disabled	1.0.2
Azure Defender for Key Vault を有効にする必要がある	Azure Defender for Key Vault では、キー コンテナー アカウントにアクセスしたりそれを悪用したりする、異常で害を及ぼす可能性のある試行を検出することにより、追加の保護レイヤーとセキュリティ インテリジェンスが提供されます。	AuditIfNotExists、Disabled	1.0.3
Azure Defender for Resource Manager を有効にする必要がある	Azure Defender for Resource Manager では、組織内尾のリソース管理操作を自動的に監視します。 Azure Defender では、脅威を検出し、疑わしいアクティビティについて警告します。 Azure Defender for Resource Manager の機能に関する詳細については、https://aka.ms/defender-for-resource-manager を参照してください。 この Azure Defender プランを有効にすると、料金が発生します。 リージョンごとの料金の詳細については、Security Center の価格に関するページを参照してください: https://aka.ms/pricing-security-center。	AuditIfNotExists、Disabled	1.0.0
サーバー用 Azure Defender を有効にする必要がある	サーバー用 Azure Defender では、サーバーのワークロードに対するリアルタイムの脅威の防止が提供され、セキュリティ強化の推奨事項と、不審なアクティビティに関するアラートが生成されます。	AuditIfNotExists、Disabled	1.0.3
Azure Defender for SQL servers on machines を有効にする必要がある	Azure Defender for SQL により、潜在的なデータベースの脆弱性を明示および軽減するための機能が提供され、SQL データベースへの脅威を示す可能性のある異常なアクティビティが検出され、機密データの検出と分類が行われます。	AuditIfNotExists、Disabled	1.0.2
最新のソフトウェア更新プログラムを取得するには、Azure Machine Learning コンピューティング インスタンスを再作成する必要がある	Azure Machine Learning コンピューティング インスタンスが利用可能な最新のオペレーティング システムで実行されていることを確実にします。 最新のセキュリティ パッチを適用して実行することで、セキュリティが強化され、脆弱性が低減します。 詳細については、https://aka.ms/azureml-ci-updates/ を参照してください。	[parameters('effects')]	1.0.3
エンドポイント保護ソリューションを仮想マシン スケール セットにインストールする必要がある	脅威と脆弱性から保護するため、お使いの仮想マシン スケール セットでのエンドポイント保護ソリューションの存在と正常性を監査します。	AuditIfNotExists、Disabled	3.0.0
関数アプリでは、最新の 'HTTP バージョン' を使用する必要がある	セキュリティ上の欠陥のため、または追加機能を組み込むために、HTTP の新しいバージョンが定期的にリリースされます。 新しいバージョンのセキュリティ修正プログラム (存在する場合) や新機能を利用するために、最新の HTTP バージョンを Web アプリに使用します。	AuditIfNotExists、Disabled	4.0.0
Java を使用する関数アプリでは、指定された 'Java バージョン' を使用する必要があります	セキュリティ上の欠陥のため、または追加機能を組み込むために、Java ソフトウェアの新しいバージョンが定期的にリリースされます。 最新バージョンのセキュリティ修正プログラム (存在する場合) や新機能を利用できるように、最新の Java バージョンを関数アプリに使用することをお勧めします。 このポリシーは Linux アプリにのみ適用されます。 このポリシーでは、要件を満たす Java バージョンを指定する必要があります。	AuditIfNotExists、Disabled	3.1.0
Python を使用する関数アプリでは、指定された 'Python バージョン' を使用する必要があります	セキュリティ上の欠陥のため、または追加機能を組み込むために、Python ソフトウェアの新しいバージョンが定期的にリリースされます。 最新バージョンのセキュリティ修正プログラム (存在する場合) や新機能を利用できるように、最新の Python バージョンを関数アプリに使用することをお勧めします。 このポリシーは Linux アプリにのみ適用されます。 このポリシーでは、要件を満たす Python バージョンを指定する必要があります。	AuditIfNotExists、Disabled	4.1.0
Kubernetes Service を脆弱性のない Kubernetes バージョンにアップグレードする必要がある	現在の Kubernetes バージョンの既知の脆弱性から保護するため、Kubernetes Service クラスターを新しい Kubernetes バージョンにアップグレードしてください。 脆弱性 CVE-2019-9946 は、Kubernetes バージョン 1.11.9 以上、1.12.7 以上、1.13.5 以上、および 1.14.0 以上でパッチが適用されています	Audit、Disabled	1.0.2
Microsoft Defender for Containers を有効にする必要がある	Microsoft Defender for Containers では、Azure、ハイブリッド、マルチクラウド Kubernetes 環境に対する強化、脆弱性評価、ランタイム保護を提供します。	AuditIfNotExists、Disabled	1.0.0
Microsoft Defender for Storageを有効にする必要があります	Microsoft Defender for Storage では、お使いのストレージ アカウントに対する潜在的脅威が検出されます。 これは、データおよびワークロードに対する 3 つの大きな影響、すなわち、悪意のあるファイルのアップロード、機密データの流出、データの破損を防ぐのに役立ちます。 新しい Defender for Storage プランには、マルウェア スキャンと機密データの脅威検出機能が含まれています。 このプランはまた、(ストレージ アカウントごとの) 価格構造が予想しやすくなっており、カバレッジとコストを制御できます。	AuditIfNotExists、Disabled	1.0.0
Endpoint Protection の不足を Azure Security Center で監視する	Endpoint Protection エージェントがインストールされていないサーバーが、推奨設定として Azure Security Center で監視されます	AuditIfNotExists、Disabled	3.0.0
SQL データベースでは脆弱性の検出結果を解決する必要がある	脆弱性評価スキャン結果と、データベースの脆弱性を修正する方法についての推奨事項を監視します。	AuditIfNotExists、Disabled	4.1.0
仮想マシン スケール セットにシステムの更新プログラムをインストールする必要がある	お使いの Windows と Linux の仮想マシン スケール セットが確実にセキュリティで保護されるようにするため、インストールする必要のあるシステムのセキュリティ更新プログラムおよび重要な更新プログラムが不足していないかどうかを監査します。	AuditIfNotExists、Disabled	3.0.0
システム更新プログラムをマシンにインストールする必要がある	使用中のサーバーにおけるセキュリティ関連のシステム更新プログラムの不足が、推奨設定として Azure Security Center で監視されます	AuditIfNotExists、Disabled	4.0.0
使用しているマシンでセキュリティ構成の脆弱性を修復する必要がある	構成ベースラインを満たしていないサーバーが、推奨設定として Azure Security Center で監視されます	AuditIfNotExists、Disabled	3.1.0
仮想マシン スケール セットのセキュリティ構成の脆弱性を修復する必要がある	攻撃から保護するため、お使いの仮想マシン スケール セットの OS 脆弱性を監査します。	AuditIfNotExists、Disabled	3.0.0
マシンで Windows Defender Exploit Guard を有効にする必要がある	Windows Defender Exploit Guard では、Azure Policy ゲスト構成エージェントを使用します。 Exploit Guard には、さまざまな攻撃ベクトルに対してデバイスをロックダウンし、マルウェア攻撃でよく使用される動作をブロックするよう設計された 4 つのコンポーネントがありますが、企業がセキュリティ リスクと生産性の要件のバランスをとれるようになっています (Windows のみ)。	AuditIfNotExists、Disabled	2.0.0

C.04.7 技術的な脆弱性の管理 - 評価済み

技術的な脆弱性の評価が記録され、報告されます。

ID: NL BIO クラウド テーマ C.04.7 所有権: 共有

名前 (Azure portal)	説明	効果	Version (GitHub)
脆弱性評価ソリューションを仮想マシンで有効にする必要がある	仮想マシンを監査して、サポートされている脆弱性評価ソリューションを実行しているかどうかを検出します。 すべてのサイバーリスクとセキュリティプログラムの中核となるコンポーネントは、脆弱性の特定と分析です。 Azure Security Center の標準価格帯には、追加費用なしで仮想マシン脆弱性スキャンをする機能が含まれています。 また、Security Center では、このツールを自動的にデプロイできます。	AuditIfNotExists、Disabled	3.0.0
App Service アプリではリモート デバッグをオフにする必要がある	リモート デバッグを実行するには、App Service アプリ上で受信ポートが開かれている必要があります。 リモート デバッグを無効にする必要があります。	AuditIfNotExists、Disabled	2.0.0
App Service アプリでは、すべてのリソースがアプリにアクセスできるように CORS を構成しない	クロス オリジン リソース共有 (CORS) では、すべてのドメインに対してアプリへのアクセスを許可しないでください。 必要なドメインにのみアプリへのアクセスを許可してください。	AuditIfNotExists、Disabled	2.0.0
App Service アプリは最新の 'HTTP バージョン' を使用する必要がある	セキュリティ上の欠陥のため、または追加機能を組み込むために、HTTP の新しいバージョンが定期的にリリースされます。 新しいバージョンのセキュリティ修正プログラム (存在する場合) や新機能を利用するために、最新の HTTP バージョンを Web アプリに使用します。	AuditIfNotExists、Disabled	4.0.0
Java を使用する App Service アプリでは、指定された 'Java バージョン' を使用する必要があります	セキュリティ上の欠陥のため、または追加機能を組み込むために、Java ソフトウェアの新しいバージョンが定期的にリリースされます。 最新バージョンのセキュリティ修正プログラム (該当する場合) や新機能を利用できるように、最新の Java バージョンを App Service アプリに使用することをお勧めします。 このポリシーは Linux アプリにのみ適用されます。 このポリシーでは、要件を満たす Java バージョンを指定する必要があります。	AuditIfNotExists、Disabled	3.1.0
PHP を使用する App Service アプリでは、指定された 'PHP バージョン' を使用する必要があります	セキュリティ上の欠陥のため、または追加機能を組み込むために、PHP ソフトウェアの新しいバージョンが定期的にリリースされます。 最新バージョンのセキュリティ修正プログラム (該当する場合) や新機能を利用できるように、最新の PHP バージョンを App Service アプリに使用することをお勧めします。 このポリシーは Linux アプリにのみ適用されます。 このポリシーでは、要件を満たす PHP バージョンを指定する必要があります。	AuditIfNotExists、Disabled	3.2.0
Python を使用する App Service アプリでは、指定された 'Python バージョン' を使用する必要があります	セキュリティ上の欠陥のため、または追加機能を組み込むために、Python ソフトウェアの新しいバージョンが定期的にリリースされます。 最新バージョンのセキュリティ修正プログラム (該当する場合) や新機能を利用できるように、最新の Python バージョンを App Service アプリに使用することをお勧めします。 このポリシーは Linux アプリにのみ適用されます。 このポリシーでは、要件を満たす Python バージョンを指定する必要があります。	AuditIfNotExists、Disabled	4.1.0
Azure Defender for App Service を有効にする必要がある	Azure Defender for App Service は、Azure がクラウド プロバイダーとして提供するクラウドの規模と可視性を活用して、Web アプリへの一般的な攻撃を監視します。	AuditIfNotExists、Disabled	1.0.3
Azure Defender for Azure SQL Database サーバーを有効にする必要がある	Azure Defender for SQL により、潜在的なデータベースの脆弱性を明示および軽減するための機能が提供され、SQL データベースへの脅威を示す可能性のある異常なアクティビティが検出され、機密データの検出と分類が行われます。	AuditIfNotExists、Disabled	1.0.2
Azure Defender for Key Vault を有効にする必要がある	Azure Defender for Key Vault では、キー コンテナー アカウントにアクセスしたりそれを悪用したりする、異常で害を及ぼす可能性のある試行を検出することにより、追加の保護レイヤーとセキュリティ インテリジェンスが提供されます。	AuditIfNotExists、Disabled	1.0.3
Azure Defender for Resource Manager を有効にする必要がある	Azure Defender for Resource Manager では、組織内尾のリソース管理操作を自動的に監視します。 Azure Defender では、脅威を検出し、疑わしいアクティビティについて警告します。 Azure Defender for Resource Manager の機能に関する詳細については、https://aka.ms/defender-for-resource-manager を参照してください。 この Azure Defender プランを有効にすると、料金が発生します。 リージョンごとの料金の詳細については、Security Center の価格に関するページを参照してください: https://aka.ms/pricing-security-center。	AuditIfNotExists、Disabled	1.0.0
サーバー用 Azure Defender を有効にする必要がある	サーバー用 Azure Defender では、サーバーのワークロードに対するリアルタイムの脅威の防止が提供され、セキュリティ強化の推奨事項と、不審なアクティビティに関するアラートが生成されます。	AuditIfNotExists、Disabled	1.0.3
Azure Defender for SQL servers on machines を有効にする必要がある	Azure Defender for SQL により、潜在的なデータベースの脆弱性を明示および軽減するための機能が提供され、SQL データベースへの脅威を示す可能性のある異常なアクティビティが検出され、機密データの検出と分類が行われます。	AuditIfNotExists、Disabled	1.0.2
Kubernetes Service (AKS) 用の Azure Policy アドオンをクラスターにインストールして有効にする必要がある	Kubernetes Service (AKS) 用の Azure Policy アドオンを使用すると、Open Policy Agent (OPA) に対する受付制御 Webhook である Gatekeeper V3 を拡張して、整合性のある一元的な方法で、大規模な強制と保護をお使いのクラスターに適用できます。	Audit、Disabled	1.0.2
エンドポイント保護ソリューションを仮想マシン スケール セットにインストールする必要がある	脅威と脆弱性から保護するため、お使いの仮想マシン スケール セットでのエンドポイント保護ソリューションの存在と正常性を監査します。	AuditIfNotExists、Disabled	3.0.0
関数アプリではリモート デバッグをオフにする必要がある	リモート デバッグを実行するには、受信ポートが関数アプリ上で開かれている必要があります。 リモート デバッグを無効にする必要があります。	AuditIfNotExists、Disabled	2.0.0
関数アプリでは、すべてのリソースがアプリにアクセスできるように CORS を構成しない	クロス オリジン リソース共有 (CORS) で、関数アプリへのアクセスをすべてのドメインには許可しないでください。 関数アプリの操作に必要なドメインのみを許可します。	AuditIfNotExists、Disabled	2.0.0
関数アプリでは、最新の 'HTTP バージョン' を使用する必要がある	セキュリティ上の欠陥のため、または追加機能を組み込むために、HTTP の新しいバージョンが定期的にリリースされます。 新しいバージョンのセキュリティ修正プログラム (存在する場合) や新機能を利用するために、最新の HTTP バージョンを Web アプリに使用します。	AuditIfNotExists、Disabled	4.0.0
Java を使用する関数アプリでは、指定された 'Java バージョン' を使用する必要があります	セキュリティ上の欠陥のため、または追加機能を組み込むために、Java ソフトウェアの新しいバージョンが定期的にリリースされます。 最新バージョンのセキュリティ修正プログラム (存在する場合) や新機能を利用できるように、最新の Java バージョンを関数アプリに使用することをお勧めします。 このポリシーは Linux アプリにのみ適用されます。 このポリシーでは、要件を満たす Java バージョンを指定する必要があります。	AuditIfNotExists、Disabled	3.1.0
Python を使用する関数アプリでは、指定された 'Python バージョン' を使用する必要があります	セキュリティ上の欠陥のため、または追加機能を組み込むために、Python ソフトウェアの新しいバージョンが定期的にリリースされます。 最新バージョンのセキュリティ修正プログラム (存在する場合) や新機能を利用できるように、最新の Python バージョンを関数アプリに使用することをお勧めします。 このポリシーは Linux アプリにのみ適用されます。 このポリシーでは、要件を満たす Python バージョンを指定する必要があります。	AuditIfNotExists、Disabled	4.1.0
Kubernetes クラスター コンテナーの CPU およびメモリ リソースの制限は、指定された制限を超えないようにする必要がある	コンテナーの CPU とメモリ リソースの制限を適用して、Kubernetes クラスターでのリソース枯渇攻撃を防ぎます。 このポリシーは、Kubernetes Service (AKS) と、Azure Arc 対応 Kubernetes のプレビューで一般提供されています。 詳細については、「https://aka.ms/kubepolicydoc」を参照してください。	audit、Audit、deny、Deny、disabled、Disabled	9.2.0
[Kubernetes クラスター コンテナーでは、ホスト プロセス ID またはホスト IPC 名前空間を共有してはいけない](https://portal.azure.com/#blade/Microsoft_Azure_Policy/PolicyDetailBlade/definitionId/%2Fproviders%2FMicrosoft.Authorization%2FpolicyDefinitions%2F47a1ee2f-2a2a-4576-bf2a-e0e36709c2b8)	ポッド コンテナーが Kubernetes クラスターでホスト プロセス ID 名前空間とホスト IPC 名前空間を共有できないようにします。 この推奨事項は、Kubernetes 環境のセキュリティを強化することを目的とした CIS 5.2.2 と CIS 5.2.3 の一部です。 このポリシーは、Kubernetes Service (AKS) と、Azure Arc 対応 Kubernetes のプレビューで一般提供されています。 詳細については、「https://aka.ms/kubepolicydoc」を参照してください。	audit、Audit、deny、Deny、disabled、Disabled	5.1.0
[Kubernetes クラスター コンテナーでは、許可されている AppArmor プロファイルのみを使用する必要がある](https://portal.azure.com/#blade/Microsoft_Azure_Policy/PolicyDetailBlade/definitionId/%2Fproviders%2FMicrosoft.Authorization%2FpolicyDefinitions%2F511f5417-5d12-434d-ab2e-816901e72a5e)	コンテナーでは、Kubernetes クラスターで許可されている AppArmor プロファイルのみを使用する必要があります。 このポリシーは、Kubernetes Service (AKS) と、Azure Arc 対応 Kubernetes のプレビューで一般提供されています。 詳細については、「https://aka.ms/kubepolicydoc」を参照してください。	audit、Audit、deny、Deny、disabled、Disabled	6.1.1
[Kubernetes クラスター コンテナーでは、許可されている機能のみを使用する必要がある](https://portal.azure.com/#blade/Microsoft_Azure_Policy/PolicyDetailBlade/definitionId/%2Fproviders%2FMicrosoft.Authorization%2FpolicyDefinitions%2Fc26596ff-4d70-4e6a-9a30-c2506bd2f80c)	Kubernetes クラスター内のコンテナーの攻撃面を縮小するために、機能を制限します。 この推奨事項は、Kubernetes 環境のセキュリティを強化することを目的とした CIS 5.2.8 と CIS 5.2.9 の一部です。 このポリシーは、Kubernetes Service (AKS) と、Azure Arc 対応 Kubernetes のプレビューで一般提供されています。 詳細については、「https://aka.ms/kubepolicydoc」を参照してください。	audit、Audit、deny、Deny、disabled、Disabled	6.1.0
[Kubernetes クラスター コンテナーでは、許可されているイメージのみを使用する必要がある](https://portal.azure.com/#blade/Microsoft_Azure_Policy/PolicyDetailBlade/definitionId/%2Fproviders%2FMicrosoft.Authorization%2FpolicyDefinitions%2Ffebd0533-8e55-448f-b837-bd0e06f16469)	信頼できるレジストリのイメージを使用して、不明な脆弱性、セキュリティの問題、悪意のあるイメージに対する Kubernetes クラスターの露出リスクを削減します。 詳細については、https://aka.ms/kubepolicydocを参照してください。	audit、Audit、deny、Deny、disabled、Disabled	9.2.0
Kubernetes クラスターコンテナーは、読み取り専用のルート ファイル システムを使用して実行する必要がある	Kubernetes クラスター内のパスに悪意のあるバイナリを追加する実行時の変更から保護するために、読み取り専用のルート ファイル システムでコンテナーを実行します。 このポリシーは、Kubernetes Service (AKS) と、Azure Arc 対応 Kubernetes のプレビューで一般提供されています。 詳細については、「https://aka.ms/kubepolicydoc」を参照してください。	audit、Audit、deny、Deny、disabled、Disabled	6.2.0
Kubernetes クラスター ポッドの hostPath ボリュームでは、許可されているホスト パスのみを使用する必要がある	ポッドの HostPath ボリューム マウントを、Kubernetes クラスター内の許可されているホスト パスに制限します。 このポリシーは、Kubernetes Service (AKS) と Azure Arc 対応 Kubernetes で一般提供されています。 詳細については、「https://aka.ms/kubepolicydoc」を参照してください。	audit、Audit、deny、Deny、disabled、Disabled	6.1.1
Kubernetes クラスターのポッドとコンテナーは、承認されたユーザーとグループの ID のみを使用して実行する必要がある	Kubernetes クラスターでポッドとコンテナーを実行する際に使用できるユーザー、プライマリ グループ、補助グループ、およびファイル システム グループの ID を制御します。 このポリシーは、Kubernetes Service (AKS) と、Azure Arc 対応 Kubernetes のプレビューで一般提供されています。 詳細については、「https://aka.ms/kubepolicydoc」を参照してください。	audit、Audit、deny、Deny、disabled、Disabled	6.1.1
Kubernetes クラスターのポッドでは、承認されているホスト ネットワークとポート範囲のみを使用する必要がある	ポッドのアクセスを、Kubernetes クラスター内のホスト ネットワークおよび許容されるホスト ポート範囲に制限します。 この推奨事項は、Kubernetes 環境のセキュリティを強化することを目的とした CIS 5.2.4 の一部です。 このポリシーは、Kubernetes Service (AKS) と、Azure Arc 対応 Kubernetes のプレビューで一般提供されています。 詳細については、「https://aka.ms/kubepolicydoc」を参照してください。	audit、Audit、deny、Deny、disabled、Disabled	6.1.0
Kubernetes クラスター サービスでは、許可されているポートでのみリッスンする必要がある	Kubernetes クラスターへのアクセスをセキュリティで保護するために、許可されたポートでのみリッスンするようにサービスを制限します。 このポリシーは、Kubernetes Service (AKS) と、Azure Arc 対応 Kubernetes のプレビューで一般提供されています。 詳細については、「https://aka.ms/kubepolicydoc」を参照してください。	audit、Audit、deny、Deny、disabled、Disabled	8.1.0
Kubernetes クラスターで特権コンテナーを許可しない	Kubernetes クラスターでの特権コンテナーの作成を許可しません。 この推奨事項は、Kubernetes 環境のセキュリティを強化することを目的とした CIS 5.2.1 の一部です。 このポリシーは、Kubernetes Service (AKS) と、Azure Arc 対応 Kubernetes のプレビューで一般提供されています。 詳細については、「https://aka.ms/kubepolicydoc」を参照してください。	audit、Audit、deny、Deny、disabled、Disabled	9.1.0
Kubernetes クラスターで API 資格情報の自動マウントを無効にする必要がある	侵害された可能性のある Pod リソースが Kubernetes クラスターに対して API コマンドを実行するのを防ぐために、API 資格情報の自動マウントを無効にします。 詳細については、「https://aka.ms/kubepolicydoc」を参照してください。	audit、Audit、deny、Deny、disabled、Disabled	4.1.0
Kubernetes クラスターでは、コンテナーの特権エスカレーションを許可してはいけない	Kubernetes クラスターにおいて、ルートへの特権エスカレーションでのコンテナーの実行を許可しないでください。 この推奨事項は、Kubernetes 環境のセキュリティを強化することを目的とした CIS 5.2.5 の一部です。 このポリシーは、Kubernetes Service (AKS) と、Azure Arc 対応 Kubernetes のプレビューで一般提供されています。 詳細については、「https://aka.ms/kubepolicydoc」を参照してください。	audit、Audit、deny、Deny、disabled、Disabled	7.1.0
Kubernetes クラスターでは CAP_SYS_ADMIN セキュリティ機能を許可しない	コンテナーに対する攻撃面を縮小するには、Linux 機能 CAP_SYS_ADMIN を制限します。 詳細については、「https://aka.ms/kubepolicydoc」を参照してください。	audit、Audit、deny、Deny、disabled、Disabled	5.1.0
Kubernetes クラスターでは既定の名前空間を使用しない	ConfigMap、Pod、Secret、Service、および ServiceAccount という種類のリソースを無許可アクセスから保護するために、Kubernetes クラスターで既定の名前空間を使用しないようにします。 詳細については、「https://aka.ms/kubepolicydoc」を参照してください。	audit、Audit、deny、Deny、disabled、Disabled	4.1.0
Kubernetes Service を脆弱性のない Kubernetes バージョンにアップグレードする必要がある	現在の Kubernetes バージョンの既知の脆弱性から保護するため、Kubernetes Service クラスターを新しい Kubernetes バージョンにアップグレードしてください。 脆弱性 CVE-2019-9946 は、Kubernetes バージョン 1.11.9 以上、1.12.7 以上、1.13.5 以上、および 1.14.0 以上でパッチが適用されています	Audit、Disabled	1.0.2
Microsoft Defender for Containers を有効にする必要がある	Microsoft Defender for Containers では、Azure、ハイブリッド、マルチクラウド Kubernetes 環境に対する強化、脆弱性評価、ランタイム保護を提供します。	AuditIfNotExists、Disabled	1.0.0
Microsoft Defender for Storageを有効にする必要があります	Microsoft Defender for Storage では、お使いのストレージ アカウントに対する潜在的脅威が検出されます。 これは、データおよびワークロードに対する 3 つの大きな影響、すなわち、悪意のあるファイルのアップロード、機密データの流出、データの破損を防ぐのに役立ちます。 新しい Defender for Storage プランには、マルウェア スキャンと機密データの脅威検出機能が含まれています。 このプランはまた、(ストレージ アカウントごとの) 価格構造が予想しやすくなっており、カバレッジとコストを制御できます。	AuditIfNotExists、Disabled	1.0.0
Endpoint Protection の不足を Azure Security Center で監視する	Endpoint Protection エージェントがインストールされていないサーバーが、推奨設定として Azure Security Center で監視されます	AuditIfNotExists、Disabled	3.0.0
SQL データベースでは脆弱性の検出結果を解決する必要がある	脆弱性評価スキャン結果と、データベースの脆弱性を修正する方法についての推奨事項を監視します。	AuditIfNotExists、Disabled	4.1.0
仮想マシン スケール セットにシステムの更新プログラムをインストールする必要がある	お使いの Windows と Linux の仮想マシン スケール セットが確実にセキュリティで保護されるようにするため、インストールする必要のあるシステムのセキュリティ更新プログラムおよび重要な更新プログラムが不足していないかどうかを監査します。	AuditIfNotExists、Disabled	3.0.0
システム更新プログラムをマシンにインストールする必要がある	使用中のサーバーにおけるセキュリティ関連のシステム更新プログラムの不足が、推奨設定として Azure Security Center で監視されます	AuditIfNotExists、Disabled	4.0.0
使用しているマシンでセキュリティ構成の脆弱性を修復する必要がある	構成ベースラインを満たしていないサーバーが、推奨設定として Azure Security Center で監視されます	AuditIfNotExists、Disabled	3.1.0
仮想マシン スケール セットのセキュリティ構成の脆弱性を修復する必要がある	攻撃から保護するため、お使いの仮想マシン スケール セットの OS 脆弱性を監査します。	AuditIfNotExists、Disabled	3.0.0
マシンで Windows Defender Exploit Guard を有効にする必要がある	Windows Defender Exploit Guard では、Azure Policy ゲスト構成エージェントを使用します。 Exploit Guard には、さまざまな攻撃ベクトルに対してデバイスをロックダウンし、マルウェア攻撃でよく使用される動作をブロックするよう設計された 4 つのコンポーネントがありますが、企業がセキュリティ リスクと生産性の要件のバランスをとれるようになっています (Windows のみ)。	AuditIfNotExists、Disabled	2.0.0

C.04.8 技術的な脆弱性の管理 - 評価済み

評価レポートには改善のための提案が含まれており、マネージャーや所有者に通知されます。

ID: NL BIO クラウド テーマ C.04.8 所有権: 共有

名前 (Azure portal)	説明	効果	Version (GitHub)
脆弱性評価ソリューションを仮想マシンで有効にする必要がある	仮想マシンを監査して、サポートされている脆弱性評価ソリューションを実行しているかどうかを検出します。 すべてのサイバーリスクとセキュリティプログラムの中核となるコンポーネントは、脆弱性の特定と分析です。 Azure Security Center の標準価格帯には、追加費用なしで仮想マシン脆弱性スキャンをする機能が含まれています。 また、Security Center では、このツールを自動的にデプロイできます。	AuditIfNotExists、Disabled	3.0.0
Endpoint Protection の不足を Azure Security Center で監視する	Endpoint Protection エージェントがインストールされていないサーバーが、推奨設定として Azure Security Center で監視されます	AuditIfNotExists、Disabled	3.0.0
SQL データベースでは脆弱性の検出結果を解決する必要がある	脆弱性評価スキャン結果と、データベースの脆弱性を修正する方法についての推奨事項を監視します。	AuditIfNotExists、Disabled	4.1.0
システム更新プログラムをマシンにインストールする必要がある	使用中のサーバーにおけるセキュリティ関連のシステム更新プログラムの不足が、推奨設定として Azure Security Center で監視されます	AuditIfNotExists、Disabled	4.0.0
使用しているマシンでセキュリティ構成の脆弱性を修復する必要がある	構成ベースラインを満たしていないサーバーが、推奨設定として Azure Security Center で監視されます	AuditIfNotExists、Disabled	3.1.0

C.05.5 セキュリティ監視レポート - 監視および報告

分析レポートからの改善提案に対するフォローアップが確実に行われています。

ID: NL BIO クラウド テーマ C.05.5 所有権: Microsoft

名前 (Azure portal)	説明	効果	Version (GitHub)
重要度 - 高のアラートの電子メール通知を有効にする必要がある	サブスクリプションの 1 つでセキュリティ違反のおそれがある場合に、組織内の関係するユーザーに通知が送信されるようにするには、Security Center で重要度の高いアラートに関するメール通知を有効にします。	AuditIfNotExists、Disabled	1.0.1
サブスクリプション所有者に対する重要度 - 高のアラートの電子メール通知を有効にする必要がある	サブスクリプションにセキュリティ違反のおそれがある場合にサブスクリプションの所有者に通知が送信されるようにするには、Security Center で、重要度の高いアラートに関するメール通知をサブスクリプションの所有者に設定します。	AuditIfNotExists、Disabled	2.0.0
サブスクリプションには、セキュリティの問題に備えて連絡先メール アドレスが用意されている必要がある	サブスクリプションの 1 つでセキュリティ違反のおそれがある場合に、組織内の関係するユーザーに通知が送信されるようにするには、Security Center からのメール通知を受信するセキュリティの連絡先を設定します。	AuditIfNotExists、Disabled	1.0.1

U.03 - ビジネス継続性サービス

情報処理施設には、継続性の要件を満たすために十分な冗長性を実装する必要があります。

ID: NL BIO クラウド テーマ U.03 所有権: 共有

名前 (Azure portal)	説明	効果	Version (GitHub)
Azure Database for MariaDB の geo 冗長バックアップを有効にする必要がある	Azure Database for MariaDB を使用すると、データベース サーバーの冗長オプションを選択できます。 これを、geo 冗長バックアップ ストレージに設定できます。これに設定すると、データはサーバーがホストされているリージョン内に格納されるだけでなく、リージョンの障害が発生した場合に復旧オプションを提供するために、ペア リージョンにもレプリケートされます。 バックアップに対して geo 冗長ストレージを構成できるのは、サーバーの作成時だけです。	Audit、Disabled	1.0.1
Azure Database for MySQL の geo 冗長バックアップを有効にする必要がある	Azure Database for MySQL を使用すると、データベース サーバーの冗長オプションを選択できます。 これを、geo 冗長バックアップ ストレージに設定できます。これに設定すると、データはサーバーがホストされているリージョン内に格納されるだけでなく、リージョンの障害が発生した場合に復旧オプションを提供するために、ペア リージョンにもレプリケートされます。 バックアップに対して geo 冗長ストレージを構成できるのは、サーバーの作成時だけです。	Audit、Disabled	1.0.1
Azure Database for PostgreSQL の geo 冗長バックアップを有効にする必要がある	Azure Database for PostgreSQL を使用すると、データベース サーバーの冗長オプションを選択できます。 これを、geo 冗長バックアップ ストレージに設定できます。これに設定すると、データはサーバーがホストされているリージョン内に格納されるだけでなく、リージョンの障害が発生した場合に復旧オプションを提供するために、ペア リージョンにもレプリケートされます。 バックアップに対して geo 冗長ストレージを構成できるのは、サーバーの作成時だけです。	Audit、Disabled	1.0.1

U.03.1 ビジネス継続性サービス - 冗長性

合意された継続性は、論理的または物理的に十分に複数のシステム機能によって保証されます。

ID: NL BIO クラウド テーマ U.03.1 所有権: 共有

名前 (Azure portal)	説明	効果	Version (GitHub)
ディザスター リカバリーを構成されていない仮想マシンの監査	ディザスター リカバリーが構成されていない仮想マシンを監査します。 ディザスター リカバリーの詳細については、https://aka.ms/asr-doc にアクセスしてください。	auditIfNotExists	1.0.0
仮想マシンに対して Azure Backup を有効にする必要がある	Azure Backup を有効にして、Azure Virtual Machines を保護します。 Azure Backup は、Azure 向けの安全で費用対効果の高いデータ保護ソリューションです。	AuditIfNotExists、Disabled	3.0.0

U.03.2 ビジネス継続性サービス - 継続性要件

CSC と合意したクラウド サービスの継続性要件は、システム アーキテクチャによって保証されます。

ID: NL BIO クラウド テーマ U.03.2 所有権: 共有

名前 (Azure portal)	説明	効果	Version (GitHub)
ディザスター リカバリーを構成されていない仮想マシンの監査	ディザスター リカバリーが構成されていない仮想マシンを監査します。 ディザスター リカバリーの詳細については、https://aka.ms/asr-doc にアクセスしてください。	auditIfNotExists	1.0.0
仮想マシンに対して Azure Backup を有効にする必要がある	Azure Backup を有効にして、Azure Virtual Machines を保護します。 Azure Backup は、Azure 向けの安全で費用対効果の高いデータ保護ソリューションです。	AuditIfNotExists、Disabled	3.0.0

U.04.1 データとクラウド サービス リカバリ - 復元機能

データとクラウド サービスは、合意された期間内および最大データ損失の範囲内で復元され、CSC で使用できるようになります。

ID: NL BIO クラウド テーマ U.04.1 所有権: 共有

名前 (Azure portal)	説明	効果	Version (GitHub)
ディザスター リカバリーを構成されていない仮想マシンの監査	ディザスター リカバリーが構成されていない仮想マシンを監査します。 ディザスター リカバリーの詳細については、https://aka.ms/asr-doc にアクセスしてください。	auditIfNotExists	1.0.0
キー コンテナーで削除保護を有効にする必要がある	悪意でキー コンテナーが削除されると、データが完全に失われる可能性があります。 データの永久的な損失を防ぐには、消去保護と論理的な削除を有効にします。 消去保護では、論理的に削除されたキー コンテナーに必須の保有期間を適用することによって、内部関係者の攻撃から組織を保護します。 組織や Microsoft の内部にいるどのユーザーも、論理的な削除の保有期間中にキー コンテナーを消去することはできなくなります。 2019 年 9 月 1 日以降に作成されたキー コンテナーでは、既定で論理的な削除が有効にされていることに注意してください。	Audit、Deny、Disabled	2.1.0
キー コンテナーで論理的な削除が有効になっている必要がある	論理的な削除が有効になっていない状態でキー コンテナーを削除すると、キー コンテナーに格納されているすべてのシークレット、キー、証明書が完全に削除されます。 誤ってキー コンテナーが削除されると、データが完全に失われる可能性があります。 論理的な削除を使用すると、構成可能な保有期間の間は、誤って削除されたキー コンテナーを復旧できます。	Audit、Deny、Disabled	3.0.0

U.04.2 データとクラウドのサービスの回復 - 復元機能

データの回復可能な保護の継続的なプロセスが監視されます。

ID: NL BIO クラウド テーマ U.04.2 所有権: 共有

名前 (Azure portal)	説明	効果	Version (GitHub)
ディザスター リカバリーを構成されていない仮想マシンの監査	ディザスター リカバリーが構成されていない仮想マシンを監査します。 ディザスター リカバリーの詳細については、https://aka.ms/asr-doc にアクセスしてください。	auditIfNotExists	1.0.0
キー コンテナーで削除保護を有効にする必要がある	悪意でキー コンテナーが削除されると、データが完全に失われる可能性があります。 データの永久的な損失を防ぐには、消去保護と論理的な削除を有効にします。 消去保護では、論理的に削除されたキー コンテナーに必須の保有期間を適用することによって、内部関係者の攻撃から組織を保護します。 組織や Microsoft の内部にいるどのユーザーも、論理的な削除の保有期間中にキー コンテナーを消去することはできなくなります。 2019 年 9 月 1 日以降に作成されたキー コンテナーでは、既定で論理的な削除が有効にされていることに注意してください。	Audit、Deny、Disabled	2.1.0
キー コンテナーで論理的な削除が有効になっている必要がある	論理的な削除が有効になっていない状態でキー コンテナーを削除すると、キー コンテナーに格納されているすべてのシークレット、キー、証明書が完全に削除されます。 誤ってキー コンテナーが削除されると、データが完全に失われる可能性があります。 論理的な削除を使用すると、構成可能な保有期間の間は、誤って削除されたキー コンテナーを復旧できます。	Audit、Deny、Disabled	3.0.0

U.04.3 データとクラウドのサービスの回復 - テスト済み

回復関数の機能が定期的にテストされ、結果が CSC と共有されます。

ID: NL BIO クラウド テーマ U.04.3 所有権: 共有

名前 (Azure portal)	説明	効果	Version (GitHub)
ディザスター リカバリーを構成されていない仮想マシンの監査	ディザスター リカバリーが構成されていない仮想マシンを監査します。 ディザスター リカバリーの詳細については、https://aka.ms/asr-doc にアクセスしてください。	auditIfNotExists	1.0.0
キー コンテナーで削除保護を有効にする必要がある	悪意でキー コンテナーが削除されると、データが完全に失われる可能性があります。 データの永久的な損失を防ぐには、消去保護と論理的な削除を有効にします。 消去保護では、論理的に削除されたキー コンテナーに必須の保有期間を適用することによって、内部関係者の攻撃から組織を保護します。 組織や Microsoft の内部にいるどのユーザーも、論理的な削除の保有期間中にキー コンテナーを消去することはできなくなります。 2019 年 9 月 1 日以降に作成されたキー コンテナーでは、既定で論理的な削除が有効にされていることに注意してください。	Audit、Deny、Disabled	2.1.0
キー コンテナーで論理的な削除が有効になっている必要がある	論理的な削除が有効になっていない状態でキー コンテナーを削除すると、キー コンテナーに格納されているすべてのシークレット、キー、証明書が完全に削除されます。 誤ってキー コンテナーが削除されると、データが完全に失われる可能性があります。 論理的な削除を使用すると、構成可能な保有期間の間は、誤って削除されたキー コンテナーを復旧できます。	Audit、Deny、Disabled	3.0.0

U.05.1 データ保護 - 暗号化対策

データ転送は暗号化によって保護され、可能であれば CSC 自体によってキーが管理されます。

ID: NL BIO クラウド テーマ U.05.1 所有権: 顧客

名前 (Azure portal)	説明	効果	Version (GitHub)
App Service アプリに HTTPS を介してのみアクセスできるようにする	HTTPS を使用すると、サーバー/サービスの認証が確実に実行され、転送中のデータがネットワーク層の傍受攻撃から保護されるようになります。	Audit, Disabled, Deny	4.0.0
App Service アプリでは FTPS のみが要求される必要がある	セキュリティを強化するために FTPS 強制を有効にしてください。	AuditIfNotExists、Disabled	3.0.0
App Service アプリは最新の TLS バージョンを使用する必要がある	セキュリティ上の欠陥への対応、機能の追加、および速度の向上のために、TLS の新しいバージョンが定期的にリリースされます。 最新の TLS バージョンにアップグレードして、App Service アプリで最新バージョンのセキュリティ修正プログラム (存在する場合) や新機能を利用できるようにします。	AuditIfNotExists、Disabled	2.0.1
Azure Batch プールでディスク暗号化を有効にする必要があります	Azure Batch ディスクの暗号化を有効にすると、データは常に Azure Batch 計算ノードで保存時に暗号化されます。 https://docs.microsoft.com/azure/batch/disk-encryption での Batch ディスク暗号化について確認してください。	Audit, Disabled, Deny	1.0.0
Azure Edge Hardware Center デバイスで二重暗号化サポートを有効にする必要がある	Azure Edge Hardware Center からオーダーされたデバイスで、二重暗号化サポートが有効になっていることを確認し、デバイスの保存データを保護します。 このオプションは、第 2 のデータ暗号化レイヤーを追加するものです。	Audit、Deny、Disabled	2.0.0
Azure Front Door Standard と Premium では、最小 TLS バージョン 1.2 が実行されている必要があります	バージョン 1.2 以降の TLS を設定すると、TLS 1.2 以降を使用するクライアントからカスタム ドメインがアクセスされるようにすることで、セキュリティが強化されます。 1.2 未満のバージョンの TLS は脆弱で、最新の暗号化アルゴリズムがサポートされていないため、使用は推奨されません。	Audit、Deny、Disabled	1.0.0
Azure HDInsight クラスターでは、転送中の暗号化を使用して、Azure HDInsight クラスター ノード間の通信を暗号化する必要がある	Azure HDInsight クラスター ノード間での転送中に、データが改ざんされる可能性があります。 転送中の暗号化を有効にすると、この転送中の悪用や改ざんの問題に対処できます。	Audit、Deny、Disabled	1.0.0
Azure SQL Database は TLS バージョン 1.2 以降を実行している必要があります	TLS バージョン 1.2 以降の TLS を設定すると、TLS 1.2 以降を使用するクライアントのみが Azure SQL Database にアクセスできるため、セキュリティが強化されます。 1\.2 より前のバージョンの TLS は、セキュリティの脆弱性が詳しく文書化されているため、使用をお勧めしません。	Audit, Disabled, Deny	2.0.0
MySQL データベース サーバーでは [SSL 接続を強制する] が有効でなければならない	Azure Database for MySQL は、Secure Sockets Layer (SSL) を使用した、クライアント アプリケーションへの Azure Database for MySQL サーバーへの接続をサポートします。 お使いのデータベース サーバーとクライアント アプリケーション間に SSL 接続を強制すると、サーバーとお使いのアプリケーション間のデータ ストリームを暗号化することにより、中間者 (man in the middle) 攻撃から保護するのに役立ちます。 この構成では、データベース サーバーへのアクセスに対して SSL が常に有効にされます。	Audit、Disabled	1.0.1
PostgreSQL データベース サーバーでは [SSL 接続を強制する] が有効でなければならない	Azure Database for PostgreSQL では、Secure Sockets Layer (SSL) を使用する Azure Database for PostgreSQL サーバーからクライアント アプリケーションへの接続がサポートされています。 お使いのデータベース サーバーとクライアント アプリケーション間に SSL 接続を強制すると、サーバーとお使いのアプリケーション間のデータ ストリームを暗号化することにより、中間者 (man in the middle) 攻撃から保護するのに役立ちます。 この構成では、データベース サーバーへのアクセスに対して SSL が常に有効にされます。	Audit、Disabled	1.0.1
関数アプリに HTTPS を介してのみアクセスできるようにする	HTTPS を使用すると、サーバー/サービスの認証が確実に実行され、転送中のデータがネットワーク層の傍受攻撃から保護されるようになります。	Audit, Disabled, Deny	5.0.0
関数アプリでは FTPS のみが要求される必要がある	セキュリティを強化するために FTPS 強制を有効にしてください。	AuditIfNotExists、Disabled	3.0.0
関数アプリは最新の TLS バージョンを使用する必要がある	セキュリティ上の欠陥への対応、機能の追加、および速度の向上のために、TLS の新しいバージョンが定期的にリリースされます。 最新の TLS バージョンにアップグレードして、関数アプリで最新バージョンのセキュリティ修正プログラム (存在する場合) や新機能を利用できるようにします。	AuditIfNotExists、Disabled	2.0.1
Kubernetes クラスターは HTTPS 経由でのみアクセス可能である必要がある	HTTPS を使用すると、認証が確実に実行され、転送中のデータがネットワーク層の傍受攻撃から保護されます。 この機能は、Kubernetes Service (AKS)、および Azure Arc 対応 Kubernetes のプレビューで現在一般提供されています。 詳細については、https://aka.ms/kubepolicydoc を参照してください。	audit、Audit、deny、Deny、disabled、Disabled	8.1.0
Azure Cache for Redis へのセキュリティで保護された接続のみを有効にする必要がある	Azure Cache for Redis に対して SSL 経由の接続のみが有効であるかどうかを監査します。 セキュリティで保護された接続を使用することにより、サーバーとサービスの間の認証が確実に行われ、転送中のデータをネットワーク層の攻撃 (man-in-the-middle、傍受、セッションハイジャックなど) から保護します	Audit、Deny、Disabled	1.0.0
ストレージ アカウントへの安全な転送を有効にする必要がある	ストレージ アカウント内の安全な転送の要件を監査します。 安全な転送は、ストレージ アカウントに、セキュリティで保護された接続 (HTTPS) からの要求のみを受け入れるように強制するオプションです。 HTTPS を使用することにより、サーバーとサービス間の認証が確実に行われ、転送中のデータをネットワーク層の攻撃 (man-in-the-middle、傍受、セッション ハイジャックなど) から保護します	Audit、Deny、Disabled	2.0.0
コンピューティングとストレージのリソース間で一時ディスク、キャッシュ、データ フローを仮想マシンによって暗号化する必要がある	既定では、仮想マシンの OS とデータのディスクは、保存時にプラットフォーム マネージド キーを使用して暗号化されます。 一時ディスク、データ キャッシュ、およびコンピューティングとストレージの間を流れているデータは暗号化されません。 次のような場合は、この推奨事項を無視してください。1. ホストでの暗号化を使用している場合。または 2. マネージド ディスクでのサーバー側暗号化がセキュリティ要件を満たしている場合。 Azure Disk Storage のサーバー側暗号化の詳細は、https://aka.ms/disksse、さまざまなディスク暗号化オファリングhttps://aka.ms/diskencryptioncomparisonを参照してください。	AuditIfNotExists、Disabled	2.0.3
Windows マシンを安全な通信プロトコルを使うように構成する必要がある	インターネット経由で通信される情報のプライバシーを保護するために、お客様のマシンでは、業界標準の暗号化プロトコルであるトランスポート層セキュリティ (TLS) の最新バージョンを使う必要があります。 TLS を使うと、マシン間の接続が暗号化されることで、ネットワーク経由の通信がセキュリティで保護されます。	AuditIfNotExists、Disabled	4.1.1

U.05.2 データ保護 - 暗号化対策

クラウド サービスに格納されているデータは、最先端の技術で保護されます。

ID: NL BIO クラウド テーマ U.05.2 所有権: 顧客

名前 (Azure portal)	説明	効果	Version (GitHub)
[プレビュー]: Azure Recovery Services コンテナーでは、バックアップ データを暗号化するために、カスタマー マネージド キーを使用する必要がある	カスタマー マネージド キーを使用して、バックアップ データの保存時の暗号化を管理します。 既定では、顧客データはサービス マネージド キーを使用して暗号化されますが、規制コンプライアンス標準を満たすには、一般にカスタマー マネージド キーが必要です。 カスタマー マネージド キーを使用すると、自分が作成して所有する Azure Key Vault キーを使用してデータを暗号化できます。 ローテーションや管理など、キーのライフサイクルを完全に制御し、責任を負うことになります。 詳細については、https://aka.ms/AB-CmkEncryption をご覧ください。	Audit、Deny、Disabled	1.0.0-preview
[プレビュー]: ゲスト構成証明の拡張機能が、サポートされている Linux 仮想マシンにインストールされている必要がある	ブート整合性の構成証明と監視を Azure Security Center がプロアクティブに行えるよう、サポートされている Linux 仮想マシンにゲスト構成証明の拡張機能をインストールします。 インストール後は、リモート構成証明を通じて、ブート整合性の構成証明が行われるようになります。 この評価は、トラステッド起動と機密の Linux 仮想マシンに適用されます。	AuditIfNotExists、Disabled	6.0.0-preview
[プレビュー]: ゲスト構成証明の拡張機能が、サポートされている Linux 仮想マシン スケール セットにインストールされている必要がある	ブート整合性の構成証明と監視を Azure Security Center がプロアクティブに行えるよう、サポートされている Linux 仮想マシン スケール セットにゲスト構成証明の拡張機能をインストールします。 インストール後は、リモート構成証明を通じて、ブート整合性の構成証明が行われるようになります。 この評価は、トラステッド起動と機密の Linux 仮想マシン スケール セットに適用されます。	AuditIfNotExists、Disabled	5.1.0-preview
[プレビュー]: ゲスト構成証明の拡張機能がサポートされている Windows 仮想マシンにインストールされている必要がある	ブート整合性の構成証明と監視を Azure Security Center がプロアクティブに行えるよう、サポートされている仮想マシンにゲスト構成証明の拡張機能をインストールします。 インストール後は、リモート構成証明を通じて、ブート整合性の構成証明が行われるようになります。 この評価は、トラステッド起動と機密の Windows 仮想マシンに適用されます。	AuditIfNotExists、Disabled	4.0.0-preview
[プレビュー]: ゲスト構成証明の拡張機能が、サポートされている Windows 仮想マシン スケール セットにインストールされている必要がある	ブート整合性の構成証明と監視を Azure Security Center がプロアクティブに行えるよう、サポートされている仮想マシン スケール セットにゲスト構成証明の拡張機能をインストールします。 インストール後は、リモート構成証明を通じて、ブート整合性の構成証明が行われるようになります。 この評価は、トラステッド起動と機密の Windows 仮想マシン スケール セットに適用されます。	AuditIfNotExists、Disabled	3.1.0-preview
[プレビュー]: IoT Hub デバイス プロビジョニング サービスのデータはカスタマー マネージド キー (CMK) を使用して暗号化する必要がある	カスタマー マネージド キーを使用して、IoT Hub Device Provisioning Service の保存時の暗号化を管理します。 データはサービス マネージド キーを使用して保存時に自動的に暗号化されますが、規制コンプライアンス標準を満たすためには一般に、カスタマー マネージド キー (CMK) が必要です。 CMK を使用すると、自分が作成して所有する Azure Key Vault キーを使用してデータを暗号化できます。 CMK 暗号化の詳細については、https://aka.ms/dps/CMK を参照してください。	Audit、Deny、Disabled	1.0.0-preview
[プレビュー]: セキュア ブートはサポートされている Windows 仮想マシンで有効にする必要がある	ブート チェーンに対する悪意のある変更や許可されていない変更を減らすために、サポートされる Windows 仮想マシンでセキュア ブートを有効にします。 有効にすると、信頼されたブートローダー、カーネル、カーネル ドライバーのみ実行が許可されます。 この評価は、トラステッド起動と機密の Windows 仮想マシンに適用されます。	Audit、Disabled	4.0.0-preview
[プレビュー]: vTPM はサポートされている仮想マシンで有効にする必要がある	メジャー ブートなど、TPM を必要とする OS セキュリティ機能を支援するために、サポートされている仮想マシンで仮想 TPM デバイスを有効にします。 有効にすると、vTPM を使用してブート整合性の構成証明を行うことができます。 この評価が適用されるのは、トラステッド起動が有効な仮想マシンのみです。	Audit、Disabled	2.0.0-preview
Azure API for FHIR では、保存データを暗号化するためにカスタマー マネージド キーを使用する必要がある	カスタマー マネージド キーを使用して、Azure API for FHIR に格納されるデータの保存時の暗号化を制御します (これが規制またはコンプライアンスの要件である場合)。 カスタマー マネージド キーを使用すると、サービス マネージド キーで実行される既定の暗号化レイヤーの上に 2 番目の暗号化レイヤーが追加されて、二重の暗号化が提供されることにもなります。	audit、Audit、disabled、Disabled	1.1.0
Azure Automation アカウントでは、保存データを暗号化するためにカスタマー マネージド キーを使用する必要がある	カスタマー マネージド キーを使用して、Azure Automation アカウントの保存時の暗号化を管理します。 既定では、顧客データはサービス マネージド キーを使用して暗号化されますが、規制コンプライアンス標準を満たすには、一般にカスタマー マネージド キーが必要です。 カスタマー マネージド キーを使用すると、自分が作成して所有する Azure Key Vault キーを使用してデータを暗号化できます。 ローテーションや管理など、キーのライフサイクルを完全に制御し、責任を負うことになります。 詳細については、https://aka.ms/automation-cmk をご覧ください。	Audit、Deny、Disabled	1.0.0
Azure Batch アカウントではデータの暗号化にカスタマー マネージド キーを使用する必要がある	カスタマー マネージド キーを使用して、Batch アカウントのデータの保存時の暗号化を管理します。 既定では、顧客データはサービス マネージド キーを使用して暗号化されますが、規制コンプライアンス標準を満たすには、一般にカスタマー マネージド キーが必要です。 カスタマー マネージド キーを使用すると、自分が作成して所有する Azure Key Vault キーを使用してデータを暗号化できます。 ローテーションや管理など、キーのライフサイクルを完全に制御し、責任を負うことになります。 詳細については、https://aka.ms/Batch-CMK をご覧ください。	Audit、Deny、Disabled	1.0.1
Azure Batch プールでディスク暗号化を有効にする必要があります	Azure Batch ディスクの暗号化を有効にすると、データは常に Azure Batch 計算ノードで保存時に暗号化されます。 https://docs.microsoft.com/azure/batch/disk-encryption での Batch ディスク暗号化について確認してください。	Audit, Disabled, Deny	1.0.0
Azure Container Instance コンテナー グループでは、暗号化にカスタマー マネージド キーを使用する必要がある	カスタマー マネージド キーを使用して、コンテナーをより柔軟にセキュリティで保護します。 カスタマー マネージド キーを指定すると、データを暗号化するキーへのアクセスを保護および制御するために、そのキーが使用されます。 カスタマー マネージド キーを使用すると、キー暗号化キーのローテーションを制御したり、データを暗号的に消去したりするための追加機能が提供されます。	Audit, Disabled, Deny	1.0.0
Azure Cosmos DB アカウントでは保存データを暗号化するためにカスタマー マネージド キーを使用する必要がある	カスタマー マネージド キーを使用して、Azure Cosmos DB の保存時の暗号化を管理します。 既定では、データはサービス マネージド キーを使用して保存時に暗号化されますが、規制コンプライアンス標準を満たすには、一般にカスタマー マネージド キーが必要です。 カスタマー マネージド キーを使用すると、自分が作成して所有する Azure Key Vault キーを使用してデータを暗号化できます。 ローテーションや管理など、キーのライフサイクルを完全に制御し、責任を負うことになります。 詳細については、https://aka.ms/cosmosdb-cmk をご覧ください。	audit、Audit、deny、Deny、disabled、Disabled	1.1.0
Azure Data Box ジョブは、デバイス上の保存データに対する二重暗号化を有効にする必要がある	デバイス上の保存データに対し、ソフトウェアベースの暗号化の第 2 のレイヤーを有効にしてください。 デバイスの保存データはあらかじめ、Advanced Encryption Standard 256 ビット暗号化で保護されています。 このオプションは、第 2 のデータ暗号化レイヤーを追加するものです。	Audit、Deny、Disabled	1.0.0
Azure Data Box ジョブは、カスタマー マネージド キーを使用してデバイスのロック解除パスワードを暗号化する必要がある	Azure Data Box に使用するデバイスのロック解除パスワードの暗号化は、カスタマー マネージド キーを使用して管理してください。 また、デバイスの準備とデータのコピーを自動化する目的で、デバイスのロック解除パスワードに対する Data Box サービスのアクセスを管理する際にも、カスタマー マネージド キーが役立ちます。 デバイス上の保存データ自体は、あらかじめ Advanced Encryption Standard 256 ビット暗号化を使用して暗号化されており、また、デバイスのロック解除パスワードも既定で Microsoft マネージド キーを使用して暗号化されています。	Audit、Deny、Disabled	1.0.0
Azure Data Explorer における保存時の暗号化でカスタマー マネージド キーを使用する必要がある	Azure Data Explorer クラスターでカスタマー マネージド キーを使用した保存時の暗号化を有効にすると、保存時の暗号化で使用されるキーをさらに制御できるようになります。 この機能は、多くの場合、特別なコンプライアンス要件を持つ顧客に適用でき、キーの管理に Key Vault を必要とします。	Audit、Deny、Disabled	1.0.0
Azure データ ファクトリは、カスタマー マネージド キーを使用して暗号化する必要がある	カスタマー マネージド キーを使用して、Azure データ ファクトリの保存時の暗号化を管理します。 既定では、顧客データはサービス マネージド キーを使用して暗号化されますが、規制コンプライアンス標準を満たすには、一般にカスタマー マネージド キーが必要です。 カスタマー マネージド キーを使用すると、自分が作成して所有する Azure Key Vault キーを使用してデータを暗号化できます。 ローテーションや管理など、キーのライフサイクルを完全に制御し、責任を負うことになります。 詳細については、https://aka.ms/adf-cmk をご覧ください。	Audit、Deny、Disabled	1.0.1
Azure Edge Hardware Center デバイスで二重暗号化サポートを有効にする必要がある	Azure Edge Hardware Center からオーダーされたデバイスで、二重暗号化サポートが有効になっていることを確認し、デバイスの保存データを保護します。 このオプションは、第 2 のデータ暗号化レイヤーを追加するものです。	Audit、Deny、Disabled	2.0.0
Azure HDInsight クラスターでは、カスタマー マネージド キーを使用して保存データを暗号化する必要がある	カスタマー マネージド キーを使用して、Azure HDInsight クラスターの保存時の暗号化を管理します。 既定では、顧客データはサービス マネージド キーを使用して暗号化されますが、規制コンプライアンス標準を満たすには、一般にカスタマー マネージド キーが必要です。 カスタマー マネージド キーを使用すると、自分が作成して所有する Azure Key Vault キーを使用してデータを暗号化できます。 ローテーションや管理など、キーのライフサイクルを完全に制御し、責任を負うことになります。 詳細については、https://aka.ms/hdi.cmk をご覧ください。	Audit、Deny、Disabled	1.0.1
Azure HDInsight クラスターでは、ホストでの暗号化を使用して保存データを暗号化する必要がある	ホストでの暗号化を有効にすると、データを保護して、組織のセキュリティとコンプライアンスのコミットメントを満たすことができます。 ホストでの暗号化を有効にすると、VM ホスト上の格納データは、保存時に暗号化され、暗号化された状態でストレージ サービスに送られます。	Audit、Deny、Disabled	1.0.0
Azure Machine Learning ワークスペースは、カスタマー マネージド キーを使用して暗号化する必要がある	カスタマー マネージド キーを使用して、Azure Machine Learning ワークスペース データの保存時の暗号化を管理します。 既定では、顧客データはサービス マネージド キーを使用して暗号化されますが、規制コンプライアンス標準を満たすには、一般にカスタマー マネージド キーが必要です。 カスタマー マネージド キーを使用すると、自分が作成して所有する Azure Key Vault キーを使用してデータを暗号化できます。 ローテーションや管理など、キーのライフサイクルを完全に制御し、責任を負うことになります。 詳細については、https://aka.ms/azureml-workspaces-cmk をご覧ください。	Audit、Deny、Disabled	1.0.3
Azure Monitor ログ クラスターはインフラストラクチャ暗号化を有効にして作成する必要がある (二重暗号化)	2 種類の暗号化アルゴリズムと 2 種類のキーを使用を使用して、サービス レベルおよびインフラストラクチャ レベルでデータ暗号化の安全を確保するには、Azure Monitor 専用クラスターを使用します。 このオプションは、リージョンでサポートされていれば既定で有効になります。https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys#customer-managed-key-overview を参照してください。	audit、Audit、deny、Deny、disabled、Disabled	1.1.0
Azure Monitor ログ クラスターは、カスタマー マネージド キーを使用して暗号化する必要がある	Azure Monitor ログ クラスターは、カスタマー マネージド キー暗号化を使用して作成します。 既定では、ログ データはサービス マネージド キーを使用して暗号化されますが、規制コンプライアンスを満たすには、一般にカスタマー マネージド キーが必要です。 Azure Monitor にカスタマー マネージド キーを使用することで、データへのアクセスをより細かく制御することができます。https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys を参照してください。	audit、Audit、deny、Deny、disabled、Disabled	1.1.0
Azure Stream Analytics ジョブでは、データの暗号化にカスタマー マネージド キーを使用する必要がある	ストレージ アカウントに Stream Analytics ジョブのメタデータとプライベート データ資産を安全に格納したい場合は、カスタマー マネージド キーを使用します。 これで、Stream Analytics データが暗号化される方法を完全に制御できるようになります。	audit、Audit、deny、Deny、disabled、Disabled	1.1.0
Azure Synapse ワークスペースでは保存データを暗号化するためにカスタマー マネージド キーを使用する必要がある	カスタマー マネージド キーは、Azure Synapse ワークスペースに格納されているデータの保存時の暗号化を制御するために使用されます。 カスタマー マネージド キーを使用すると、サービス マネージド キーによる既定の暗号化の上に 2 番目の暗号化レイヤーが追加されて、二重の暗号化が提供されます。	Audit、Deny、Disabled	1.0.0
Bot Service は、カスタマー マネージド キーを使用して暗号化する必要がある	Azure Bot Service は、リソースを自動的に暗号化してデータを保護し、組織のセキュリティとコンプライアンスのコミットメントを満たします。 既定では、Microsoft マネージド暗号化キーが使用されます。 キーの管理やサブスクリプションへのアクセスの制御の柔軟性を高めるには、カスタマー マネージド キーを選択します。これは、Bring Your Own Key (BYOK) とも呼ばれます。 Azure Bot Service 暗号化の詳細については、https://docs.microsoft.com/azure/bot-service/bot-service-encryption を参照してください。	audit、Audit、deny、Deny、disabled、Disabled	1.1.0
Azure Kubernetes Service クラスターのオペレーティング システムとデータ ディスクは両方とも、カスタマー マネージド キーで暗号化する必要がある	カスタマー マネージド キーを使用して OS とデータ ディスクを暗号化することで、キー管理をより細かく制御し、柔軟性を高めることができます。 これは、さまざまな規制や業界のコンプライアンス標準での一般的な要件です。	Audit、Deny、Disabled	1.0.1
Cognitive Services アカウントでカスタマー マネージド キーによるデータ暗号化を有効にする必要がある	規制コンプライアンス標準を満たすには、一般にカスタマー マネージド キーが必要です。 カスタマー マネージド キーを使用すると、自分が作成して所有する Azure Key Vault キーを使用して、Cognitive Services に格納されているデータを暗号化できます。 ローテーションや管理など、キーのライフサイクルを完全に制御し、責任を負うことになります。 カスタマー マネージド キーの詳細については、https://go.microsoft.com/fwlink/?linkid=2121321 をご覧ください。	Audit、Deny、Disabled	2.1.0
コンテナー レジストリは、カスタマー マネージド キーを使用して暗号化する必要がある	カスタマー マネージド キーを使用して、レジストリのコンテンツ保存時の暗号化を管理します。 既定では、データはサービス マネージド キーを使用して保存時に暗号化されますが、規制コンプライアンス標準を満たすには、一般にカスタマー マネージド キーが必要です。 カスタマー マネージド キーを使用すると、自分が作成して所有する Azure Key Vault キーを使用してデータを暗号化できます。 ローテーションや管理など、キーのライフサイクルを完全に制御し、責任を負うことになります。 詳細については、https://aka.ms/acr/CMK をご覧ください。	Audit、Deny、Disabled	1.1.2
Azure Data Explorer でディスク暗号化を有効にする必要がある	ディスク暗号化を有効にすると、データを保護して、組織のセキュリティとコンプライアンスのコミットメントを満たすことができます。	Audit、Deny、Disabled	2.0.0
Azure Data Explorer で二重暗号化を有効にする必要がある	二重暗号化を有効にすると、データを保護して、組織のセキュリティとコンプライアンスのコミットメントを満たすことができます。 二重暗号化が有効になっている場合、ストレージ アカウント内のデータは、2 つの異なる暗号化アルゴリズムと 2 つの異なるキーを使用して、2 回 (サービス レベルで 1 回、インフラストラクチャ レベルで 1 回) 暗号化されます。	Audit、Deny、Disabled	2.0.0
イベント ハブの名前空間では、暗号化のためにカスタマー マネージド キーを使用する必要がある	Azure Event Hubs では、Microsoft マネージド キー (既定) またはカスタマー マネージド キーのいずれかを使用した保存データの暗号化のオプションがサポートされています。 カスタマー マネージド キーを使用してデータを暗号化することを選択すると、名前空間内のデータを暗号化するためにイベント ハブで使用するキーへのアクセスを割り当て、ローテーション、無効化、および取り消すことができます。 イベント ハブでは、専用クラスター内の名前空間のカスタマー マネージド キーを使用した暗号化のみをサポートしていることに注意してください。	Audit、Disabled	1.0.0
HPC Cache アカウントでは、暗号化にカスタマー マネージド キーを使用する必要がある	カスタマー マネージド キーを使用して、Azure HPC Cache の保存時の暗号化を管理します。 既定では、顧客データはサービス マネージド キーを使用して暗号化されますが、規制コンプライアンス標準を満たすには、一般にカスタマー マネージド キーが必要です。 カスタマー マネージド キーを使用すると、自分が作成して所有する Azure Key Vault キーを使用してデータを暗号化できます。 ローテーションや管理など、キーのライフサイクルを完全に制御し、責任を負うことになります。	Audit, Disabled, Deny	2.0.0
Azure Database for MySQL サーバーでは、インフラストラクチャ暗号化を有効にする必要がある	Azure Database for MySQL のインフラストラクチャ暗号化を有効にして、データが安全であるというより高いレベルの保証を確保します。 インフラストラクチャ暗号化が有効になっている場合、保存データは、FIPS 140-2 準拠の Microsoft マネージド キーを使用して 2 回暗号化されます。	Audit、Deny、Disabled	1.0.0
Azure Database for PostgreSQL サーバーでは、インフラストラクチャ暗号化を有効にする必要がある	Azure Database for PostgreSQL のインフラストラクチャ暗号化を有効にして、データが安全であるというより高いレベルの保証を確保します。 インフラストラクチャ暗号化が有効になっている場合、保存データは、FIPS 140-2 準拠の Microsoft マネージド キーを使用して 2 回暗号化されます	Audit、Deny、Disabled	1.0.0
Logic Apps 統合サービス環境は、カスタマー マネージド キーを使用して暗号化する必要がある	統合サービス環境にデプロイし、カスタマー マネージド キーを使用して Logic Apps データの保存時の暗号化を管理します。 既定では、顧客データはサービス マネージド キーを使用して暗号化されますが、規制コンプライアンス標準を満たすには、一般にカスタマー マネージド キーが必要です。 カスタマー マネージド キーを使用すると、自分が作成して所有する Azure Key Vault キーを使用してデータを暗号化できます。 ローテーションや管理など、キーのライフサイクルを完全に制御し、責任を負うことになります。	Audit、Deny、Disabled	1.0.0
マネージド ディスクはプラットフォーム マネージドおよびカスタマー マネージド キーの両方を使用して二重暗号化する必要がある	セキュリティに対する要件が高く、特定の暗号化アルゴリズム、実装、または侵害されたキーに関連するリスクを懸念しているお客様は、プラットフォーム マネージド暗号化キーを使用してインフラストラクチャ レイヤーに異なる暗号化アルゴリズムまたはモードを使用することにより、暗号化の追加レイヤーを設けることを選ぶことができます。 二重暗号化を使用するには、ディスク暗号化セットが必要です。 詳細については、https://aka.ms/disks-doubleEncryption をご覧ください。	Audit、Deny、Disabled	1.0.0
MySQL サーバーでは保存データを暗号化するためにカスタマー マネージド キーを使用する必要がある	カスタマー マネージド キーを使用して、MySQL サーバーの保存時の暗号化を管理します。 既定では、データはサービス マネージド キーを使用して保存時に暗号化されますが、規制コンプライアンス標準を満たすには、一般にカスタマー マネージド キーが必要です。 カスタマー マネージド キーを使用すると、自分が作成して所有する Azure Key Vault キーを使用してデータを暗号化できます。 ローテーションや管理など、キーのライフサイクルを完全に制御し、責任を負うことになります。	AuditIfNotExists、Disabled	1.0.4
OS およびデータ ディスクはカスタマー マネージド キーで暗号化する必要がある	カスタマー マネージド キーを使用して、マネージド ディスクのコンテンツ保存時の暗号化を管理します。 既定では、データはプラットフォーム マネージド キーを使用して保存時に暗号化されますが、規制コンプライアンス標準を満たすには、一般にカスタマー マネージド キーが必要です。 カスタマー マネージド キーを使用すると、自分が作成して所有する Azure Key Vault キーを使用してデータを暗号化できます。 ローテーションや管理など、キーのライフサイクルを完全に制御し、責任を負うことになります。 詳細については、https://aka.ms/disks-cmk をご覧ください。	Audit、Deny、Disabled	3.0.0
PostgreSQL サーバーでは保存データを暗号化するためにカスタマー マネージド キーを使用する必要がある	カスタマー マネージド キーを使用して、PostgreSQL サーバーの保存時の暗号化を管理します。 既定では、データはサービス マネージド キーを使用して保存時に暗号化されますが、規制コンプライアンス標準を満たすには、一般にカスタマー マネージド キーが必要です。 カスタマー マネージド キーを使用すると、自分が作成して所有する Azure Key Vault キーを使用してデータを暗号化できます。 ローテーションや管理など、キーのライフサイクルを完全に制御し、責任を負うことになります。	AuditIfNotExists、Disabled	1.0.4
Azure Monitor 内の保存されたクエリはログ暗号化のためにカスタマー ストレージ アカウントに保存する必要があります	保存済みのクエリをストレージ アカウントの暗号化によって保護するには、Log Analytics ワークスペースにストレージ アカウントをリンクします。 一般に、規制コンプライアンスを満たすと共に、Azure Monitor の保存済みのクエリに対するアクセスをより細かく制御するためには、カスタマー マネージド キーが必要です。 上記の点について詳しくは、https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys?tabs=portal#customer-managed-key-for-saved-queries を参照してください。	audit、Audit、deny、Deny、disabled、Disabled	1.1.0
Service Bus Premium の名前空間では、暗号化のためにカスタマー マネージド キーを使用する必要がある	Azure Service Bus では、Microsoft マネージド キー (既定) またはカスタマー マネージド キーのいずれかを使用した保存データの暗号化のオプションがサポートされています。 カスタマー マネージド キーを使用してデータを暗号化することを選択すると、名前空間内のデータを暗号化するために Service Bus で使用するキーへのアクセスを割り当て、ローテーション、無効化、および取り消すことができます。 Service Bus では、Premium 名前空間のカスタマー マネージド キーを使用した暗号化のみをサポートしていることに注意してください。	Audit、Disabled	1.0.0
SQL マネージド インスタンスでは保存データを暗号化するためにカスタマー マネージド キーを使用する必要がある	独自キーを使用して Transparent Data Encryption (TDE) を実装すると、TDE 保護機能の透明性および制御が強化され、HSM で保護された外部サービスによるセキュリティが向上し、職務の分離が促進されます。 この推奨事項は、関連するコンプライアンス要件を持つ組織に適用されます。	Audit、Deny、Disabled	2.0.0
SQL サーバーでは保存データを暗号化するためにカスタマー マネージド キーを使用する必要がある	独自キーを使用して Transparent Data Encryption (TDE) を実装すると、TDE 保護機能の透明性および制御が強化され、HSM で保護された外部サービスによるセキュリティが向上し、職務の分離が促進されます。 この推奨事項は、関連するコンプライアンス要件を持つ組織に適用されます。	Audit、Deny、Disabled	2.0.1
ストレージ アカウントの暗号化スコープでは保存データを暗号化するためにカスタマー マネージド キーを使用する必要がある	ストレージ アカウントの暗号化スコープの保存データを管理するには、カスタマー マネージド キーを使用します。 カスタマー マネージド キーを使用すると、自分で作成して所有する Azure Key Vault キーを使用してデータを暗号化できます。 ローテーションや管理など、キーのライフサイクルを完全に制御し、責任を負うことになります。 ストレージ アカウントの暗号化スコープの詳細については、https://aka.ms/encryption-scopes-overview を参照してください。	Audit、Deny、Disabled	1.0.0
ストレージ アカウントはインフラストラクチャ暗号化を行う必要がある	インフラストラクチャ暗号化を有効にして、データが安全であることをより高いレベルで保証します。 インフラストラクチャ暗号化が有効な場合、ストレージ アカウントのデータは 2 回暗号化されます。	Audit、Deny、Disabled	1.0.0
ストレージ アカウントでは、暗号化にカスタマー マネージド キーを使用する必要がある	カスタマー マネージド キーを使用して、より柔軟に BLOB とファイル ストレージ アカウントをセキュリティで保護します。 カスタマー マネージド キーを指定すると、データを暗号化するキーへのアクセスを保護および制御するために、そのキーが使用されます。 カスタマー マネージド キーを使用すると、キー暗号化キーのローテーションを制御したり、データを暗号的に消去したりするための追加機能が提供されます。	Audit、Disabled	1.0.3
Azure Kubernetes Service クラスターのエージェント ノード プールのための一時ディスクおよびキャッシュは、ホストで暗号化する必要がある	データ セキュリティを強化するために、Azure Kubernetes Service ノード仮想マシン (VM) の VM ホストに格納されているデータは、保存時に暗号化する必要があります。 これは、さまざまな規制や業界のコンプライアンス標準での一般的な要件です。	Audit、Deny、Disabled	1.0.1
Transparent Data Encryption を SQL データベース上で有効にする必要がある	保存データを保護し、コンプライアンス要件を満たすには、Transparent Data Encryption を有効にする必要があります	AuditIfNotExists、Disabled	2.0.0
仮想マシンおよび仮想マシン スケール セットでは、ホストでの暗号化が有効になっている必要がある	ホストで暗号化を使用して、仮想マシンと仮想マシン スケール セットのデータのためのエンドツーエンドの暗号化を取得します。 ホストでの暗号化を使用すると、一時ディスクと OS およびデータ ディスクのキャッシュの保存時の暗号化が有効になります。 ホストでの暗号化が有効になっている場合、一時およびエフェメラル OS ディスクはプラットフォーム マネージド キーを使用して暗号化されます。 OS とデータ ディスクのキャッシュは、ディスクで選択された暗号化の種類に応じて、カスタマー マネージドまたはプラットフォーム マネージド キーのいずれかを使用して保存時に暗号化されます。 詳細については、https://aka.ms/vm-hbe をご覧ください。	Audit、Deny、Disabled	1.0.0
コンピューティングとストレージのリソース間で一時ディスク、キャッシュ、データ フローを仮想マシンによって暗号化する必要がある	既定では、仮想マシンの OS とデータのディスクは、保存時にプラットフォーム マネージド キーを使用して暗号化されます。 一時ディスク、データ キャッシュ、およびコンピューティングとストレージの間を流れているデータは暗号化されません。 次のような場合は、この推奨事項を無視してください。1. ホストでの暗号化を使用している場合。または 2. マネージド ディスクでのサーバー側暗号化がセキュリティ要件を満たしている場合。 Azure Disk Storage のサーバー側暗号化の詳細は、https://aka.ms/disksse、さまざまなディスク暗号化オファリングhttps://aka.ms/diskencryptioncomparisonを参照してください。	AuditIfNotExists、Disabled	2.0.3

U.07.1 データの分離 - 分離

データの永続的な分離は、マルチテナント アーキテクチャです。 パッチは制御された方法で実現されます。

ID: NL BIO Cloud Theme U.07.1 所有権: Microsoft

名前 (Azure portal)	説明	効果	Version (GitHub)
[プレビュー]: ストレージ アカウントのパブリック アクセスを禁止する必要がある	Azure Storage 内のコンテナーと BLOB への匿名パブリック読み取りアクセスは、データを共有するための便利な方法ですが、セキュリティ上のリスクが生じる場合があります。 好ましくない匿名アクセスによるデータ侵害を防ぐために、Microsoft では、シナリオで必要でない限り、ストレージ アカウントへのパブリック アクセスを禁止することをお勧めします。	audit、Audit、deny、Deny、disabled、Disabled	3.1.0-preview
仮想マシンに関連付けられたネットワーク セキュリティ グループでは、すべてのネットワーク ポートを制限する必要がある	Azure Security Center により、お使いのネットワーク セキュリティ グループの一部の受信規則について制限が少なすぎると判断されました。 受信規則では、"Any" または "Internet" の範囲からのアクセスを許可しないでください。 これにより、攻撃者がお使いのリソースをターゲットにできる可能性があります。	AuditIfNotExists、Disabled	3.0.0
API Management サービスには仮想ネットワークが使用されている必要がある	Azure Virtual Network のデプロイにより、セキュリティが強化され、分離が行われ、インターネット ルーティングできないネットワークに API Management サービスを配置して、アクセスを制御できます。 これらのネットワークは、さまざまな VPN テクノロジを使用してオンプレミス ネットワークに接続できます。これにより、ネットワークやオンプレミス内のバックエンド サービスにアクセスできるようになります。 開発者ポータルと API ゲートウェイは、インターネットから、または仮想ネットワーク内でのみアクセスできるように構成可能です。	Audit、Deny、Disabled	1.0.2
App Configuration ではプライベート リンクを使用する必要がある	Azure Private Link を使用すると、接続元または接続先にパブリック IP アドレスを使用せずに、仮想ネットワークを Azure サービスに接続できます。 プライベート リンク プラットフォームでは、Azure のバックボーン ネットワークを介してコンシューマーとサービスの間の接続が処理されます。 サービス全体ではなく、アプリ構成インスタンスにプライベート エンドポイントをマッピングすることで、データ漏えいのリスクからも保護されます。 詳細については、https://aka.ms/appconfig/private-endpoint を参照してください。	AuditIfNotExists、Disabled	1.0.2
Kubernetes Services では、許可する IP の範囲を定義する必要があります	Kubernetes Service Management API へのアクセスは、特定の範囲の IP にのみ API アクセスに許可して制限する必要があります。 許可されたネットワークのアプリケーションのみがクラスターにアクセスできるよう、許可する IP 範囲にアクセスを制限することをお勧めします。	Audit、Disabled	2.0.1
Azure AI Services リソースでネットワーク アクセスを制限する必要がある	ネットワーク アクセスを制限すると、許可されたネットワークのみがサービスにアクセスできるようになります。 これを実現するには、許可されたネットワークからのアプリケーションのみが Azure AI サービスにアクセスできるようにネットワーク規則を構成します。	Audit、Deny、Disabled	3.2.0
Azure API for FHIR ではプライベート リンクを使用する必要がある	Azure API for FHIR には、承認されたプライベート エンドポイント接続が少なくとも 1 つ必要です。 仮想ネットワーク内のクライアントは、プライベート リンク経由でのプライベート エンドポイント接続があるリソースに安全にアクセスできます。 詳細については、https://aka.ms/fhir-privatelink を参照してください。	Audit、Disabled	1.0.0
Azure Cache for Redis でプライベート リンクを使用する必要がある	プライベート エンドポイントを使用すると、接続元または接続先にパブリック IP アドレスを使用せずに、仮想ネットワークを Azure サービスに接続できます。 Azure Cache for Redis インスタンスにプライベート エンドポイントをマッピングすることで、データ漏えいのリスクが削減されます。 詳細については、https://docs.microsoft.com/azure/azure-cache-for-redis/cache-private-link を参照してください。	AuditIfNotExists、Disabled	1.0.0
Azure Cognitive Search サービスでは、プライベート リンクをサポートする SKU を使用する必要がある	Azure Cognitive Search 用のサポートされる SKU を使用すると、Azure Private Link により、接続元または接続先にパブリック IP アドレスを使用せずに、仮想ネットワークを Azure サービスに接続できます。 プライベート リンク プラットフォームでは、Azure のバックボーン ネットワークを介してコンシューマーとサービスの間の接続が処理されます。 Search サービスにプライベート エンドポイントをマッピングすると、データ漏えいのリスクが削減されます。 詳細については、https://aka.ms/azure-cognitive-search/inbound-private-endpoints を参照してください。	Audit、Deny、Disabled	1.0.0
Azure Cognitive Search サービスではパブリック ネットワーク アクセスを無効にする必要がある	パブリック ネットワーク アクセスを無効にすると、パブリック インターネットに Azure Cognitive Search サービスが確実に露出されなくなるのでセキュリティが向上します。 プライベート エンドポイントを作成すると、Search サービスの露出を制限できます。 詳細については、https://aka.ms/azure-cognitive-search/inbound-private-endpoints を参照してください。	Audit、Deny、Disabled	1.0.0
Azure Cognitive Search サービスはプライベート リンクを使用する必要がある	Azure Private Link を使用すると、接続元または接続先にパブリック IP アドレスを使用せずに、仮想ネットワークを Azure サービスに接続できます。 Private Link プラットフォームでは、Azure のバックボーン ネットワークを介してコンシューマーとサービスの間の接続が処理されます。 プライベート エンドポイントを Azure Cognitive Search にマッピングすると、データ漏えいのリスクが軽減されます。 プライベート リンクの詳細については、https://aka.ms/azure-cognitive-search/inbound-private-endpoints を参照してください。	Audit、Disabled	1.0.0
Azure Cosmos DB のアカウントにはファイアウォール規則を含める必要がある	承認されていないソースからのトラフィックを防ぐために、Azure Cosmos DB アカウントに対してファイアウォール規則を定義する必要があります。 仮想ネットワーク フィルターを有効にして定義されている IP 規則が少なくとも 1 つあるアカウントは、準拠していると見なされます。 パブリック アクセスを無効にしているアカウントも、準拠していると見なされます。	Audit、Deny、Disabled	2.0.0
Azure Cosmos DB で公衆ネットワーク アクセスを無効にする必要がある	公衆ネットワーク アクセスを無効にすると、パブリック インターネットに CosmosDB アカウントが確実に露出されなくなるのでセキュリティが向上します。 プライベート エンドポイントを作成すると、CosmosDB アカウントの露出を制限できます。 詳細については、https://docs.microsoft.com/azure/cosmos-db/how-to-configure-private-endpoints#blocking-public-network-access-during-account-creation を参照してください。	Audit、Deny、Disabled	1.0.0
Azure Data Factory にはプライベート リンクを使用する必要がある	Azure Private Link を使用すると、接続元または接続先にパブリック IP アドレスを使用せずに、仮想ネットワークを Azure サービスに接続できます。 Private Link プラットフォームでは、Azure のバックボーン ネットワークを介してコンシューマーとサービスの間の接続が処理されます。 プライベート エンドポイントを Azure Data Factory にマッピングすることにより、データ漏えいのリスクが軽減されます。 プライベート リンクの詳細については、https://docs.microsoft.com/azure/data-factory/data-factory-private-link を参照してください。	AuditIfNotExists、Disabled	1.0.0
Azure Databricks クラスターはパブリック IP を無効にする必要がある	Azure Databricks ワークスペースでクラスターのパブリック IP を無効にすると、クラスターがパブリック インターネットで公開されないことを保証できるので、セキュリティが向上します。 詳細については、https://learn.microsoft.com/azure/databricks/security/secure-cluster-connectivity を参照してください。	Audit、Deny、Disabled	1.0.1
Azure Databricks ワークスペースは仮想ネットワーク内に存在する必要があります	Azure Virtual Network は、Azure Databricks ワークスペースに強化されたセキュリティと分離を提供することに加えて、サブネットやアクセス制御ポリシーなどのアクセスを詳細に制限するための機能も提供しています。 詳細については、https://docs.microsoft.com/azure/databricks/administration-guide/cloud-configurations/azure/vnet-inject を参照してください。	Audit、Deny、Disabled	1.0.2
Azure Databricks ワークスペースではパブリック ネットワーク アクセスを無効にする必要があります	公衆ネットワーク アクセスを無効にすれば、パブリック インターネットにリソースが露出されないのでセキュリティが向上します。 リソースの公開は、その代わりにプライベート エンドポイントを作成することで制御できます。 詳細については、https://learn.microsoft.com/azure/databricks/administration-guide/cloud-configurations/azure/private-link を参照してください。	Audit、Deny、Disabled	1.0.1
Azure Databricks ワークスペースではプライベート リンクを使用する必要があります	Azure Private Link を使用すると、接続元または接続先にパブリック IP アドレスを使用せずに、仮想ネットワークを Azure サービスに接続できます。 Private Link プラットフォームでは、Azure のバックボーン ネットワークを介してコンシューマーとサービスの間の接続が処理されます。 Azure Databricks ワークスペースにプライベート エンドポイントをマッピングすることで、データ漏洩のリスクを軽減できます。 プライベート リンクの詳細については、https://aka.ms/adbpe を参照してください。	Audit、Disabled	1.0.2
Azure Event Grid ドメインではプライベート リンクを使用する必要がある	Azure Private Link を使用すると、接続元または接続先にパブリック IP アドレスを使用せずに、仮想ネットワークを Azure サービスに接続できます。 Private Link プラットフォームでは、Azure のバックボーン ネットワークを介してコンシューマーとサービスの間の接続が処理されます。 サービス全体ではなく、Event Grid ドメインにプライベート エンドポイントをマッピングすることで、データ漏えいのリスクからも保護されます。 詳細については、https://aka.ms/privateendpoints を参照してください。	Audit、Disabled	1.0.2
Azure Event Grid トピックではプライベート リンクを使用する必要がある	Azure Private Link を使用すると、接続元または接続先にパブリック IP アドレスを使用せずに、仮想ネットワークを Azure サービスに接続できます。 Private Link プラットフォームでは、Azure のバックボーン ネットワークを介してコンシューマーとサービスの間の接続が処理されます。 サービス全体ではなく、Event Grid トピックにプライベート エンドポイントをマッピングすることで、データ漏えいのリスクからも保護されます。 詳細については、https://aka.ms/privateendpoints を参照してください。	Audit、Disabled	1.0.2
Azure File Sync ではプライベート リンクを使用する必要がある	指定されたストレージ同期サービス リソースに対してプライベート エンドポイントを作成すると、インターネット アクセス可能なパブリック エンドポイントを使用せずに、組織のネットワークのプライベート IP アドレス空間内からストレージ同期サービスのリソースをアドレス指定できます。 プライベート エンドポイントを作成するだけでは、パブリック エンドポイントは無効になりません。	AuditIfNotExists、Disabled	1.0.0
Azure Front Door プロファイルでは、マネージド WAF ルールとプライベート リンクをサポートする Premium レベルを使用する必要がある	Azure Front Door Premium では、Azure マネージド WAF ルールと、サポートされている Azure 配信元へのプライベート リンクがサポートされています。	Audit、Deny、Disabled	1.0.0
Azure Key Vault でファイアウォールを有効にする必要がある	Key Vault ファイアウォールを有効にして、既定でパブリック IP から Key Vault にアクセスできないようにします。 必要に応じて、特定の IP 範囲を構成して、これらのネットワークへのアクセスを制限できます。 詳細については、https://docs.microsoft.com/azure/key-vault/general/network-security を参照してください	Audit、Deny、Disabled	3.2.1
Azure Key vault でプライベート リンクを使用する必要がある	Azure Private Link を使用すると、接続元または接続先にパブリック IP アドレスを使用せずに、仮想ネットワークを Azure サービスに接続できます。 Private Link プラットフォームでは、Azure のバックボーン ネットワークを介してコンシューマーとサービスの間の接続が処理されます。 プライベート エンドポイントをキー コンテナーにマッピングすることにより、データ漏えいのリスクを軽減することができます。 プライベート リンクの詳細については、https://aka.ms/akvprivatelink を参照してください。	[parameters('audit_effect')]	1.2.1
Azure Machine Learning コンピューティングは仮想ネットワーク内に存在する必要がある	Azure Virtual Network は、Azure Machine Learning コンピューティングのクラスターおよびインスタンスに強化されたセキュリティと分離を提供することに加えて、サブネットやアクセス制御ポリシーなどのアクセスを詳細に制限するための機能も提供しています。 コンピューティングが仮想ネットワークで構成されていると、パブリックなアドレス指定ができなくなり、仮想ネットワーク内の仮想マシンとアプリケーションからのみアクセスできるようになります。	Audit、Disabled	1.0.1
Azure Machine Learning ワークスペースで公衆ネットワーク アクセスを無効にする必要がある	公衆ネットワーク アクセスを無効にすると、Machine Learning ワークスペースがパブリック インターネットに公開されないようになり、セキュリティが向上します。 ワークスペースの公開は、その代わりにプライベート エンドポイントを作成することで制御できます。 詳細情報: https://learn.microsoft.com/azure/machine-learning/how-to-configure-private-link?view=azureml-api-2&tabs=azure-portal。	Audit、Deny、Disabled	2.0.1
Azure Machine Learning ワークスペースではプライベート リンクを使用する必要がある	Azure Private Link を使用すると、接続元または接続先にパブリック IP アドレスを使用せずに、仮想ネットワークを Azure サービスに接続できます。 Private Link プラットフォームでは、Azure のバックボーン ネットワークを介してコンシューマーとサービスの間の接続が処理されます。 プライベート エンドポイントを Azure Machine Learning ワークスペースにマッピングすると、データ漏えいのリスクが軽減されます。 プライベート リンクの詳細については、https://docs.microsoft.com/azure/machine-learning/how-to-configure-private-link を参照してください。	Audit、Disabled	1.0.0
Azure Service Bus 名前空間でプライベート リンクを使用する必要がある	Azure Private Link を使用すると、接続元または接続先にパブリック IP アドレスを使用せずに、仮想ネットワークを Azure サービスに接続できます。 Private Link プラットフォームでは、Azure のバックボーン ネットワークを介してコンシューマーとサービスの間の接続が処理されます。 プライベート エンドポイントを Service Bus 名前空間にマッピングすることにより、データ漏えいのリスクが軽減されます。 詳細については、https://docs.microsoft.com/azure/service-bus-messaging/private-link-service を参照してください。	AuditIfNotExists、Disabled	1.0.0
Azure SignalR Service ではプライベート リンクを使用する必要がある	Azure Private Link を使用すると、接続元または接続先にパブリック IP アドレスを使用せずに、仮想ネットワークを Azure サービスに接続できます。 プライベート リンク プラットフォームでは、Azure のバックボーン ネットワークを介してコンシューマーとサービスの間の接続が処理されます。 サービス全体ではなく、Azure SignalR Service リソースにプライベート エンドポイントをマッピングすることで、データ漏えいのリスクが減ります。 プライベート リンクの詳細については、https://aka.ms/asrs/privatelink を参照してください。	Audit、Disabled	1.0.0
Azure SQL Managed Instance でパブリック ネットワーク アクセスを無効にする必要がある	仮想ネットワーク内またはプライベート エンドポイント経由からのみアクセスできるようにして、Azure SQL Managed Instance でパブリック ネットワーク アクセス (パブリック エンドポイント) を無効にすると、セキュリティが向上します。 パブリック ネットワーク アクセスについて詳しくは、https://aka.ms/mi-public-endpoint をご覧ください。	Audit、Deny、Disabled	1.0.0
Azure Synapse ワークスペースではプライベート リンクを使用する必要がある	Azure Private Link を使用すると、接続元または接続先にパブリック IP アドレスを使用せずに、仮想ネットワークを Azure サービスに接続できます。 Private Link プラットフォームでは、Azure のバックボーン ネットワークを介してコンシューマーとサービスの間の接続が処理されます。 プライベート エンドポイントを Azure Synapse ワークスペースにマッピングすることにより、データ漏えいのリスクが軽減されます。 プライベート リンクの詳細については、https://docs.microsoft.com/azure/synapse-analytics/security/how-to-connect-to-workspace-with-private-links を参照してください。	Audit、Disabled	1.0.1
Azure Front Door エントリ ポイントに対して Azure Web Application Firewall を有効にする必要がある	受信トラフィックをさらに検査するために、公開されている Web アプリケーションの前に Azure Web Application Firewall (WAF) をデプロイします。 Web Application Firewall (WAF) を使用すると、SQL インジェクション、クロスサイト スクリプティング、ローカルおよびリモートのファイル実行などの一般的な悪用や脆弱性から Web アプリケーションが一元的に保護されます。 また、カスタム ルールを使用して、国、IP アドレス範囲、およびその他の HTTP(S) パラメーターによって Web アプリケーションへのアクセスを制限することもできます。	Audit、Deny、Disabled	1.0.2
Azure Web PubSub サービスではプライベート リンクを使用する必要がある	Azure Private Link を使用すると、接続元または接続先にパブリック IP アドレスを使用せずに、仮想ネットワークを Azure サービスに接続できます。 プライベート リンク プラットフォームでは、Azure のバックボーン ネットワークを介してコンシューマーとサービスの間の接続が処理されます。 プライベート エンドポイントを Azure Web PubSub サービスにマッピングすると、データ漏えいのリスクを軽減できます。 プライベート リンクの詳細については、https://aka.ms/awps/privatelink を参照してください。	Audit、Disabled	1.0.0
Cognitive Services アカウントでパブリック ネットワーク アクセスを無効にする必要がある	Cognitive Services アカウントのセキュリティを強化するには、パブリック インターネットに公開されないようにして、プライベート エンドポイントからのみアクセスできるようにします。 https://go.microsoft.com/fwlink/?linkid=2129800 の説明に従って、公衆ネットワーク アクセス プロパティを無効にします。 このオプションにより、Azure IP 範囲外のパブリック アドレス空間からのアクセスが無効になり、IP または仮想ネットワークベースのファイアウォール規則に一致するすべてのログインが拒否されます。 これにより、データ漏洩のリスクが軽減されます。	Audit、Deny、Disabled	3.0.1
Cognitive Services ではプライベート リンクを使用する必要がある	Azure Private Link を使用すると、接続元または接続先にパブリック IP アドレスを使用せずに、仮想ネットワークを Azure サービスに接続できます。 Private Link プラットフォームでは、Azure のバックボーン ネットワークを介してコンシューマーとサービスの間の接続が処理されます。 プライベート エンドポイントを Cognitive Services にマッピングすることにより、データ漏えいの可能性を減らすことができます。 プライベート リンクの詳細については、https://go.microsoft.com/fwlink/?linkid=2129800 を参照してください。	Audit、Disabled	3.0.0
コンテナー レジストリでは無制限のネットワーク アクセスを許可しない	既定では、Azure コンテナー レジストリは、任意のネットワーク上のホストからのインターネット経由の接続を受け入れます。 潜在的な脅威からレジストリを保護するには、特定のプライベート エンドポイント、パブリック IP アドレス、またはアドレス範囲のみからのアクセスを許可します。 レジストリにネットワーク規則が構成されていない場合は、異常なリソースとして表示されます。 Container Registry ネットワーク規則の詳細については、https://aka.ms/acr/privatelink、https://aka.ms/acr/portal/public-network、および https://aka.ms/acr/vnet を参照してください。	Audit、Deny、Disabled	2.0.0
コンテナー レジストリではプライベート リンクを使用する必要がある	Azure Private Link を使用すると、接続元または接続先にパブリック IP アドレスを使用せずに、仮想ネットワークを Azure サービスに接続できます。 プライベート リンク プラットフォームでは、Azure バックボーン ネットワークを介してコンシューマーとサービスの間の接続が処理されます。サービス全体ではなく、コンテナー レジストリにプライベート エンドポイントをマッピングすることで、データ漏洩のリスクからも保護されます。 詳細については、https://aka.ms/acr/private-link を参照してください。	Audit、Disabled	1.0.1
CosmosDB アカウントでプライベート リンクを使用する必要がある	Azure Private Link を使用すると、接続元または接続先にパブリック IP アドレスを使用せずに、仮想ネットワークを Azure サービスに接続できます。 Private Link プラットフォームでは、Azure のバックボーン ネットワークを介してコンシューマーとサービスの間の接続が処理されます。 CosmosDB アカウントにプライベート エンドポイントをマッピングすることで、データ漏えいのリスクが軽減されます。 プライベート リンクの詳細については、https://docs.microsoft.com/azure/cosmos-db/how-to-configure-private-endpoints を参照してください。	Audit、Disabled	1.0.0
ディスク アクセス リソースにはプライベート リンクを使用する必要がある	Azure Private Link を使用すると、接続元または接続先にパブリック IP アドレスを使用せずに、仮想ネットワークを Azure サービスに接続できます。 Private Link プラットフォームでは、Azure のバックボーン ネットワークを介してコンシューマーとサービスの間の接続が処理されます。 プライベート エンドポイントをディスク アクセスにマッピングすることにより、データ漏えいのリスクが軽減されます。 プライベート リンクの詳細については、https://aka.ms/disksprivatelinksdoc を参照してください。	AuditIfNotExists、Disabled	1.0.0
イベント ハブ名前空間でプライベート リンクを使用する必要がある	Azure Private Link を使用すると、接続元または接続先にパブリック IP アドレスを使用せずに、仮想ネットワークを Azure サービスに接続できます。 Private Link プラットフォームでは、Azure のバックボーン ネットワークを介してコンシューマーとサービスの間の接続が処理されます。 プライベート エンドポイントをイベント ハブ名前空間にマッピングすることにより、データ漏えいのリスクが軽減されます。 詳細については、https://docs.microsoft.com/azure/event-hubs/private-link-service を参照してください。	AuditIfNotExists、Disabled	1.0.0
インターネットに接続する仮想マシンは、ネットワーク セキュリティ グループを使用して保護する必要がある	ネットワーク セキュリティ グループ (NSG) を使用してアクセスを制限することにより、潜在的な脅威から仮想マシンを保護します。 NSG を使用してトラフィックを制御する方法の詳細については、https://aka.ms/nsg-doc を参照してください。	AuditIfNotExists、Disabled	3.0.0
IoT Hub Device Provisioning Service インスタンスでプライベート リンクを使用する必要がある	Azure Private Link を使用すると、接続元または接続先にパブリック IP アドレスを使用せずに、仮想ネットワークを Azure サービスに接続できます。 Private Link プラットフォームでは、Azure のバックボーン ネットワークを介してコンシューマーとサービスの間の接続が処理されます。 プライベート エンドポイントを IoT Hub Device Provisioning Service にマッピングすることにより、データ漏えいのリスクが軽減されます。 プライベート リンクの詳細については、https://aka.ms/iotdpsvnet を参照してください。	Audit、Disabled	1.0.0
仮想マシン上の IP 転送を無効にする必要がある	仮想マシンの NIC で IP 転送を有効にすると、そのマシンはその他の宛先へのトラフィックを受信できます。 IP 転送が必要な状況は (VM をネットワーク仮想アプライアンスとして使用する場合などに) 限られているため、ネットワーク セキュリティ チームはこのことを確認する必要があります。	AuditIfNotExists、Disabled	3.0.0
仮想マシンの管理ポートは、Just-In-Time ネットワーク アクセス制御によって保護されている必要があります	可能なネットワークのジャスト イン タイム (JIT) アクセスが、推奨設定として Azure Security Center で監視されます	AuditIfNotExists、Disabled	3.0.0
仮想マシンの管理ポートを閉じておく必要がある	リモート管理ポートが開かれているため、お使いの VM がインターネットベースの攻撃を受ける高レベルのリスクにさらされています。 これらの攻撃では、資格情報に対するブルート フォース攻撃を行ってマシンへの管理者アクセス権の取得を試みます。	AuditIfNotExists、Disabled	3.0.0
インターネットに接続されていない仮想マシンをネットワーク セキュリティ グループで保護する必要がある	ネットワーク セキュリティ グループ (NSG) を使用してアクセスを制限することにより、インターネットに接続されていない仮想マシンを潜在的な脅威から保護します。 NSG を使用してトラフィックを制御する方法の詳細については、https://aka.ms/nsg-doc を参照してください。	AuditIfNotExists、Disabled	3.0.0
Azure SQL Database のプライベート エンドポイント接続を有効にする必要がある	プライベート エンドポイント接続は、Azure SQL Database へのプライベート接続を有効にすることで、通信のセキュリティを強化します。	Audit、Disabled	1.1.0
Azure SQL Database のパブリック ネットワーク アクセスを無効にする必要がある	パブリック ネットワーク アクセス プロパティを無効にすると、Azure SQL Database へのアクセスがプライベート エンドポイントのみに制限されるため、セキュリティが強化されます。 この構成により、IP または仮想ネットワーク ベースのファイアウォール規則に一致するすべてのログインが拒否されます。	Audit、Deny、Disabled	1.1.0
MariaDB サーバーでは、公衆ネットワーク アクセスを無効にする必要がある	パブリック ネットワーク アクセス プロパティを無効にして、セキュリティを強化し、プライベート エンドポイントからのみ Azure Database for MariaDB にアクセスできるようにします。 この構成は、Azure IP 範囲外のパブリック アドレス空間からのアクセスを厳密に無効にし、IP または仮想ネットワークベースのファイアウォール規則に一致するすべてのログインを拒否します。	Audit、Deny、Disabled	2.0.0
MySQL サーバーでは、公衆ネットワーク アクセスを無効にする必要がある	パブリック ネットワーク アクセス プロパティを無効にして、セキュリティを強化し、プライベート エンドポイントからのみ Azure Database for MySQL にアクセスできるようにします。 この構成は、Azure IP 範囲外のパブリック アドレス空間からのアクセスを厳密に無効にし、IP または仮想ネットワークベースのファイアウォール規則に一致するすべてのログインを拒否します。	Audit、Deny、Disabled	2.0.0
PostgreSQL サーバーでは、公衆ネットワーク アクセスを無効にする必要がある	パブリック ネットワーク アクセス プロパティを無効にしてセキュリティを強化し、プライベート エンドポイントからのみ Azure Database for PostgreSQL にアクセスできるようにします。 この構成では、Azure IP 範囲外のパブリック アドレス空間からのアクセスが無効になり、IP または仮想ネットワークベースのファイアウォール規則に一致するすべてのログインが拒否されます。	Audit、Deny、Disabled	2.0.1
ストレージ アカウントではネットワーク アクセスを制限する必要があります	ストレージ アカウントに対するネットワーク アクセスは、制限する必要があります。 許可されているネットワークのアプリケーションのみがストレージ アカウントにアクセスできるように、ネットワーク ルールを構成します。 インターネットまたはオンプレミスの特定のクライアントからの接続を許可するために、特定の Azure 仮想ネットワークからのトラフィックまたはパブリック インターネット IP アドレス範囲に対してアクセスを許可することができます。	Audit、Deny、Disabled	1.1.1
ストレージ アカウントは、仮想ネットワーク ルールを使用してネットワーク アクセスを制限する必要がある	IP ベースのフィルター処理の代わりに、推奨される方法として仮想ネットワーク規則を使用して、ストレージ アカウントを潜在的な脅威から保護します。 IP ベースのフィルター処理を無効にすると、パブリック IP がストレージ アカウントにアクセスできなくなります。	Audit、Deny、Disabled	1.0.1
ストレージ アカウントではプライベート リンクを使用する必要がある	Azure Private Link を使用すると、接続元または接続先にパブリック IP アドレスを使用せずに、仮想ネットワークを Azure サービスに接続できます。 Private Link プラットフォームでは、Azure のバックボーン ネットワークを介してコンシューマーとサービスの間の接続が処理されます。 ストレージ アカウントにプライベート エンドポイントをマッピングすることで、データ漏えいのリスクが削減されます。 プライベート リンクの詳細については、https://aka.ms/azureprivatelinkoverview を参照してください。	AuditIfNotExists、Disabled	2.0.0
サブネットは、ネットワーク セキュリティ グループに関連付けられている必要があります	ネットワーク セキュリティ グループ (NSG) を使用してお使いのサブネットへのアクセスを制限することで、潜在的な脅威からサブネットを保護します。 NSG には、お使いのサブネットに対するネットワーク トラフィックを許可または拒否する一連のアクセス制御リスト (ACL) ルールが含まれています。	AuditIfNotExists、Disabled	3.0.0
VM Image Builder テンプレートでは、プライベート リンクを使用する必要がある	Azure Private Link を使用すると、接続元または接続先にパブリック IP アドレスを使用せずに、仮想ネットワークを Azure サービスに接続できます。 Private Link プラットフォームでは、Azure のバックボーン ネットワークを介してコンシューマーとサービスの間の接続が処理されます。 VM Image Builder の構築リソースにプライベート エンドポイントをマッピングすることで、データ漏えいのリスクが軽減されます。 プライベート リンクの詳細については、https://docs.microsoft.com/azure/virtual-machines/linux/image-builder-networking#deploy-using-an-existing-vnet を参照してください。	Audit, Disabled, Deny	1.1.0
Application Gateway に対して Web アプリケーション ファイアウォール (WAF) を有効にする必要がある	受信トラフィックをさらに検査するために、公開されている Web アプリケーションの前に Azure Web Application Firewall (WAF) をデプロイします。 Web Application Firewall (WAF) を使用すると、SQL インジェクション、クロスサイト スクリプティング、ローカルおよびリモートのファイル実行などの一般的な悪用や脆弱性から Web アプリケーションが一元的に保護されます。 また、カスタム ルールを使用して、国、IP アドレス範囲、およびその他の HTTP(S) パラメーターによって Web アプリケーションへのアクセスを制限することもできます。	Audit、Deny、Disabled	2.0.0

U.07.3 データの分離 - 管理機能

U.07.3 - CSC データおよび/または暗号化キーを表示または変更する権限は、制御された方法で付与され、使用はログに記録されます。

ID: NL BIO クラウド テーマ U.07.3 所有権: 共有

名前 (Azure portal)	説明	効果	Version (GitHub)
サブスクリプションには最大 3 人の所有者を指定する必要がある	セキュリティ侵害を受けたサブスクリプション所有者が侵害を引き起こす可能性を下げるため、指定する所有者は最大 3 人までにすることをお勧めします。	AuditIfNotExists、Disabled	3.0.0
SQL Server に対して Azure Active Directory 管理者をプロビジョニングする必要がある	Azure AD 認証を可能にする SQL サーバー向けの Azure Active Directory 管理者のプロビジョニングを監査します。 Azure AD 認証を使用して、アクセス許可の管理を簡単にし、データベース ユーザーとその他の Microsoft サービスの ID を一元管理できます	AuditIfNotExists、Disabled	1.0.0
App Service アプリではマネージド ID を使用する必要がある	マネージド ID を使用して認証セキュリティを強化します	AuditIfNotExists、Disabled	3.0.0
App Service Environment では内部暗号化を有効にする必要がある	InternalEncryption を true に設定すると、App Service Environment のフロント エンドと worker の間で、ページファイル、worker ディスク、内部ネットワーク トラフィックが暗号化されます。 詳細については、https://docs.microsoft.com/azure/app-service/environment/app-service-app-service-environment-custom-settings#enable-internal-encryption を参照してください。	Audit、Disabled	1.0.1
カスタム RBAC ロールの使用状況を監査する	エラーが発生しやすいカスタム RBAC ロールの代わりに、所有者、共同作成者、閲覧者などの組み込みロールを監査します。 カスタム ロールの使用は例外として扱われ、厳格なレビューと脅威のモデル化が必要になります	Audit、Disabled	1.0.1
Automation アカウント変数は、暗号化する必要がある	機密データを格納するときには、Automation アカウント変数資産の暗号化を有効にすることが重要です	Audit、Deny、Disabled	1.1.0
Azure AI Services リソースのキー アクセスが無効になっている必要があります (ローカル認証を無効にする)	セキュリティのため、キー アクセス (ローカル認証) を無効にしておくことをお勧めします。 開発/テストで通常使用される Azure OpenAI Studio にはキー アクセスが必要であり、キー アクセスが無効になっている場合は機能しません。 無効にすると、Microsoft Entra ID が唯一のアクセス方法になるため、最小特権の原則と詳細な制御を維持できます。 詳細については、https://aka.ms/AI/auth を参照してください	Audit、Deny、Disabled	1.1.0
Kubernetes Services では Azure ロールベースのアクセス制御 (RBAC) を使用する必要がある	ユーザーが実行できるアクションに関して詳細なフィルター処理を行うために、Azure ロールベースのアクセス制御 (RBAC) を使用して、Kubernetes Service クラスター内のアクセス許可を管理し、関連する承認ポリシーを構成します。	Audit、Disabled	1.0.3
Azure リソースに対する所有者アクセス許可を持つブロックされたアカウントを削除する必要があります。	所有者としてのアクセス許可を持つ非推奨のアカウントは、サブスクリプションから削除する必要があります。 非推奨のアカウントは、サインインがブロックされているアカウントです。	AuditIfNotExists、Disabled	1.0.0
Azure リソースに対する読み取りおよび書き込みアクセス許可を持つブロックされたアカウントを削除する必要があります。	非推奨のアカウントは、サブスクリプションから削除する必要があります。 非推奨のアカウントは、サインインがブロックされているアカウントです。	AuditIfNotExists、Disabled	1.0.0
関数アプリではマネージド ID を使用する必要がある	マネージド ID を使用して認証セキュリティを強化します	AuditIfNotExists、Disabled	3.0.0
Azure リソースに対する所有者アクセス許可を持つゲスト アカウントを削除する必要があります。	監視されていないアクセスを防止するために、所有者アクセス許可を持つ外部アカウントは、サブスクリプションから削除する必要があります。	AuditIfNotExists、Disabled	1.0.0
Azure リソースに対する読み取りアクセス許可を持つゲスト アカウントを削除する必要があります。	監視されていないアクセスを防止するために、読み取り権限がある外部アカウントは、サブスクリプションから削除する必要があります。	AuditIfNotExists、Disabled	1.0.0
Azure リソースに対する書き込みアクセス許可を持つゲスト アカウントを削除する必要があります。	監視されていないアクセスを防止するために、書き込み権限がある外部アカウントは、サブスクリプションから削除する必要があります。	AuditIfNotExists、Disabled	1.0.0
Service Fabric クラスターでは、ClusterProtectionLevel プロパティを EncryptAndSign に設定する必要がある	Service Fabric では、プライマリ クラスターの証明書を使用して、ノード間通信に 3 つのレベルの保護 (None、Sign、EncryptAndSign) が提供されます。 すべてのノード間メッセージが暗号化され、デジタル署名されるように保護レベルを設定します	Audit、Deny、Disabled	1.1.0
Service Fabric クラスターでは、クライアント認証に Azure Active Directory のみを使用する必要がある	Service Fabric で Azure Active Directory によるクライアント認証のみを使用していることを監査します	Audit、Deny、Disabled	1.1.0
ストレージ アカウントでは、共有キーのアクセスを禁止する必要がある	ストレージ アカウントの要求を承認するための Azure Active Directory (Azure AD) の監査要件。 既定では、Azure Active Directory の資格情報、または共有キーによる承認用のアカウント アクセス キーを使用して、要求を承認することができます。 これら 2 種類の承認では、Azure AD の方がセキュリティが優れ、共有キーより使いやすいので、Microsoft ではそちらをお勧めします。	Audit、Deny、Disabled	2.0.0
Transparent Data Encryption を SQL データベース上で有効にする必要がある	保存データを保護し、コンプライアンス要件を満たすには、Transparent Data Encryption を有効にする必要があります	AuditIfNotExists、Disabled	2.0.0
VPN ゲートウェイでは、ポイント対サイト ユーザーに対して Azure Active Directory (Azure AD) 認証のみを使用する必要がある	ローカル認証方法を無効にすると、VPN ゲートウェイで Azure Active Directory ID のみが認証に利用されることになり、セキュリティが向上します。 Azure AD 認証の詳細は https://docs.microsoft.com/azure/vpn-gateway/openvpn-azure-ad-tenant で確認してください	Audit、Deny、Disabled	1.0.0

U.09.3 マルウェア対策 - 検出、防止、回復

マルウェア保護は、さまざまな環境で実行されます。

ID: NL BIO クラウド テーマ U.09.3 所有権: 共有

名前 (Azure portal)	説明	効果	Version (GitHub)
[プレビュー]: Azure Arc 対応 Kubernetes クラスターには、Microsoft Defender for Cloud 拡張機能がインストールされている必要がある	Azure Arc の Microsoft Defender for Cloud 拡張機能により、Arc 対応 Kubernetes クラスターの脅威保護が提供されます。 拡張機能は、クラスター内のすべてのノードからデータを収集し、そのデータを、詳しく分析するためにクラウド内の Azure Defender for Kubernetes バックエンドに送信します。 詳細については、「https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-enable?pivots=defender-for-container-arc」を参照してください。	AuditIfNotExists、Disabled	6.0.0-preview
脆弱性評価ソリューションを仮想マシンで有効にする必要がある	仮想マシンを監査して、サポートされている脆弱性評価ソリューションを実行しているかどうかを検出します。 すべてのサイバーリスクとセキュリティプログラムの中核となるコンポーネントは、脆弱性の特定と分析です。 Azure Security Center の標準価格帯には、追加費用なしで仮想マシン脆弱性スキャンをする機能が含まれています。 また、Security Center では、このツールを自動的にデプロイできます。	AuditIfNotExists、Disabled	3.0.0
Azure DDoS Protection を有効にする必要があります	パブリック IP を持つアプリケーション ゲートウェイの一部であるサブネットを含むすべての仮想ネットワークに対して DDoS Protection を有効にする必要があります。	AuditIfNotExists、Disabled	3.0.1
Azure Defender for App Service を有効にする必要がある	Azure Defender for App Service は、Azure がクラウド プロバイダーとして提供するクラウドの規模と可視性を活用して、Web アプリへの一般的な攻撃を監視します。	AuditIfNotExists、Disabled	1.0.3
Azure Defender for Azure SQL Database サーバーを有効にする必要がある	Azure Defender for SQL により、潜在的なデータベースの脆弱性を明示および軽減するための機能が提供され、SQL データベースへの脅威を示す可能性のある異常なアクティビティが検出され、機密データの検出と分類が行われます。	AuditIfNotExists、Disabled	1.0.2
Azure Defender for Key Vault を有効にする必要がある	Azure Defender for Key Vault では、キー コンテナー アカウントにアクセスしたりそれを悪用したりする、異常で害を及ぼす可能性のある試行を検出することにより、追加の保護レイヤーとセキュリティ インテリジェンスが提供されます。	AuditIfNotExists、Disabled	1.0.3
Azure Defender for Resource Manager を有効にする必要がある	Azure Defender for Resource Manager では、組織内尾のリソース管理操作を自動的に監視します。 Azure Defender では、脅威を検出し、疑わしいアクティビティについて警告します。 Azure Defender for Resource Manager の機能に関する詳細については、https://aka.ms/defender-for-resource-manager を参照してください。 この Azure Defender プランを有効にすると、料金が発生します。 リージョンごとの料金の詳細については、Security Center の価格に関するページを参照してください: https://aka.ms/pricing-security-center。	AuditIfNotExists、Disabled	1.0.0
サーバー用 Azure Defender を有効にする必要がある	サーバー用 Azure Defender では、サーバーのワークロードに対するリアルタイムの脅威の防止が提供され、セキュリティ強化の推奨事項と、不審なアクティビティに関するアラートが生成されます。	AuditIfNotExists、Disabled	1.0.3
Azure Defender for SQL servers on machines を有効にする必要がある	Azure Defender for SQL により、潜在的なデータベースの脆弱性を明示および軽減するための機能が提供され、SQL データベースへの脅威を示す可能性のある異常なアクティビティが検出され、機密データの検出と分類が行われます。	AuditIfNotExists、Disabled	1.0.2
保護されていない Azure SQL サーバーに対して Azure Defender for SQL を有効にする必要がある	Advanced Data Security を使用していない SQL サーバーの監査	AuditIfNotExists、Disabled	2.0.1
保護されていない SQL Managed Instance に対して Azure Defender for SQL を有効にする必要がある	Advanced Data Security を使用していない各 SQL Managed Instance を監査します。	AuditIfNotExists、Disabled	1.0.2
Azure Front Door エントリ ポイントに対して Azure Web Application Firewall を有効にする必要がある	受信トラフィックをさらに検査するために、公開されている Web アプリケーションの前に Azure Web Application Firewall (WAF) をデプロイします。 Web Application Firewall (WAF) を使用すると、SQL インジェクション、クロスサイト スクリプティング、ローカルおよびリモートのファイル実行などの一般的な悪用や脆弱性から Web アプリケーションが一元的に保護されます。 また、カスタム ルールを使用して、国、IP アドレス範囲、およびその他の HTTP(S) パラメーターによって Web アプリケーションへのアクセスを制限することもできます。	Audit、Deny、Disabled	1.0.2
エンドポイント保護ソリューションを仮想マシン スケール セットにインストールする必要がある	脅威と脆弱性から保護するため、お使いの仮想マシン スケール セットでのエンドポイント保護ソリューションの存在と正常性を監査します。	AuditIfNotExists、Disabled	3.0.0
関数アプリでは、最新の 'HTTP バージョン' を使用する必要がある	セキュリティ上の欠陥のため、または追加機能を組み込むために、HTTP の新しいバージョンが定期的にリリースされます。 新しいバージョンのセキュリティ修正プログラム (存在する場合) や新機能を利用するために、最新の HTTP バージョンを Web アプリに使用します。	AuditIfNotExists、Disabled	4.0.0
仮想マシン上の IP 転送を無効にする必要がある	仮想マシンの NIC で IP 転送を有効にすると、そのマシンはその他の宛先へのトラフィックを受信できます。 IP 転送が必要な状況は (VM をネットワーク仮想アプライアンスとして使用する場合などに) 限られているため、ネットワーク セキュリティ チームはこのことを確認する必要があります。	AuditIfNotExists、Disabled	3.0.0
Kubernetes Service を脆弱性のない Kubernetes バージョンにアップグレードする必要がある	現在の Kubernetes バージョンの既知の脆弱性から保護するため、Kubernetes Service クラスターを新しい Kubernetes バージョンにアップグレードしてください。 脆弱性 CVE-2019-9946 は、Kubernetes バージョン 1.11.9 以上、1.12.7 以上、1.13.5 以上、および 1.14.0 以上でパッチが適用されています	Audit、Disabled	1.0.2
Microsoft Defender for Containers を有効にする必要がある	Microsoft Defender for Containers では、Azure、ハイブリッド、マルチクラウド Kubernetes 環境に対する強化、脆弱性評価、ランタイム保護を提供します。	AuditIfNotExists、Disabled	1.0.0
Microsoft Defender for Storageを有効にする必要があります	Microsoft Defender for Storage では、お使いのストレージ アカウントに対する潜在的脅威が検出されます。 これは、データおよびワークロードに対する 3 つの大きな影響、すなわち、悪意のあるファイルのアップロード、機密データの流出、データの破損を防ぐのに役立ちます。 新しい Defender for Storage プランには、マルウェア スキャンと機密データの脅威検出機能が含まれています。 このプランはまた、(ストレージ アカウントごとの) 価格構造が予想しやすくなっており、カバレッジとコストを制御できます。	AuditIfNotExists、Disabled	1.0.0
Endpoint Protection の不足を Azure Security Center で監視する	Endpoint Protection エージェントがインストールされていないサーバーが、推奨設定として Azure Security Center で監視されます	AuditIfNotExists、Disabled	3.0.0
仮想マシン スケール セットにシステムの更新プログラムをインストールする必要がある	お使いの Windows と Linux の仮想マシン スケール セットが確実にセキュリティで保護されるようにするため、インストールする必要のあるシステムのセキュリティ更新プログラムおよび重要な更新プログラムが不足していないかどうかを監査します。	AuditIfNotExists、Disabled	3.0.0
システム更新プログラムをマシンにインストールする必要がある	使用中のサーバーにおけるセキュリティ関連のシステム更新プログラムの不足が、推奨設定として Azure Security Center で監視されます	AuditIfNotExists、Disabled	4.0.0
使用しているマシンでセキュリティ構成の脆弱性を修復する必要がある	構成ベースラインを満たしていないサーバーが、推奨設定として Azure Security Center で監視されます	AuditIfNotExists、Disabled	3.1.0
仮想マシン スケール セットのセキュリティ構成の脆弱性を修復する必要がある	攻撃から保護するため、お使いの仮想マシン スケール セットの OS 脆弱性を監査します。	AuditIfNotExists、Disabled	3.0.0
SQL Managed Instance で脆弱性評価を有効にする必要がある	定期的な脆弱性評価スキャンが有効になっていない各 SQL Managed Instance を監査します。 脆弱性評価は、潜在的なデータベースの脆弱性を検出、追跡、および修正するのに役立ちます。	AuditIfNotExists、Disabled	1.0.1
脆弱性評価を SQL サーバー上で有効にする必要がある	脆弱性評価が適切に構成されていない Azure SQL サーバーを監査します。 脆弱性評価は、潜在的なデータベースの脆弱性を検出、追跡、および修正するのに役立ちます。	AuditIfNotExists、Disabled	3.0.0
Application Gateway に対して Web アプリケーション ファイアウォール (WAF) を有効にする必要がある	受信トラフィックをさらに検査するために、公開されている Web アプリケーションの前に Azure Web Application Firewall (WAF) をデプロイします。 Web Application Firewall (WAF) を使用すると、SQL インジェクション、クロスサイト スクリプティング、ローカルおよびリモートのファイル実行などの一般的な悪用や脆弱性から Web アプリケーションが一元的に保護されます。 また、カスタム ルールを使用して、国、IP アドレス範囲、およびその他の HTTP(S) パラメーターによって Web アプリケーションへのアクセスを制限することもできます。	Audit、Deny、Disabled	2.0.0
マシンで Windows Defender Exploit Guard を有効にする必要がある	Windows Defender Exploit Guard では、Azure Policy ゲスト構成エージェントを使用します。 Exploit Guard には、さまざまな攻撃ベクトルに対してデバイスをロックダウンし、マルウェア攻撃でよく使用される動作をブロックするよう設計された 4 つのコンポーネントがありますが、企業がセキュリティ リスクと生産性の要件のバランスをとれるようになっています (Windows のみ)。	AuditIfNotExists、Disabled	2.0.0

U.10.2 IT サービスとデータへのアクセス - ユーザー

CSP の責任の下、アクセス権が管理者に付与されます。

ID: NL BIO クラウド テーマ U.10.2 所有権: 共有

名前 (Azure portal)	説明	効果	Version (GitHub)
サブスクリプションには最大 3 人の所有者を指定する必要がある	セキュリティ侵害を受けたサブスクリプション所有者が侵害を引き起こす可能性を下げるため、指定する所有者は最大 3 人までにすることをお勧めします。	AuditIfNotExists、Disabled	3.0.0
Azure リソースに対する所有者アクセス許可を持つアカウントで MFA を有効にする必要があります。	アカウントまたはリソースに対する侵害を防止するために、所有者としてのアクセス許可を持つすべてのサブスクリプション アカウントで多要素認証 (MFA) を有効にする必要があります。	AuditIfNotExists、Disabled	1.0.0
Azure リソースに対する読み取りアクセス許可を持つアカウントで MFA を有効にする必要があります。	アカウントまたはリソースの侵害を防止するために、読み取り権限を持つすべてのサブスクリプション アカウントで多要素認証 (MFA) を有効にする必要があります。	AuditIfNotExists、Disabled	1.0.0
Azure リソースに対する書き込みアクセス許可を持つアカウントで MFA を有効にする必要があります。	アカウントまたはリソースに対する侵害を防止するために、書き込み権限を持つすべてのサブスクリプション アカウントに対して 多要素認証 (MFA) を有効にする必要があります。	AuditIfNotExists、Disabled	1.0.0
SQL Server に対して Azure Active Directory 管理者をプロビジョニングする必要がある	Azure AD 認証を可能にする SQL サーバー向けの Azure Active Directory 管理者のプロビジョニングを監査します。 Azure AD 認証を使用して、アクセス許可の管理を簡単にし、データベース ユーザーとその他の Microsoft サービスの ID を一元管理できます	AuditIfNotExists、Disabled	1.0.0
App Service アプリではマネージド ID を使用する必要がある	マネージド ID を使用して認証セキュリティを強化します	AuditIfNotExists、Disabled	3.0.0
パスワードなしのアカウントからのリモート接続が許可されている Linux マシンを監査する	前提条件がポリシーの割り当てスコープにデプロイされていることが要求されます。 詳細については、 https://aka.ms/gcpol を参照してください。 パスワードなしのアカウントからのリモート接続が許可されている Linux マシンは非準拠となります	AuditIfNotExists、Disabled	3.1.0
パスワードなしのアカウントが存在する Linux マシンを監査する	前提条件がポリシーの割り当てスコープにデプロイされていることが要求されます。 詳細については、 https://aka.ms/gcpol を参照してください。 パスワードなしのアカウントがある Linux マシンは非準拠となります。	AuditIfNotExists、Disabled	3.1.0
カスタム RBAC ロールの使用状況を監査する	エラーが発生しやすいカスタム RBAC ロールの代わりに、所有者、共同作成者、閲覧者などの組み込みロールを監査します。 カスタム ロールの使用は例外として扱われ、厳格なレビューと脅威のモデル化が必要になります	Audit、Disabled	1.0.1
Managed Disks を使用していない VM の監査	このポリシーは、マネージド ディスクを使用していない VM を監査します	監査	1.0.0
Azure AI Services リソースのキー アクセスが無効になっている必要があります (ローカル認証を無効にする)	セキュリティのため、キー アクセス (ローカル認証) を無効にしておくことをお勧めします。 開発/テストで通常使用される Azure OpenAI Studio にはキー アクセスが必要であり、キー アクセスが無効になっている場合は機能しません。 無効にすると、Microsoft Entra ID が唯一のアクセス方法になるため、最小特権の原則と詳細な制御を維持できます。 詳細については、https://aka.ms/AI/auth を参照してください	Audit、Deny、Disabled	1.1.0
Azure Machine Learning コンピューティングでローカル認証方法を無効にする必要がある	ローカル認証方法を無効にすると、Machine Learning コンピューティングで認証専用の Azure Active Directory ID が必要になり、セキュリティが向上します。 詳細については、https://aka.ms/azure-ml-aad-policy を参照してください。	Audit、Deny、Disabled	2.1.0
Kubernetes Services では Azure ロールベースのアクセス制御 (RBAC) を使用する必要がある	ユーザーが実行できるアクションに関して詳細なフィルター処理を行うために、Azure ロールベースのアクセス制御 (RBAC) を使用して、Kubernetes Service クラスター内のアクセス許可を管理し、関連する承認ポリシーを構成します。	Audit、Disabled	1.0.3
Azure リソースに対する所有者アクセス許可を持つブロックされたアカウントを削除する必要があります。	所有者としてのアクセス許可を持つ非推奨のアカウントは、サブスクリプションから削除する必要があります。 非推奨のアカウントは、サインインがブロックされているアカウントです。	AuditIfNotExists、Disabled	1.0.0
Azure リソースに対する読み取りおよび書き込みアクセス許可を持つブロックされたアカウントを削除する必要があります。	非推奨のアカウントは、サブスクリプションから削除する必要があります。 非推奨のアカウントは、サインインがブロックされているアカウントです。	AuditIfNotExists、Disabled	1.0.0
関数アプリではマネージド ID を使用する必要がある	マネージド ID を使用して認証セキュリティを強化します	AuditIfNotExists、Disabled	3.0.0
Azure リソースに対する所有者アクセス許可を持つゲスト アカウントを削除する必要があります。	監視されていないアクセスを防止するために、所有者アクセス許可を持つ外部アカウントは、サブスクリプションから削除する必要があります。	AuditIfNotExists、Disabled	1.0.0
Azure リソースに対する読み取りアクセス許可を持つゲスト アカウントを削除する必要があります。	監視されていないアクセスを防止するために、読み取り権限がある外部アカウントは、サブスクリプションから削除する必要があります。	AuditIfNotExists、Disabled	1.0.0
Azure リソースに対する書き込みアクセス許可を持つゲスト アカウントを削除する必要があります。	監視されていないアクセスを防止するために、書き込み権限がある外部アカウントは、サブスクリプションから削除する必要があります。	AuditIfNotExists、Disabled	1.0.0
Service Fabric クラスターでは、クライアント認証に Azure Active Directory のみを使用する必要がある	Service Fabric で Azure Active Directory によるクライアント認証のみを使用していることを監査します	Audit、Deny、Disabled	1.1.0
ストレージ アカウントを新しい Azure Resource Manager リソースに移行する必要がある	新しい Azure Resource Manager をお使いのストレージ アカウントに使用して、セキュリティの拡張機能を提供します。たとえば、アクセス制御の強化 (RBAC)、監査の改善、Azure Resource Manager ベースのデプロイとガバナンス、マネージド ID へのアクセス、シークレット取得のための Key Vault へのアクセス、Azure AD ベースの認証、セキュリティ管理を容易にするタグとリソース グループのサポートがあります	Audit、Deny、Disabled	1.0.0
ストレージ アカウントでは、共有キーのアクセスを禁止する必要がある	ストレージ アカウントの要求を承認するための Azure Active Directory (Azure AD) の監査要件。 既定では、Azure Active Directory の資格情報、または共有キーによる承認用のアカウント アクセス キーを使用して、要求を承認することができます。 これら 2 種類の承認では、Azure AD の方がセキュリティが優れ、共有キーより使いやすいので、Microsoft ではそちらをお勧めします。	Audit、Deny、Disabled	2.0.0
複数の所有者がサブスクリプションに割り当てられている必要がある	管理者アクセスの冗長性を確保するため、複数のサブスクリプション所有者を指定することをお勧めします。	AuditIfNotExists、Disabled	3.0.0
仮想マシンを新しい Azure Resource Manager リソースに移行する必要がある	ご使用の仮想マシンに新しい Azure Resource Manager を使用して、セキュリティを強化します。これには、アクセス制御の強化 (RBAC)、監査の改善、Azure Resource Manager ベースのデプロイとガバナンス、マネージド ID へのアクセス、シークレット取得のためのキー コンテナーへのアクセス、Azure AD に基づく認証、セキュリティ管理を容易にするタグとリソース グループのサポートなどがあります	Audit、Deny、Disabled	1.0.0
VPN ゲートウェイでは、ポイント対サイト ユーザーに対して Azure Active Directory (Azure AD) 認証のみを使用する必要がある	ローカル認証方法を無効にすると、VPN ゲートウェイで Azure Active Directory ID のみが認証に利用されることになり、セキュリティが向上します。 Azure AD 認証の詳細は https://docs.microsoft.com/azure/vpn-gateway/openvpn-azure-ad-tenant で確認してください	Audit、Deny、Disabled	1.0.0

U.10.3 IT サービスとデータへのアクセス - ユーザー

IT サービスとデータにアクセスできるのは、認証された機器を持つユーザーだけです。

ID: NL BIO クラウド テーマ U.10.3 所有権: 共有

名前 (Azure portal)	説明	効果	Version (GitHub)
サブスクリプションには最大 3 人の所有者を指定する必要がある	セキュリティ侵害を受けたサブスクリプション所有者が侵害を引き起こす可能性を下げるため、指定する所有者は最大 3 人までにすることをお勧めします。	AuditIfNotExists、Disabled	3.0.0
Azure リソースに対する所有者アクセス許可を持つアカウントで MFA を有効にする必要があります。	アカウントまたはリソースに対する侵害を防止するために、所有者としてのアクセス許可を持つすべてのサブスクリプション アカウントで多要素認証 (MFA) を有効にする必要があります。	AuditIfNotExists、Disabled	1.0.0
Azure リソースに対する読み取りアクセス許可を持つアカウントで MFA を有効にする必要があります。	アカウントまたはリソースの侵害を防止するために、読み取り権限を持つすべてのサブスクリプション アカウントで多要素認証 (MFA) を有効にする必要があります。	AuditIfNotExists、Disabled	1.0.0
Azure リソースに対する書き込みアクセス許可を持つアカウントで MFA を有効にする必要があります。	アカウントまたはリソースに対する侵害を防止するために、書き込み権限を持つすべてのサブスクリプション アカウントに対して 多要素認証 (MFA) を有効にする必要があります。	AuditIfNotExists、Disabled	1.0.0
SQL Server に対して Azure Active Directory 管理者をプロビジョニングする必要がある	Azure AD 認証を可能にする SQL サーバー向けの Azure Active Directory 管理者のプロビジョニングを監査します。 Azure AD 認証を使用して、アクセス許可の管理を簡単にし、データベース ユーザーとその他の Microsoft サービスの ID を一元管理できます	AuditIfNotExists、Disabled	1.0.0
App Service アプリでクライアント証明書 (受信クライアント証明書) を有効にする必要がある	クライアント証明書を使用すると、アプリは受信要求に対して証明書を要求できます。 有効な証明書を持つクライアントのみがアプリにアクセスできます。 このポリシーは、Http バージョンが 1.1 に設定されているアプリに適用されます。	AuditIfNotExists、Disabled	1.0.0
App Service アプリではマネージド ID を使用する必要がある	マネージド ID を使用して認証セキュリティを強化します	AuditIfNotExists、Disabled	3.0.0
パスワードなしのアカウントからのリモート接続が許可されている Linux マシンを監査する	前提条件がポリシーの割り当てスコープにデプロイされていることが要求されます。 詳細については、 https://aka.ms/gcpol を参照してください。 パスワードなしのアカウントからのリモート接続が許可されている Linux マシンは非準拠となります	AuditIfNotExists、Disabled	3.1.0
パスワードなしのアカウントが存在する Linux マシンを監査する	前提条件がポリシーの割り当てスコープにデプロイされていることが要求されます。 詳細については、 https://aka.ms/gcpol を参照してください。 パスワードなしのアカウントがある Linux マシンは非準拠となります。	AuditIfNotExists、Disabled	3.1.0
カスタム RBAC ロールの使用状況を監査する	エラーが発生しやすいカスタム RBAC ロールの代わりに、所有者、共同作成者、閲覧者などの組み込みロールを監査します。 カスタム ロールの使用は例外として扱われ、厳格なレビューと脅威のモデル化が必要になります	Audit、Disabled	1.0.1
Managed Disks を使用していない VM の監査	このポリシーは、マネージド ディスクを使用していない VM を監査します	監査	1.0.0
Azure AI Services リソースのキー アクセスが無効になっている必要があります (ローカル認証を無効にする)	セキュリティのため、キー アクセス (ローカル認証) を無効にしておくことをお勧めします。 開発/テストで通常使用される Azure OpenAI Studio にはキー アクセスが必要であり、キー アクセスが無効になっている場合は機能しません。 無効にすると、Microsoft Entra ID が唯一のアクセス方法になるため、最小特権の原則と詳細な制御を維持できます。 詳細については、https://aka.ms/AI/auth を参照してください	Audit、Deny、Disabled	1.1.0
Azure Machine Learning コンピューティングでローカル認証方法を無効にする必要がある	ローカル認証方法を無効にすると、Machine Learning コンピューティングで認証専用の Azure Active Directory ID が必要になり、セキュリティが向上します。 詳細については、https://aka.ms/azure-ml-aad-policy を参照してください。	Audit、Deny、Disabled	2.1.0
Kubernetes Services では Azure ロールベースのアクセス制御 (RBAC) を使用する必要がある	ユーザーが実行できるアクションに関して詳細なフィルター処理を行うために、Azure ロールベースのアクセス制御 (RBAC) を使用して、Kubernetes Service クラスター内のアクセス許可を管理し、関連する承認ポリシーを構成します。	Audit、Disabled	1.0.3
Azure リソースに対する所有者アクセス許可を持つブロックされたアカウントを削除する必要があります。	所有者としてのアクセス許可を持つ非推奨のアカウントは、サブスクリプションから削除する必要があります。 非推奨のアカウントは、サインインがブロックされているアカウントです。	AuditIfNotExists、Disabled	1.0.0
Azure リソースに対する読み取りおよび書き込みアクセス許可を持つブロックされたアカウントを削除する必要があります。	非推奨のアカウントは、サブスクリプションから削除する必要があります。 非推奨のアカウントは、サインインがブロックされているアカウントです。	AuditIfNotExists、Disabled	1.0.0
関数アプリではマネージド ID を使用する必要がある	マネージド ID を使用して認証セキュリティを強化します	AuditIfNotExists、Disabled	3.0.0
Azure リソースに対する所有者アクセス許可を持つゲスト アカウントを削除する必要があります。	監視されていないアクセスを防止するために、所有者アクセス許可を持つ外部アカウントは、サブスクリプションから削除する必要があります。	AuditIfNotExists、Disabled	1.0.0
Azure リソースに対する読み取りアクセス許可を持つゲスト アカウントを削除する必要があります。	監視されていないアクセスを防止するために、読み取り権限がある外部アカウントは、サブスクリプションから削除する必要があります。	AuditIfNotExists、Disabled	1.0.0
Azure リソースに対する書き込みアクセス許可を持つゲスト アカウントを削除する必要があります。	監視されていないアクセスを防止するために、書き込み権限がある外部アカウントは、サブスクリプションから削除する必要があります。	AuditIfNotExists、Disabled	1.0.0
Service Fabric クラスターでは、クライアント認証に Azure Active Directory のみを使用する必要がある	Service Fabric で Azure Active Directory によるクライアント認証のみを使用していることを監査します	Audit、Deny、Disabled	1.1.0
ストレージ アカウント ターゲットに対する SQL Server の監査データの保持期間を 90 日以上に構成する必要がある	インシデント調査を目的として、SQL Server の監査のストレージ アカウントの保持先のデータ保持を少なくとも 90 日に設定することをお勧めします。 運用しているリージョンで必要な保持期間の規則を満たしていることを確認します。 これは、規制標準に準拠するために必要になる場合があります。	AuditIfNotExists、Disabled	3.0.0
ストレージ アカウントを新しい Azure Resource Manager リソースに移行する必要がある	新しい Azure Resource Manager をお使いのストレージ アカウントに使用して、セキュリティの拡張機能を提供します。たとえば、アクセス制御の強化 (RBAC)、監査の改善、Azure Resource Manager ベースのデプロイとガバナンス、マネージド ID へのアクセス、シークレット取得のための Key Vault へのアクセス、Azure AD ベースの認証、セキュリティ管理を容易にするタグとリソース グループのサポートがあります	Audit、Deny、Disabled	1.0.0
ストレージ アカウントでは、共有キーのアクセスを禁止する必要がある	ストレージ アカウントの要求を承認するための Azure Active Directory (Azure AD) の監査要件。 既定では、Azure Active Directory の資格情報、または共有キーによる承認用のアカウント アクセス キーを使用して、要求を承認することができます。 これら 2 種類の承認では、Azure AD の方がセキュリティが優れ、共有キーより使いやすいので、Microsoft ではそちらをお勧めします。	Audit、Deny、Disabled	2.0.0
仮想マシンを新しい Azure Resource Manager リソースに移行する必要がある	ご使用の仮想マシンに新しい Azure Resource Manager を使用して、セキュリティを強化します。これには、アクセス制御の強化 (RBAC)、監査の改善、Azure Resource Manager ベースのデプロイとガバナンス、マネージド ID へのアクセス、シークレット取得のためのキー コンテナーへのアクセス、Azure AD に基づく認証、セキュリティ管理を容易にするタグとリソース グループのサポートなどがあります	Audit、Deny、Disabled	1.0.0
VPN ゲートウェイでは、ポイント対サイト ユーザーに対して Azure Active Directory (Azure AD) 認証のみを使用する必要がある	ローカル認証方法を無効にすると、VPN ゲートウェイで Azure Active Directory ID のみが認証に利用されることになり、セキュリティが向上します。 Azure AD 認証の詳細は https://docs.microsoft.com/azure/vpn-gateway/openvpn-azure-ad-tenant で確認してください	Audit、Deny、Disabled	1.0.0

U.10.5 IT サービスとデータへのアクセス - 適格

IT サービスとデータへのアクセスは技術的な手段によって制限され、実装されています。

ID: NL BIO クラウド テーマ U.10.5 所有権: 共有

名前 (Azure portal)	説明	効果	Version (GitHub)
サブスクリプションには最大 3 人の所有者を指定する必要がある	セキュリティ侵害を受けたサブスクリプション所有者が侵害を引き起こす可能性を下げるため、指定する所有者は最大 3 人までにすることをお勧めします。	AuditIfNotExists、Disabled	3.0.0
Azure リソースに対する所有者アクセス許可を持つアカウントで MFA を有効にする必要があります。	アカウントまたはリソースに対する侵害を防止するために、所有者としてのアクセス許可を持つすべてのサブスクリプション アカウントで多要素認証 (MFA) を有効にする必要があります。	AuditIfNotExists、Disabled	1.0.0
Azure リソースに対する読み取りアクセス許可を持つアカウントで MFA を有効にする必要があります。	アカウントまたはリソースの侵害を防止するために、読み取り権限を持つすべてのサブスクリプション アカウントで多要素認証 (MFA) を有効にする必要があります。	AuditIfNotExists、Disabled	1.0.0
Azure リソースに対する書き込みアクセス許可を持つアカウントで MFA を有効にする必要があります。	アカウントまたはリソースに対する侵害を防止するために、書き込み権限を持つすべてのサブスクリプション アカウントに対して 多要素認証 (MFA) を有効にする必要があります。	AuditIfNotExists、Disabled	1.0.0
SQL Server に対して Azure Active Directory 管理者をプロビジョニングする必要がある	Azure AD 認証を可能にする SQL サーバー向けの Azure Active Directory 管理者のプロビジョニングを監査します。 Azure AD 認証を使用して、アクセス許可の管理を簡単にし、データベース ユーザーとその他の Microsoft サービスの ID を一元管理できます	AuditIfNotExists、Disabled	1.0.0
App Service アプリではマネージド ID を使用する必要がある	マネージド ID を使用して認証セキュリティを強化します	AuditIfNotExists、Disabled	3.0.0
パスワードなしのアカウントからのリモート接続が許可されている Linux マシンを監査する	前提条件がポリシーの割り当てスコープにデプロイされていることが要求されます。 詳細については、 https://aka.ms/gcpol を参照してください。 パスワードなしのアカウントからのリモート接続が許可されている Linux マシンは非準拠となります	AuditIfNotExists、Disabled	3.1.0
パスワードなしのアカウントが存在する Linux マシンを監査する	前提条件がポリシーの割り当てスコープにデプロイされていることが要求されます。 詳細については、 https://aka.ms/gcpol を参照してください。 パスワードなしのアカウントがある Linux マシンは非準拠となります。	AuditIfNotExists、Disabled	3.1.0
カスタム RBAC ロールの使用状況を監査する	エラーが発生しやすいカスタム RBAC ロールの代わりに、所有者、共同作成者、閲覧者などの組み込みロールを監査します。 カスタム ロールの使用は例外として扱われ、厳格なレビューと脅威のモデル化が必要になります	Audit、Disabled	1.0.1
Managed Disks を使用していない VM の監査	このポリシーは、マネージド ディスクを使用していない VM を監査します	監査	1.0.0
Azure AI Services リソースのキー アクセスが無効になっている必要があります (ローカル認証を無効にする)	セキュリティのため、キー アクセス (ローカル認証) を無効にしておくことをお勧めします。 開発/テストで通常使用される Azure OpenAI Studio にはキー アクセスが必要であり、キー アクセスが無効になっている場合は機能しません。 無効にすると、Microsoft Entra ID が唯一のアクセス方法になるため、最小特権の原則と詳細な制御を維持できます。 詳細については、https://aka.ms/AI/auth を参照してください	Audit、Deny、Disabled	1.1.0
Azure Machine Learning コンピューティングでローカル認証方法を無効にする必要がある	ローカル認証方法を無効にすると、Machine Learning コンピューティングで認証専用の Azure Active Directory ID が必要になり、セキュリティが向上します。 詳細については、https://aka.ms/azure-ml-aad-policy を参照してください。	Audit、Deny、Disabled	2.1.0
Kubernetes Services では Azure ロールベースのアクセス制御 (RBAC) を使用する必要がある	ユーザーが実行できるアクションに関して詳細なフィルター処理を行うために、Azure ロールベースのアクセス制御 (RBAC) を使用して、Kubernetes Service クラスター内のアクセス許可を管理し、関連する承認ポリシーを構成します。	Audit、Disabled	1.0.3
Azure リソースに対する所有者アクセス許可を持つブロックされたアカウントを削除する必要があります。	所有者としてのアクセス許可を持つ非推奨のアカウントは、サブスクリプションから削除する必要があります。 非推奨のアカウントは、サインインがブロックされているアカウントです。	AuditIfNotExists、Disabled	1.0.0
Azure リソースに対する読み取りおよび書き込みアクセス許可を持つブロックされたアカウントを削除する必要があります。	非推奨のアカウントは、サブスクリプションから削除する必要があります。 非推奨のアカウントは、サインインがブロックされているアカウントです。	AuditIfNotExists、Disabled	1.0.0
関数アプリではマネージド ID を使用する必要がある	マネージド ID を使用して認証セキュリティを強化します	AuditIfNotExists、Disabled	3.0.0
Azure リソースに対する所有者アクセス許可を持つゲスト アカウントを削除する必要があります。	監視されていないアクセスを防止するために、所有者アクセス許可を持つ外部アカウントは、サブスクリプションから削除する必要があります。	AuditIfNotExists、Disabled	1.0.0
Azure リソースに対する読み取りアクセス許可を持つゲスト アカウントを削除する必要があります。	監視されていないアクセスを防止するために、読み取り権限がある外部アカウントは、サブスクリプションから削除する必要があります。	AuditIfNotExists、Disabled	1.0.0
Azure リソースに対する書き込みアクセス許可を持つゲスト アカウントを削除する必要があります。	監視されていないアクセスを防止するために、書き込み権限がある外部アカウントは、サブスクリプションから削除する必要があります。	AuditIfNotExists、Disabled	1.0.0
Service Fabric クラスターでは、クライアント認証に Azure Active Directory のみを使用する必要がある	Service Fabric で Azure Active Directory によるクライアント認証のみを使用していることを監査します	Audit、Deny、Disabled	1.1.0
ストレージ アカウントを新しい Azure Resource Manager リソースに移行する必要がある	新しい Azure Resource Manager をお使いのストレージ アカウントに使用して、セキュリティの拡張機能を提供します。たとえば、アクセス制御の強化 (RBAC)、監査の改善、Azure Resource Manager ベースのデプロイとガバナンス、マネージド ID へのアクセス、シークレット取得のための Key Vault へのアクセス、Azure AD ベースの認証、セキュリティ管理を容易にするタグとリソース グループのサポートがあります	Audit、Deny、Disabled	1.0.0
ストレージ アカウントでは、共有キーのアクセスを禁止する必要がある	ストレージ アカウントの要求を承認するための Azure Active Directory (Azure AD) の監査要件。 既定では、Azure Active Directory の資格情報、または共有キーによる承認用のアカウント アクセス キーを使用して、要求を承認することができます。 これら 2 種類の承認では、Azure AD の方がセキュリティが優れ、共有キーより使いやすいので、Microsoft ではそちらをお勧めします。	Audit、Deny、Disabled	2.0.0
仮想マシンを新しい Azure Resource Manager リソースに移行する必要がある	ご使用の仮想マシンに新しい Azure Resource Manager を使用して、セキュリティを強化します。これには、アクセス制御の強化 (RBAC)、監査の改善、Azure Resource Manager ベースのデプロイとガバナンス、マネージド ID へのアクセス、シークレット取得のためのキー コンテナーへのアクセス、Azure AD に基づく認証、セキュリティ管理を容易にするタグとリソース グループのサポートなどがあります	Audit、Deny、Disabled	1.0.0
VPN ゲートウェイでは、ポイント対サイト ユーザーに対して Azure Active Directory (Azure AD) 認証のみを使用する必要がある	ローカル認証方法を無効にすると、VPN ゲートウェイで Azure Active Directory ID のみが認証に利用されることになり、セキュリティが向上します。 Azure AD 認証の詳細は https://docs.microsoft.com/azure/vpn-gateway/openvpn-azure-ad-tenant で確認してください	Audit、Deny、Disabled	1.0.0

U.11.1 暗号化サービス - ポリシー

暗号ポリシーでは、少なくとも、BIO に準拠する情報カテゴリが作成されています。

ID: NL BIO クラウド テーマ U.11.1 所有権: 共有

名前 (Azure portal)	説明	効果	Version (GitHub)
Azure リソースに対する書き込みアクセス許可を持つアカウントで MFA を有効にする必要があります。	アカウントまたはリソースに対する侵害を防止するために、書き込み権限を持つすべてのサブスクリプション アカウントに対して 多要素認証 (MFA) を有効にする必要があります。	AuditIfNotExists、Disabled	1.0.0
App Service アプリに HTTPS を介してのみアクセスできるようにする	HTTPS を使用すると、サーバー/サービスの認証が確実に実行され、転送中のデータがネットワーク層の傍受攻撃から保護されるようになります。	Audit, Disabled, Deny	4.0.0
App Service アプリでは FTPS のみが要求される必要がある	セキュリティを強化するために FTPS 強制を有効にしてください。	AuditIfNotExists、Disabled	3.0.0
App Service アプリは最新の TLS バージョンを使用する必要がある	セキュリティ上の欠陥への対応、機能の追加、および速度の向上のために、TLS の新しいバージョンが定期的にリリースされます。 最新の TLS バージョンにアップグレードして、App Service アプリで最新バージョンのセキュリティ修正プログラム (存在する場合) や新機能を利用できるようにします。	AuditIfNotExists、Disabled	2.0.1
可逆的暗号化を使用してパスワードを格納しない Windows マシンを監査する	前提条件がポリシーの割り当てスコープにデプロイされていることが要求されます。 詳細については、 https://aka.ms/gcpol を参照してください。 可逆的暗号化を使用してパスワードを格納しない Windows マシンは非準拠となります	AuditIfNotExists、Disabled	2.0.0
Automation アカウント変数は、暗号化する必要がある	機密データを格納するときには、Automation アカウント変数資産の暗号化を有効にすることが重要です	Audit、Deny、Disabled	1.1.0
Azure HDInsight クラスターでは、転送中の暗号化を使用して、Azure HDInsight クラスター ノード間の通信を暗号化する必要がある	Azure HDInsight クラスター ノード間での転送中に、データが改ざんされる可能性があります。 転送中の暗号化を有効にすると、この転送中の悪用や改ざんの問題に対処できます。	Audit、Deny、Disabled	1.0.0
MySQL データベース サーバーでは [SSL 接続を強制する] が有効でなければならない	Azure Database for MySQL は、Secure Sockets Layer (SSL) を使用した、クライアント アプリケーションへの Azure Database for MySQL サーバーへの接続をサポートします。 お使いのデータベース サーバーとクライアント アプリケーション間に SSL 接続を強制すると、サーバーとお使いのアプリケーション間のデータ ストリームを暗号化することにより、中間者 (man in the middle) 攻撃から保護するのに役立ちます。 この構成では、データベース サーバーへのアクセスに対して SSL が常に有効にされます。	Audit、Disabled	1.0.1
PostgreSQL データベース サーバーでは [SSL 接続を強制する] が有効でなければならない	Azure Database for PostgreSQL では、Secure Sockets Layer (SSL) を使用する Azure Database for PostgreSQL サーバーからクライアント アプリケーションへの接続がサポートされています。 お使いのデータベース サーバーとクライアント アプリケーション間に SSL 接続を強制すると、サーバーとお使いのアプリケーション間のデータ ストリームを暗号化することにより、中間者 (man in the middle) 攻撃から保護するのに役立ちます。 この構成では、データベース サーバーへのアクセスに対して SSL が常に有効にされます。	Audit、Disabled	1.0.1
関数アプリに HTTPS を介してのみアクセスできるようにする	HTTPS を使用すると、サーバー/サービスの認証が確実に実行され、転送中のデータがネットワーク層の傍受攻撃から保護されるようになります。	Audit, Disabled, Deny	5.0.0
関数アプリでは FTPS のみが要求される必要がある	セキュリティを強化するために FTPS 強制を有効にしてください。	AuditIfNotExists、Disabled	3.0.0
関数アプリは最新の TLS バージョンを使用する必要がある	セキュリティ上の欠陥への対応、機能の追加、および速度の向上のために、TLS の新しいバージョンが定期的にリリースされます。 最新の TLS バージョンにアップグレードして、関数アプリで最新バージョンのセキュリティ修正プログラム (存在する場合) や新機能を利用できるようにします。	AuditIfNotExists、Disabled	2.0.1
Kubernetes クラスターは HTTPS 経由でのみアクセス可能である必要がある	HTTPS を使用すると、認証が確実に実行され、転送中のデータがネットワーク層の傍受攻撃から保護されます。 この機能は、Kubernetes Service (AKS)、および Azure Arc 対応 Kubernetes のプレビューで現在一般提供されています。 詳細については、https://aka.ms/kubepolicydoc を参照してください。	audit、Audit、deny、Deny、disabled、Disabled	8.1.0
Azure Cache for Redis へのセキュリティで保護された接続のみを有効にする必要がある	Azure Cache for Redis に対して SSL 経由の接続のみが有効であるかどうかを監査します。 セキュリティで保護された接続を使用することにより、サーバーとサービスの間の認証が確実に行われ、転送中のデータをネットワーク層の攻撃 (man-in-the-middle、傍受、セッションハイジャックなど) から保護します	Audit、Deny、Disabled	1.0.0
ストレージ アカウントへの安全な転送を有効にする必要がある	ストレージ アカウント内の安全な転送の要件を監査します。 安全な転送は、ストレージ アカウントに、セキュリティで保護された接続 (HTTPS) からの要求のみを受け入れるように強制するオプションです。 HTTPS を使用することにより、サーバーとサービス間の認証が確実に行われ、転送中のデータをネットワーク層の攻撃 (man-in-the-middle、傍受、セッション ハイジャックなど) から保護します	Audit、Deny、Disabled	2.0.0
Service Fabric クラスターでは、ClusterProtectionLevel プロパティを EncryptAndSign に設定する必要がある	Service Fabric では、プライマリ クラスターの証明書を使用して、ノード間通信に 3 つのレベルの保護 (None、Sign、EncryptAndSign) が提供されます。 すべてのノード間メッセージが暗号化され、デジタル署名されるように保護レベルを設定します	Audit、Deny、Disabled	1.1.0
Transparent Data Encryption を SQL データベース上で有効にする必要がある	保存データを保護し、コンプライアンス要件を満たすには、Transparent Data Encryption を有効にする必要があります	AuditIfNotExists、Disabled	2.0.0
コンピューティングとストレージのリソース間で一時ディスク、キャッシュ、データ フローを仮想マシンによって暗号化する必要がある	既定では、仮想マシンの OS とデータのディスクは、保存時にプラットフォーム マネージド キーを使用して暗号化されます。 一時ディスク、データ キャッシュ、およびコンピューティングとストレージの間を流れているデータは暗号化されません。 次のような場合は、この推奨事項を無視してください。1. ホストでの暗号化を使用している場合。または 2. マネージド ディスクでのサーバー側暗号化がセキュリティ要件を満たしている場合。 Azure Disk Storage のサーバー側暗号化の詳細は、https://aka.ms/disksse、さまざまなディスク暗号化オファリングhttps://aka.ms/diskencryptioncomparisonを参照してください。	AuditIfNotExists、Disabled	2.0.3
Windows マシンを安全な通信プロトコルを使うように構成する必要がある	インターネット経由で通信される情報のプライバシーを保護するために、お客様のマシンでは、業界標準の暗号化プロトコルであるトランスポート層セキュリティ (TLS) の最新バージョンを使う必要があります。 TLS を使うと、マシン間の接続が暗号化されることで、ネットワーク経由の通信がセキュリティで保護されます。	AuditIfNotExists、Disabled	4.1.1

U.11.2 暗号化サービス - 暗号化対策

PKIoverheid 証明書の場合、キー管理に PKIoverheid 要件を使用します。 その他の状況では、ISO11770 を使用します。

ID: NL BIO クラウド テーマ U.11.2 所有権: 共有

名前 (Azure portal)	説明	効果	Version (GitHub)
Azure リソースに対する書き込みアクセス許可を持つアカウントで MFA を有効にする必要があります。	アカウントまたはリソースに対する侵害を防止するために、書き込み権限を持つすべてのサブスクリプション アカウントに対して 多要素認証 (MFA) を有効にする必要があります。	AuditIfNotExists、Disabled	1.0.0
App Service アプリに HTTPS を介してのみアクセスできるようにする	HTTPS を使用すると、サーバー/サービスの認証が確実に実行され、転送中のデータがネットワーク層の傍受攻撃から保護されるようになります。	Audit, Disabled, Deny	4.0.0
App Service アプリでは FTPS のみが要求される必要がある	セキュリティを強化するために FTPS 強制を有効にしてください。	AuditIfNotExists、Disabled	3.0.0
App Service アプリは最新の TLS バージョンを使用する必要がある	セキュリティ上の欠陥への対応、機能の追加、および速度の向上のために、TLS の新しいバージョンが定期的にリリースされます。 最新の TLS バージョンにアップグレードして、App Service アプリで最新バージョンのセキュリティ修正プログラム (存在する場合) や新機能を利用できるようにします。	AuditIfNotExists、Disabled	2.0.1
可逆的暗号化を使用してパスワードを格納しない Windows マシンを監査する	前提条件がポリシーの割り当てスコープにデプロイされていることが要求されます。 詳細については、 https://aka.ms/gcpol を参照してください。 可逆的暗号化を使用してパスワードを格納しない Windows マシンは非準拠となります	AuditIfNotExists、Disabled	2.0.0
Automation アカウント変数は、暗号化する必要がある	機密データを格納するときには、Automation アカウント変数資産の暗号化を有効にすることが重要です	Audit、Deny、Disabled	1.1.0
Azure HDInsight クラスターでは、転送中の暗号化を使用して、Azure HDInsight クラスター ノード間の通信を暗号化する必要がある	Azure HDInsight クラスター ノード間での転送中に、データが改ざんされる可能性があります。 転送中の暗号化を有効にすると、この転送中の悪用や改ざんの問題に対処できます。	Audit、Deny、Disabled	1.0.0
MySQL データベース サーバーでは [SSL 接続を強制する] が有効でなければならない	Azure Database for MySQL は、Secure Sockets Layer (SSL) を使用した、クライアント アプリケーションへの Azure Database for MySQL サーバーへの接続をサポートします。 お使いのデータベース サーバーとクライアント アプリケーション間に SSL 接続を強制すると、サーバーとお使いのアプリケーション間のデータ ストリームを暗号化することにより、中間者 (man in the middle) 攻撃から保護するのに役立ちます。 この構成では、データベース サーバーへのアクセスに対して SSL が常に有効にされます。	Audit、Disabled	1.0.1
PostgreSQL データベース サーバーでは [SSL 接続を強制する] が有効でなければならない	Azure Database for PostgreSQL では、Secure Sockets Layer (SSL) を使用する Azure Database for PostgreSQL サーバーからクライアント アプリケーションへの接続がサポートされています。 お使いのデータベース サーバーとクライアント アプリケーション間に SSL 接続を強制すると、サーバーとお使いのアプリケーション間のデータ ストリームを暗号化することにより、中間者 (man in the middle) 攻撃から保護するのに役立ちます。 この構成では、データベース サーバーへのアクセスに対して SSL が常に有効にされます。	Audit、Disabled	1.0.1
関数アプリに HTTPS を介してのみアクセスできるようにする	HTTPS を使用すると、サーバー/サービスの認証が確実に実行され、転送中のデータがネットワーク層の傍受攻撃から保護されるようになります。	Audit, Disabled, Deny	5.0.0
関数アプリでは FTPS のみが要求される必要がある	セキュリティを強化するために FTPS 強制を有効にしてください。	AuditIfNotExists、Disabled	3.0.0
関数アプリは最新の TLS バージョンを使用する必要がある	セキュリティ上の欠陥への対応、機能の追加、および速度の向上のために、TLS の新しいバージョンが定期的にリリースされます。 最新の TLS バージョンにアップグレードして、関数アプリで最新バージョンのセキュリティ修正プログラム (存在する場合) や新機能を利用できるようにします。	AuditIfNotExists、Disabled	2.0.1
Kubernetes クラスターは HTTPS 経由でのみアクセス可能である必要がある	HTTPS を使用すると、認証が確実に実行され、転送中のデータがネットワーク層の傍受攻撃から保護されます。 この機能は、Kubernetes Service (AKS)、および Azure Arc 対応 Kubernetes のプレビューで現在一般提供されています。 詳細については、https://aka.ms/kubepolicydoc を参照してください。	audit、Audit、deny、Deny、disabled、Disabled	8.1.0
Azure Cache for Redis へのセキュリティで保護された接続のみを有効にする必要がある	Azure Cache for Redis に対して SSL 経由の接続のみが有効であるかどうかを監査します。 セキュリティで保護された接続を使用することにより、サーバーとサービスの間の認証が確実に行われ、転送中のデータをネットワーク層の攻撃 (man-in-the-middle、傍受、セッションハイジャックなど) から保護します	Audit、Deny、Disabled	1.0.0
ストレージ アカウントへの安全な転送を有効にする必要がある	ストレージ アカウント内の安全な転送の要件を監査します。 安全な転送は、ストレージ アカウントに、セキュリティで保護された接続 (HTTPS) からの要求のみを受け入れるように強制するオプションです。 HTTPS を使用することにより、サーバーとサービス間の認証が確実に行われ、転送中のデータをネットワーク層の攻撃 (man-in-the-middle、傍受、セッション ハイジャックなど) から保護します	Audit、Deny、Disabled	2.0.0
Service Fabric クラスターでは、ClusterProtectionLevel プロパティを EncryptAndSign に設定する必要がある	Service Fabric では、プライマリ クラスターの証明書を使用して、ノード間通信に 3 つのレベルの保護 (None、Sign、EncryptAndSign) が提供されます。 すべてのノード間メッセージが暗号化され、デジタル署名されるように保護レベルを設定します	Audit、Deny、Disabled	1.1.0
Transparent Data Encryption を SQL データベース上で有効にする必要がある	保存データを保護し、コンプライアンス要件を満たすには、Transparent Data Encryption を有効にする必要があります	AuditIfNotExists、Disabled	2.0.0
コンピューティングとストレージのリソース間で一時ディスク、キャッシュ、データ フローを仮想マシンによって暗号化する必要がある	既定では、仮想マシンの OS とデータのディスクは、保存時にプラットフォーム マネージド キーを使用して暗号化されます。 一時ディスク、データ キャッシュ、およびコンピューティングとストレージの間を流れているデータは暗号化されません。 次のような場合は、この推奨事項を無視してください。1. ホストでの暗号化を使用している場合。または 2. マネージド ディスクでのサーバー側暗号化がセキュリティ要件を満たしている場合。 Azure Disk Storage のサーバー側暗号化の詳細は、https://aka.ms/disksse、さまざまなディスク暗号化オファリングhttps://aka.ms/diskencryptioncomparisonを参照してください。	AuditIfNotExists、Disabled	2.0.3
Windows マシンを安全な通信プロトコルを使うように構成する必要がある	インターネット経由で通信される情報のプライバシーを保護するために、お客様のマシンでは、業界標準の暗号化プロトコルであるトランスポート層セキュリティ (TLS) の最新バージョンを使う必要があります。 TLS を使うと、マシン間の接続が暗号化されることで、ネットワーク経由の通信がセキュリティで保護されます。	AuditIfNotExists、Disabled	4.1.1

U.11.3 暗号化サービス - 暗号化

機密データは、CSC によって管理される秘密キーを使用して常に暗号化されます。

ID: NL BIO クラウド テーマ U.11.3 所有権: 共有

名前 (Azure portal)	説明	効果	Version (GitHub)
[プレビュー]: Azure Recovery Services コンテナーでは、バックアップ データを暗号化するために、カスタマー マネージド キーを使用する必要がある	カスタマー マネージド キーを使用して、バックアップ データの保存時の暗号化を管理します。 既定では、顧客データはサービス マネージド キーを使用して暗号化されますが、規制コンプライアンス標準を満たすには、一般にカスタマー マネージド キーが必要です。 カスタマー マネージド キーを使用すると、自分が作成して所有する Azure Key Vault キーを使用してデータを暗号化できます。 ローテーションや管理など、キーのライフサイクルを完全に制御し、責任を負うことになります。 詳細については、https://aka.ms/AB-CmkEncryption をご覧ください。	Audit、Deny、Disabled	1.0.0-preview
[プレビュー]: ゲスト構成証明の拡張機能が、サポートされている Linux 仮想マシンにインストールされている必要がある	ブート整合性の構成証明と監視を Azure Security Center がプロアクティブに行えるよう、サポートされている Linux 仮想マシンにゲスト構成証明の拡張機能をインストールします。 インストール後は、リモート構成証明を通じて、ブート整合性の構成証明が行われるようになります。 この評価は、トラステッド起動と機密の Linux 仮想マシンに適用されます。	AuditIfNotExists、Disabled	6.0.0-preview
[プレビュー]: ゲスト構成証明の拡張機能が、サポートされている Linux 仮想マシン スケール セットにインストールされている必要がある	ブート整合性の構成証明と監視を Azure Security Center がプロアクティブに行えるよう、サポートされている Linux 仮想マシン スケール セットにゲスト構成証明の拡張機能をインストールします。 インストール後は、リモート構成証明を通じて、ブート整合性の構成証明が行われるようになります。 この評価は、トラステッド起動と機密の Linux 仮想マシン スケール セットに適用されます。	AuditIfNotExists、Disabled	5.1.0-preview
[プレビュー]: ゲスト構成証明の拡張機能がサポートされている Windows 仮想マシンにインストールされている必要がある	ブート整合性の構成証明と監視を Azure Security Center がプロアクティブに行えるよう、サポートされている仮想マシンにゲスト構成証明の拡張機能をインストールします。 インストール後は、リモート構成証明を通じて、ブート整合性の構成証明が行われるようになります。 この評価は、トラステッド起動と機密の Windows 仮想マシンに適用されます。	AuditIfNotExists、Disabled	4.0.0-preview
[プレビュー]: ゲスト構成証明の拡張機能が、サポートされている Windows 仮想マシン スケール セットにインストールされている必要がある	ブート整合性の構成証明と監視を Azure Security Center がプロアクティブに行えるよう、サポートされている仮想マシン スケール セットにゲスト構成証明の拡張機能をインストールします。 インストール後は、リモート構成証明を通じて、ブート整合性の構成証明が行われるようになります。 この評価は、トラステッド起動と機密の Windows 仮想マシン スケール セットに適用されます。	AuditIfNotExists、Disabled	3.1.0-preview
[プレビュー]: IoT Hub デバイス プロビジョニング サービスのデータはカスタマー マネージド キー (CMK) を使用して暗号化する必要がある	カスタマー マネージド キーを使用して、IoT Hub Device Provisioning Service の保存時の暗号化を管理します。 データはサービス マネージド キーを使用して保存時に自動的に暗号化されますが、規制コンプライアンス標準を満たすためには一般に、カスタマー マネージド キー (CMK) が必要です。 CMK を使用すると、自分が作成して所有する Azure Key Vault キーを使用してデータを暗号化できます。 CMK 暗号化の詳細については、https://aka.ms/dps/CMK を参照してください。	Audit、Deny、Disabled	1.0.0-preview
[プレビュー]: セキュア ブートはサポートされている Windows 仮想マシンで有効にする必要がある	ブート チェーンに対する悪意のある変更や許可されていない変更を減らすために、サポートされる Windows 仮想マシンでセキュア ブートを有効にします。 有効にすると、信頼されたブートローダー、カーネル、カーネル ドライバーのみ実行が許可されます。 この評価は、トラステッド起動と機密の Windows 仮想マシンに適用されます。	Audit、Disabled	4.0.0-preview
[プレビュー]: vTPM はサポートされている仮想マシンで有効にする必要がある	メジャー ブートなど、TPM を必要とする OS セキュリティ機能を支援するために、サポートされている仮想マシンで仮想 TPM デバイスを有効にします。 有効にすると、vTPM を使用してブート整合性の構成証明を行うことができます。 この評価が適用されるのは、トラステッド起動が有効な仮想マシンのみです。	Audit、Disabled	2.0.0-preview
Azure API for FHIR では、保存データを暗号化するためにカスタマー マネージド キーを使用する必要がある	カスタマー マネージド キーを使用して、Azure API for FHIR に格納されるデータの保存時の暗号化を制御します (これが規制またはコンプライアンスの要件である場合)。 カスタマー マネージド キーを使用すると、サービス マネージド キーで実行される既定の暗号化レイヤーの上に 2 番目の暗号化レイヤーが追加されて、二重の暗号化が提供されることにもなります。	audit、Audit、disabled、Disabled	1.1.0
Azure Automation アカウントでは、保存データを暗号化するためにカスタマー マネージド キーを使用する必要がある	カスタマー マネージド キーを使用して、Azure Automation アカウントの保存時の暗号化を管理します。 既定では、顧客データはサービス マネージド キーを使用して暗号化されますが、規制コンプライアンス標準を満たすには、一般にカスタマー マネージド キーが必要です。 カスタマー マネージド キーを使用すると、自分が作成して所有する Azure Key Vault キーを使用してデータを暗号化できます。 ローテーションや管理など、キーのライフサイクルを完全に制御し、責任を負うことになります。 詳細については、https://aka.ms/automation-cmk をご覧ください。	Audit、Deny、Disabled	1.0.0
Azure Batch アカウントではデータの暗号化にカスタマー マネージド キーを使用する必要がある	カスタマー マネージド キーを使用して、Batch アカウントのデータの保存時の暗号化を管理します。 既定では、顧客データはサービス マネージド キーを使用して暗号化されますが、規制コンプライアンス標準を満たすには、一般にカスタマー マネージド キーが必要です。 カスタマー マネージド キーを使用すると、自分が作成して所有する Azure Key Vault キーを使用してデータを暗号化できます。 ローテーションや管理など、キーのライフサイクルを完全に制御し、責任を負うことになります。 詳細については、https://aka.ms/Batch-CMK をご覧ください。	Audit、Deny、Disabled	1.0.1
Azure Batch プールでディスク暗号化を有効にする必要があります	Azure Batch ディスクの暗号化を有効にすると、データは常に Azure Batch 計算ノードで保存時に暗号化されます。 https://docs.microsoft.com/azure/batch/disk-encryption での Batch ディスク暗号化について確認してください。	Audit, Disabled, Deny	1.0.0
Azure Container Instance コンテナー グループでは、暗号化にカスタマー マネージド キーを使用する必要がある	カスタマー マネージド キーを使用して、コンテナーをより柔軟にセキュリティで保護します。 カスタマー マネージド キーを指定すると、データを暗号化するキーへのアクセスを保護および制御するために、そのキーが使用されます。 カスタマー マネージド キーを使用すると、キー暗号化キーのローテーションを制御したり、データを暗号的に消去したりするための追加機能が提供されます。	Audit, Disabled, Deny	1.0.0
Azure Cosmos DB アカウントでは保存データを暗号化するためにカスタマー マネージド キーを使用する必要がある	カスタマー マネージド キーを使用して、Azure Cosmos DB の保存時の暗号化を管理します。 既定では、データはサービス マネージド キーを使用して保存時に暗号化されますが、規制コンプライアンス標準を満たすには、一般にカスタマー マネージド キーが必要です。 カスタマー マネージド キーを使用すると、自分が作成して所有する Azure Key Vault キーを使用してデータを暗号化できます。 ローテーションや管理など、キーのライフサイクルを完全に制御し、責任を負うことになります。 詳細については、https://aka.ms/cosmosdb-cmk をご覧ください。	audit、Audit、deny、Deny、disabled、Disabled	1.1.0
Azure Data Box ジョブは、デバイス上の保存データに対する二重暗号化を有効にする必要がある	デバイス上の保存データに対し、ソフトウェアベースの暗号化の第 2 のレイヤーを有効にしてください。 デバイスの保存データはあらかじめ、Advanced Encryption Standard 256 ビット暗号化で保護されています。 このオプションは、第 2 のデータ暗号化レイヤーを追加するものです。	Audit、Deny、Disabled	1.0.0
Azure Data Box ジョブは、カスタマー マネージド キーを使用してデバイスのロック解除パスワードを暗号化する必要がある	Azure Data Box に使用するデバイスのロック解除パスワードの暗号化は、カスタマー マネージド キーを使用して管理してください。 また、デバイスの準備とデータのコピーを自動化する目的で、デバイスのロック解除パスワードに対する Data Box サービスのアクセスを管理する際にも、カスタマー マネージド キーが役立ちます。 デバイス上の保存データ自体は、あらかじめ Advanced Encryption Standard 256 ビット暗号化を使用して暗号化されており、また、デバイスのロック解除パスワードも既定で Microsoft マネージド キーを使用して暗号化されています。	Audit、Deny、Disabled	1.0.0
Azure Data Explorer における保存時の暗号化でカスタマー マネージド キーを使用する必要がある	Azure Data Explorer クラスターでカスタマー マネージド キーを使用した保存時の暗号化を有効にすると、保存時の暗号化で使用されるキーをさらに制御できるようになります。 この機能は、多くの場合、特別なコンプライアンス要件を持つ顧客に適用でき、キーの管理に Key Vault を必要とします。	Audit、Deny、Disabled	1.0.0
Azure データ ファクトリは、カスタマー マネージド キーを使用して暗号化する必要がある	カスタマー マネージド キーを使用して、Azure データ ファクトリの保存時の暗号化を管理します。 既定では、顧客データはサービス マネージド キーを使用して暗号化されますが、規制コンプライアンス標準を満たすには、一般にカスタマー マネージド キーが必要です。 カスタマー マネージド キーを使用すると、自分が作成して所有する Azure Key Vault キーを使用してデータを暗号化できます。 ローテーションや管理など、キーのライフサイクルを完全に制御し、責任を負うことになります。 詳細については、https://aka.ms/adf-cmk をご覧ください。	Audit、Deny、Disabled	1.0.1
Azure Edge Hardware Center デバイスで二重暗号化サポートを有効にする必要がある	Azure Edge Hardware Center からオーダーされたデバイスで、二重暗号化サポートが有効になっていることを確認し、デバイスの保存データを保護します。 このオプションは、第 2 のデータ暗号化レイヤーを追加するものです。	Audit、Deny、Disabled	2.0.0
Azure HDInsight クラスターでは、カスタマー マネージド キーを使用して保存データを暗号化する必要がある	カスタマー マネージド キーを使用して、Azure HDInsight クラスターの保存時の暗号化を管理します。 既定では、顧客データはサービス マネージド キーを使用して暗号化されますが、規制コンプライアンス標準を満たすには、一般にカスタマー マネージド キーが必要です。 カスタマー マネージド キーを使用すると、自分が作成して所有する Azure Key Vault キーを使用してデータを暗号化できます。 ローテーションや管理など、キーのライフサイクルを完全に制御し、責任を負うことになります。 詳細については、https://aka.ms/hdi.cmk をご覧ください。	Audit、Deny、Disabled	1.0.1
Azure HDInsight クラスターでは、ホストでの暗号化を使用して保存データを暗号化する必要がある	ホストでの暗号化を有効にすると、データを保護して、組織のセキュリティとコンプライアンスのコミットメントを満たすことができます。 ホストでの暗号化を有効にすると、VM ホスト上の格納データは、保存時に暗号化され、暗号化された状態でストレージ サービスに送られます。	Audit、Deny、Disabled	1.0.0
Azure Machine Learning ワークスペースは、カスタマー マネージド キーを使用して暗号化する必要がある	カスタマー マネージド キーを使用して、Azure Machine Learning ワークスペース データの保存時の暗号化を管理します。 既定では、顧客データはサービス マネージド キーを使用して暗号化されますが、規制コンプライアンス標準を満たすには、一般にカスタマー マネージド キーが必要です。 カスタマー マネージド キーを使用すると、自分が作成して所有する Azure Key Vault キーを使用してデータを暗号化できます。 ローテーションや管理など、キーのライフサイクルを完全に制御し、責任を負うことになります。 詳細については、https://aka.ms/azureml-workspaces-cmk をご覧ください。	Audit、Deny、Disabled	1.0.3
Azure Monitor ログ クラスターはインフラストラクチャ暗号化を有効にして作成する必要がある (二重暗号化)	2 種類の暗号化アルゴリズムと 2 種類のキーを使用を使用して、サービス レベルおよびインフラストラクチャ レベルでデータ暗号化の安全を確保するには、Azure Monitor 専用クラスターを使用します。 このオプションは、リージョンでサポートされていれば既定で有効になります。https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys#customer-managed-key-overview を参照してください。	audit、Audit、deny、Deny、disabled、Disabled	1.1.0
Azure Monitor ログ クラスターは、カスタマー マネージド キーを使用して暗号化する必要がある	Azure Monitor ログ クラスターは、カスタマー マネージド キー暗号化を使用して作成します。 既定では、ログ データはサービス マネージド キーを使用して暗号化されますが、規制コンプライアンスを満たすには、一般にカスタマー マネージド キーが必要です。 Azure Monitor にカスタマー マネージド キーを使用することで、データへのアクセスをより細かく制御することができます。https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys を参照してください。	audit、Audit、deny、Deny、disabled、Disabled	1.1.0
Azure Stream Analytics ジョブでは、データの暗号化にカスタマー マネージド キーを使用する必要がある	ストレージ アカウントに Stream Analytics ジョブのメタデータとプライベート データ資産を安全に格納したい場合は、カスタマー マネージド キーを使用します。 これで、Stream Analytics データが暗号化される方法を完全に制御できるようになります。	audit、Audit、deny、Deny、disabled、Disabled	1.1.0
Azure Synapse ワークスペースでは保存データを暗号化するためにカスタマー マネージド キーを使用する必要がある	カスタマー マネージド キーは、Azure Synapse ワークスペースに格納されているデータの保存時の暗号化を制御するために使用されます。 カスタマー マネージド キーを使用すると、サービス マネージド キーによる既定の暗号化の上に 2 番目の暗号化レイヤーが追加されて、二重の暗号化が提供されます。	Audit、Deny、Disabled	1.0.0
Bot Service は、カスタマー マネージド キーを使用して暗号化する必要がある	Azure Bot Service は、リソースを自動的に暗号化してデータを保護し、組織のセキュリティとコンプライアンスのコミットメントを満たします。 既定では、Microsoft マネージド暗号化キーが使用されます。 キーの管理やサブスクリプションへのアクセスの制御の柔軟性を高めるには、カスタマー マネージド キーを選択します。これは、Bring Your Own Key (BYOK) とも呼ばれます。 Azure Bot Service 暗号化の詳細については、https://docs.microsoft.com/azure/bot-service/bot-service-encryption を参照してください。	audit、Audit、deny、Deny、disabled、Disabled	1.1.0
Azure Kubernetes Service クラスターのオペレーティング システムとデータ ディスクは両方とも、カスタマー マネージド キーで暗号化する必要がある	カスタマー マネージド キーを使用して OS とデータ ディスクを暗号化することで、キー管理をより細かく制御し、柔軟性を高めることができます。 これは、さまざまな規制や業界のコンプライアンス標準での一般的な要件です。	Audit、Deny、Disabled	1.0.1
Cognitive Services アカウントでカスタマー マネージド キーによるデータ暗号化を有効にする必要がある	規制コンプライアンス標準を満たすには、一般にカスタマー マネージド キーが必要です。 カスタマー マネージド キーを使用すると、自分が作成して所有する Azure Key Vault キーを使用して、Cognitive Services に格納されているデータを暗号化できます。 ローテーションや管理など、キーのライフサイクルを完全に制御し、責任を負うことになります。 カスタマー マネージド キーの詳細については、https://go.microsoft.com/fwlink/?linkid=2121321 をご覧ください。	Audit、Deny、Disabled	2.1.0
コンテナー レジストリは、カスタマー マネージド キーを使用して暗号化する必要がある	カスタマー マネージド キーを使用して、レジストリのコンテンツ保存時の暗号化を管理します。 既定では、データはサービス マネージド キーを使用して保存時に暗号化されますが、規制コンプライアンス標準を満たすには、一般にカスタマー マネージド キーが必要です。 カスタマー マネージド キーを使用すると、自分が作成して所有する Azure Key Vault キーを使用してデータを暗号化できます。 ローテーションや管理など、キーのライフサイクルを完全に制御し、責任を負うことになります。 詳細については、https://aka.ms/acr/CMK をご覧ください。	Audit、Deny、Disabled	1.1.2
Azure Data Explorer でディスク暗号化を有効にする必要がある	ディスク暗号化を有効にすると、データを保護して、組織のセキュリティとコンプライアンスのコミットメントを満たすことができます。	Audit、Deny、Disabled	2.0.0
Azure Data Explorer で二重暗号化を有効にする必要がある	二重暗号化を有効にすると、データを保護して、組織のセキュリティとコンプライアンスのコミットメントを満たすことができます。 二重暗号化が有効になっている場合、ストレージ アカウント内のデータは、2 つの異なる暗号化アルゴリズムと 2 つの異なるキーを使用して、2 回 (サービス レベルで 1 回、インフラストラクチャ レベルで 1 回) 暗号化されます。	Audit、Deny、Disabled	2.0.0
イベント ハブの名前空間では、暗号化のためにカスタマー マネージド キーを使用する必要がある	Azure Event Hubs では、Microsoft マネージド キー (既定) またはカスタマー マネージド キーのいずれかを使用した保存データの暗号化のオプションがサポートされています。 カスタマー マネージド キーを使用してデータを暗号化することを選択すると、名前空間内のデータを暗号化するためにイベント ハブで使用するキーへのアクセスを割り当て、ローテーション、無効化、および取り消すことができます。 イベント ハブでは、専用クラスター内の名前空間のカスタマー マネージド キーを使用した暗号化のみをサポートしていることに注意してください。	Audit、Disabled	1.0.0
HPC Cache アカウントでは、暗号化にカスタマー マネージド キーを使用する必要がある	カスタマー マネージド キーを使用して、Azure HPC Cache の保存時の暗号化を管理します。 既定では、顧客データはサービス マネージド キーを使用して暗号化されますが、規制コンプライアンス標準を満たすには、一般にカスタマー マネージド キーが必要です。 カスタマー マネージド キーを使用すると、自分が作成して所有する Azure Key Vault キーを使用してデータを暗号化できます。 ローテーションや管理など、キーのライフサイクルを完全に制御し、責任を負うことになります。	Audit, Disabled, Deny	2.0.0
Azure Database for MySQL サーバーでは、インフラストラクチャ暗号化を有効にする必要がある	Azure Database for MySQL のインフラストラクチャ暗号化を有効にして、データが安全であるというより高いレベルの保証を確保します。 インフラストラクチャ暗号化が有効になっている場合、保存データは、FIPS 140-2 準拠の Microsoft マネージド キーを使用して 2 回暗号化されます。	Audit、Deny、Disabled	1.0.0
Azure Database for PostgreSQL サーバーでは、インフラストラクチャ暗号化を有効にする必要がある	Azure Database for PostgreSQL のインフラストラクチャ暗号化を有効にして、データが安全であるというより高いレベルの保証を確保します。 インフラストラクチャ暗号化が有効になっている場合、保存データは、FIPS 140-2 準拠の Microsoft マネージド キーを使用して 2 回暗号化されます	Audit、Deny、Disabled	1.0.0
Logic Apps 統合サービス環境は、カスタマー マネージド キーを使用して暗号化する必要がある	統合サービス環境にデプロイし、カスタマー マネージド キーを使用して Logic Apps データの保存時の暗号化を管理します。 既定では、顧客データはサービス マネージド キーを使用して暗号化されますが、規制コンプライアンス標準を満たすには、一般にカスタマー マネージド キーが必要です。 カスタマー マネージド キーを使用すると、自分が作成して所有する Azure Key Vault キーを使用してデータを暗号化できます。 ローテーションや管理など、キーのライフサイクルを完全に制御し、責任を負うことになります。	Audit、Deny、Disabled	1.0.0
マネージド ディスクはプラットフォーム マネージドおよびカスタマー マネージド キーの両方を使用して二重暗号化する必要がある	セキュリティに対する要件が高く、特定の暗号化アルゴリズム、実装、または侵害されたキーに関連するリスクを懸念しているお客様は、プラットフォーム マネージド暗号化キーを使用してインフラストラクチャ レイヤーに異なる暗号化アルゴリズムまたはモードを使用することにより、暗号化の追加レイヤーを設けることを選ぶことができます。 二重暗号化を使用するには、ディスク暗号化セットが必要です。 詳細については、https://aka.ms/disks-doubleEncryption をご覧ください。	Audit、Deny、Disabled	1.0.0
MySQL サーバーでは保存データを暗号化するためにカスタマー マネージド キーを使用する必要がある	カスタマー マネージド キーを使用して、MySQL サーバーの保存時の暗号化を管理します。 既定では、データはサービス マネージド キーを使用して保存時に暗号化されますが、規制コンプライアンス標準を満たすには、一般にカスタマー マネージド キーが必要です。 カスタマー マネージド キーを使用すると、自分が作成して所有する Azure Key Vault キーを使用してデータを暗号化できます。 ローテーションや管理など、キーのライフサイクルを完全に制御し、責任を負うことになります。	AuditIfNotExists、Disabled	1.0.4
OS およびデータ ディスクはカスタマー マネージド キーで暗号化する必要がある	カスタマー マネージド キーを使用して、マネージド ディスクのコンテンツ保存時の暗号化を管理します。 既定では、データはプラットフォーム マネージド キーを使用して保存時に暗号化されますが、規制コンプライアンス標準を満たすには、一般にカスタマー マネージド キーが必要です。 カスタマー マネージド キーを使用すると、自分が作成して所有する Azure Key Vault キーを使用してデータを暗号化できます。 ローテーションや管理など、キーのライフサイクルを完全に制御し、責任を負うことになります。 詳細については、https://aka.ms/disks-cmk をご覧ください。	Audit、Deny、Disabled	3.0.0
PostgreSQL サーバーでは保存データを暗号化するためにカスタマー マネージド キーを使用する必要がある	カスタマー マネージド キーを使用して、PostgreSQL サーバーの保存時の暗号化を管理します。 既定では、データはサービス マネージド キーを使用して保存時に暗号化されますが、規制コンプライアンス標準を満たすには、一般にカスタマー マネージド キーが必要です。 カスタマー マネージド キーを使用すると、自分が作成して所有する Azure Key Vault キーを使用してデータを暗号化できます。 ローテーションや管理など、キーのライフサイクルを完全に制御し、責任を負うことになります。	AuditIfNotExists、Disabled	1.0.4
Azure Monitor 内の保存されたクエリはログ暗号化のためにカスタマー ストレージ アカウントに保存する必要があります	保存済みのクエリをストレージ アカウントの暗号化によって保護するには、Log Analytics ワークスペースにストレージ アカウントをリンクします。 一般に、規制コンプライアンスを満たすと共に、Azure Monitor の保存済みのクエリに対するアクセスをより細かく制御するためには、カスタマー マネージド キーが必要です。 上記の点について詳しくは、https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys?tabs=portal#customer-managed-key-for-saved-queries を参照してください。	audit、Audit、deny、Deny、disabled、Disabled	1.1.0
Service Bus Premium の名前空間では、暗号化のためにカスタマー マネージド キーを使用する必要がある	Azure Service Bus では、Microsoft マネージド キー (既定) またはカスタマー マネージド キーのいずれかを使用した保存データの暗号化のオプションがサポートされています。 カスタマー マネージド キーを使用してデータを暗号化することを選択すると、名前空間内のデータを暗号化するために Service Bus で使用するキーへのアクセスを割り当て、ローテーション、無効化、および取り消すことができます。 Service Bus では、Premium 名前空間のカスタマー マネージド キーを使用した暗号化のみをサポートしていることに注意してください。	Audit、Disabled	1.0.0
SQL マネージド インスタンスでは保存データを暗号化するためにカスタマー マネージド キーを使用する必要がある	独自キーを使用して Transparent Data Encryption (TDE) を実装すると、TDE 保護機能の透明性および制御が強化され、HSM で保護された外部サービスによるセキュリティが向上し、職務の分離が促進されます。 この推奨事項は、関連するコンプライアンス要件を持つ組織に適用されます。	Audit、Deny、Disabled	2.0.0
SQL サーバーでは保存データを暗号化するためにカスタマー マネージド キーを使用する必要がある	独自キーを使用して Transparent Data Encryption (TDE) を実装すると、TDE 保護機能の透明性および制御が強化され、HSM で保護された外部サービスによるセキュリティが向上し、職務の分離が促進されます。 この推奨事項は、関連するコンプライアンス要件を持つ組織に適用されます。	Audit、Deny、Disabled	2.0.1
ストレージ アカウントの暗号化スコープでは保存データを暗号化するためにカスタマー マネージド キーを使用する必要がある	ストレージ アカウントの暗号化スコープの保存データを管理するには、カスタマー マネージド キーを使用します。 カスタマー マネージド キーを使用すると、自分で作成して所有する Azure Key Vault キーを使用してデータを暗号化できます。 ローテーションや管理など、キーのライフサイクルを完全に制御し、責任を負うことになります。 ストレージ アカウントの暗号化スコープの詳細については、https://aka.ms/encryption-scopes-overview を参照してください。	Audit、Deny、Disabled	1.0.0
ストレージ アカウントはインフラストラクチャ暗号化を行う必要がある	インフラストラクチャ暗号化を有効にして、データが安全であることをより高いレベルで保証します。 インフラストラクチャ暗号化が有効な場合、ストレージ アカウントのデータは 2 回暗号化されます。	Audit、Deny、Disabled	1.0.0
ストレージ アカウントでは、暗号化にカスタマー マネージド キーを使用する必要がある	カスタマー マネージド キーを使用して、より柔軟に BLOB とファイル ストレージ アカウントをセキュリティで保護します。 カスタマー マネージド キーを指定すると、データを暗号化するキーへのアクセスを保護および制御するために、そのキーが使用されます。 カスタマー マネージド キーを使用すると、キー暗号化キーのローテーションを制御したり、データを暗号的に消去したりするための追加機能が提供されます。	Audit、Disabled	1.0.3
Azure Kubernetes Service クラスターのエージェント ノード プールのための一時ディスクおよびキャッシュは、ホストで暗号化する必要がある	データ セキュリティを強化するために、Azure Kubernetes Service ノード仮想マシン (VM) の VM ホストに格納されているデータは、保存時に暗号化する必要があります。 これは、さまざまな規制や業界のコンプライアンス標準での一般的な要件です。	Audit、Deny、Disabled	1.0.1
Transparent Data Encryption を SQL データベース上で有効にする必要がある	保存データを保護し、コンプライアンス要件を満たすには、Transparent Data Encryption を有効にする必要があります	AuditIfNotExists、Disabled	2.0.0
仮想マシンおよび仮想マシン スケール セットでは、ホストでの暗号化が有効になっている必要がある	ホストで暗号化を使用して、仮想マシンと仮想マシン スケール セットのデータのためのエンドツーエンドの暗号化を取得します。 ホストでの暗号化を使用すると、一時ディスクと OS およびデータ ディスクのキャッシュの保存時の暗号化が有効になります。 ホストでの暗号化が有効になっている場合、一時およびエフェメラル OS ディスクはプラットフォーム マネージド キーを使用して暗号化されます。 OS とデータ ディスクのキャッシュは、ディスクで選択された暗号化の種類に応じて、カスタマー マネージドまたはプラットフォーム マネージド キーのいずれかを使用して保存時に暗号化されます。 詳細については、https://aka.ms/vm-hbe をご覧ください。	Audit、Deny、Disabled	1.0.0
コンピューティングとストレージのリソース間で一時ディスク、キャッシュ、データ フローを仮想マシンによって暗号化する必要がある	既定では、仮想マシンの OS とデータのディスクは、保存時にプラットフォーム マネージド キーを使用して暗号化されます。 一時ディスク、データ キャッシュ、およびコンピューティングとストレージの間を流れているデータは暗号化されません。 次のような場合は、この推奨事項を無視してください。1. ホストでの暗号化を使用している場合。または 2. マネージド ディスクでのサーバー側暗号化がセキュリティ要件を満たしている場合。 Azure Disk Storage のサーバー側暗号化の詳細は、https://aka.ms/disksse、さまざまなディスク暗号化オファリングhttps://aka.ms/diskencryptioncomparisonを参照してください。	AuditIfNotExists、Disabled	2.0.3

U.12.1 インターフェイス - ネットワーク接続

外部ゾーンまたは信頼されていないゾーンとの接続ポイントでは、攻撃に対する対策が講じられます。

ID: NL BIO クラウド テーマ U.12.1 所有権: 共有

名前 (Azure portal)	説明	効果	Version (GitHub)
ご使用の仮想マシンに関連付けられたネットワーク セキュリティ グループでは、すべてのネットワーク ポートを制限する必要がある	Azure Security Center により、お使いのネットワーク セキュリティ グループの一部の受信規則について制限が少なすぎると判断されました。 受信規則では、"Any" または "Internet" の範囲からのアクセスを許可しないでください。 これにより、攻撃者がお使いのリソースをターゲットにできる可能性があります。	AuditIfNotExists、Disabled	3.0.0
Azure DDoS Protection を有効にする必要があります	パブリック IP を持つアプリケーション ゲートウェイの一部であるサブネットを含むすべての仮想ネットワークに対して DDoS Protection を有効にする必要があります。	AuditIfNotExists、Disabled	3.0.1
Azure Front Door エントリ ポイントに対して Azure Web Application Firewall を有効にする必要がある	受信トラフィックをさらに検査するために、公開されている Web アプリケーションの前に Azure Web Application Firewall (WAF) をデプロイします。 Web Application Firewall (WAF) を使用すると、SQL インジェクション、クロスサイト スクリプティング、ローカルおよびリモートのファイル実行などの一般的な悪用や脆弱性から Web アプリケーションが一元的に保護されます。 また、カスタム ルールを使用して、国、IP アドレス範囲、およびその他の HTTP(S) パラメーターによって Web アプリケーションへのアクセスを制限することもできます。	Audit、Deny、Disabled	1.0.2
仮想マシン上の IP 転送を無効にする必要がある	仮想マシンの NIC で IP 転送を有効にすると、そのマシンはその他の宛先へのトラフィックを受信できます。 IP 転送が必要な状況は (VM をネットワーク仮想アプライアンスとして使用する場合などに) 限られているため、ネットワーク セキュリティ チームはこのことを確認する必要があります。	AuditIfNotExists、Disabled	3.0.0
ストレージ アカウントではネットワーク アクセスを制限する必要があります	ストレージ アカウントに対するネットワーク アクセスは、制限する必要があります。 許可されているネットワークのアプリケーションのみがストレージ アカウントにアクセスできるように、ネットワーク ルールを構成します。 インターネットまたはオンプレミスの特定のクライアントからの接続を許可するために、特定の Azure 仮想ネットワークからのトラフィックまたはパブリック インターネット IP アドレス範囲に対してアクセスを許可することができます。	Audit、Deny、Disabled	1.1.1
Application Gateway に対して Web アプリケーション ファイアウォール (WAF) を有効にする必要がある	受信トラフィックをさらに検査するために、公開されている Web アプリケーションの前に Azure Web Application Firewall (WAF) をデプロイします。 Web Application Firewall (WAF) を使用すると、SQL インジェクション、クロスサイト スクリプティング、ローカルおよびリモートのファイル実行などの一般的な悪用や脆弱性から Web アプリケーションが一元的に保護されます。 また、カスタム ルールを使用して、国、IP アドレス範囲、およびその他の HTTP(S) パラメーターによって Web アプリケーションへのアクセスを制限することもできます。	Audit、Deny、Disabled	2.0.0

U.12.2 インターフェイス - ネットワーク接続

ネットワーク コンポーネントでは、信頼されたネットワークと信頼されていないネットワークの間のネットワーク接続が制限されます。

ID: NL BIO クラウド テーマ U.12.2 所有権: 共有

名前 (Azure portal)	説明	効果	Version (GitHub)
ご使用の仮想マシンに関連付けられたネットワーク セキュリティ グループでは、すべてのネットワーク ポートを制限する必要がある	Azure Security Center により、お使いのネットワーク セキュリティ グループの一部の受信規則について制限が少なすぎると判断されました。 受信規則では、"Any" または "Internet" の範囲からのアクセスを許可しないでください。 これにより、攻撃者がお使いのリソースをターゲットにできる可能性があります。	AuditIfNotExists、Disabled	3.0.0
Azure DDoS Protection を有効にする必要があります	パブリック IP を持つアプリケーション ゲートウェイの一部であるサブネットを含むすべての仮想ネットワークに対して DDoS Protection を有効にする必要があります。	AuditIfNotExists、Disabled	3.0.1
Azure Front Door エントリ ポイントに対して Azure Web Application Firewall を有効にする必要がある	受信トラフィックをさらに検査するために、公開されている Web アプリケーションの前に Azure Web Application Firewall (WAF) をデプロイします。 Web Application Firewall (WAF) を使用すると、SQL インジェクション、クロスサイト スクリプティング、ローカルおよびリモートのファイル実行などの一般的な悪用や脆弱性から Web アプリケーションが一元的に保護されます。 また、カスタム ルールを使用して、国、IP アドレス範囲、およびその他の HTTP(S) パラメーターによって Web アプリケーションへのアクセスを制限することもできます。	Audit、Deny、Disabled	1.0.2
仮想マシン上の IP 転送を無効にする必要がある	仮想マシンの NIC で IP 転送を有効にすると、そのマシンはその他の宛先へのトラフィックを受信できます。 IP 転送が必要な状況は (VM をネットワーク仮想アプライアンスとして使用する場合などに) 限られているため、ネットワーク セキュリティ チームはこのことを確認する必要があります。	AuditIfNotExists、Disabled	3.0.0
ストレージ アカウントではネットワーク アクセスを制限する必要があります	ストレージ アカウントに対するネットワーク アクセスは、制限する必要があります。 許可されているネットワークのアプリケーションのみがストレージ アカウントにアクセスできるように、ネットワーク ルールを構成します。 インターネットまたはオンプレミスの特定のクライアントからの接続を許可するために、特定の Azure 仮想ネットワークからのトラフィックまたはパブリック インターネット IP アドレス範囲に対してアクセスを許可することができます。	Audit、Deny、Disabled	1.1.1
Application Gateway に対して Web アプリケーション ファイアウォール (WAF) を有効にする必要がある	受信トラフィックをさらに検査するために、公開されている Web アプリケーションの前に Azure Web Application Firewall (WAF) をデプロイします。 Web Application Firewall (WAF) を使用すると、SQL インジェクション、クロスサイト スクリプティング、ローカルおよびリモートのファイル実行などの一般的な悪用や脆弱性から Web アプリケーションが一元的に保護されます。 また、カスタム ルールを使用して、国、IP アドレス範囲、およびその他の HTTP(S) パラメーターによって Web アプリケーションへのアクセスを制限することもできます。	Audit、Deny、Disabled	2.0.0

U.15.1 ログ記録と監視 - イベントの記録

ポリシー規則の違反は、CSP と CSC によって記録されます。

ID: NL BIO クラウド テーマ U.15.1 所有権: 共有

名前 (Azure portal)	説明	効果	Version (GitHub)
[プレビュー]: Azure Arc 対応 Kubernetes クラスターには、Microsoft Defender for Cloud 拡張機能がインストールされている必要がある	Azure Arc の Microsoft Defender for Cloud 拡張機能により、Arc 対応 Kubernetes クラスターの脅威保護が提供されます。 拡張機能は、クラスター内のすべてのノードからデータを収集し、そのデータを、詳しく分析するためにクラウド内の Azure Defender for Kubernetes バックエンドに送信します。 詳細については、「https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-enable?pivots=defender-for-container-arc」を参照してください。	AuditIfNotExists、Disabled	6.0.0-preview
一覧に含まれる仮想マシン イメージに対して Log Analytics 拡張機能を有効にする必要がある	定義されている一覧に仮想マシン イメージがなく、拡張機能がインストールされていない場合、仮想マシンを非準拠として報告します。	AuditIfNotExists、Disabled	2.0.1-preview
[プレビュー]: Log Analytics 拡張機能は Linux Azure Arc マシンにインストールする必要がある	このポリシーでは、Log Analytics 拡張機能がインストールされていない場合に、Linux Azure Arc マシンを監査します。	AuditIfNotExists、Disabled	1.0.1-preview
[プレビュー]: Log Analytics 拡張機能は Windows Azure Arc マシンにインストールする必要がある	このポリシーでは、Log Analytics 拡張機能がインストールされていない場合に、Windows Azure Arc マシンを監査します。	AuditIfNotExists、Disabled	1.0.1-preview
[プレビュー]: ネットワーク トラフィック データ収集エージェントを Linux 仮想マシンにインストールする必要がある	Security Center では Microsoft Dependency Agent を使用して Azure 仮想マシンからネットワーク トラフィック データを収集し、ネットワーク マップでのトラフィックの視覚化、ネットワーク強化の推奨事項、特定のネットワークの脅威などの高度なネットワーク保護機能を有効にします。	AuditIfNotExists、Disabled	1.0.2-preview
[プレビュー]: ネットワーク トラフィック データ収集エージェントを Windows 仮想マシンにインストールする必要がある	Security Center では Microsoft Dependency Agent を使用して Azure 仮想マシンからネットワーク トラフィック データを収集し、ネットワーク マップでのトラフィックの視覚化、ネットワーク強化の推奨事項、特定のネットワークの脅威などの高度なネットワーク保護機能を有効にします。	AuditIfNotExists、Disabled	1.0.2-preview
App Service アプリではリソース ログを有効にする必要がある	アプリでリソース ログが有効になっていることを監査します。 これにより、セキュリティ インシデントが発生した場合やネットワークが侵害された場合に、調査目的でアクティビティ証跡を再作成できます。	AuditIfNotExists、Disabled	2.0.1
選択したリソースの種類の診断設定を監査します	選択したリソースの種類の診断設定の監査。 必ず、診断設定をサポートするリソースの種類のみを選んでください。	AuditIfNotExists	2.0.1
SQL Server の監査を有効にする必要があります	サーバー上のすべてのデータベースについてデータベースのアクティビティを追跡して、監査ログに保存するには、お使いの SQL サーバーに対する監査を有効にする必要があります。	AuditIfNotExists、Disabled	2.0.0
サブスクリプションで Log Analytics エージェントの自動プロビジョニングを有効にする必要がある	Azure Security Center では、セキュリティの脆弱性と脅威を監視するために、Azure 仮想マシンからデータを収集します。 データは、以前は Microsoft Monitoring Agent (MMA) と呼ばれていた Log Analytics エージェントによって収集されます。これがセキュリティ関連のさまざまな構成とイベント ログをマシンから読み取り、分析のためにデータを Log Analytics ワークスペースにコピーします。 自動プロビジョニングを有効にして、サポートされているすべての Azure VM と新しく作成された VM にこのエージェントを自動的にデプロイすることをお勧めします。	AuditIfNotExists、Disabled	1.0.1
Azure Defender for App Service を有効にする必要がある	Azure Defender for App Service は、Azure がクラウド プロバイダーとして提供するクラウドの規模と可視性を活用して、Web アプリへの一般的な攻撃を監視します。	AuditIfNotExists、Disabled	1.0.3
Azure Defender for Azure SQL Database サーバーを有効にする必要がある	Azure Defender for SQL により、潜在的なデータベースの脆弱性を明示および軽減するための機能が提供され、SQL データベースへの脅威を示す可能性のある異常なアクティビティが検出され、機密データの検出と分類が行われます。	AuditIfNotExists、Disabled	1.0.2
Azure Defender for Key Vault を有効にする必要がある	Azure Defender for Key Vault では、キー コンテナー アカウントにアクセスしたりそれを悪用したりする、異常で害を及ぼす可能性のある試行を検出することにより、追加の保護レイヤーとセキュリティ インテリジェンスが提供されます。	AuditIfNotExists、Disabled	1.0.3
Azure Defender for Resource Manager を有効にする必要がある	Azure Defender for Resource Manager では、組織内尾のリソース管理操作を自動的に監視します。 Azure Defender では、脅威を検出し、疑わしいアクティビティについて警告します。 Azure Defender for Resource Manager の機能に関する詳細については、https://aka.ms/defender-for-resource-manager を参照してください。 この Azure Defender プランを有効にすると、料金が発生します。 リージョンごとの料金の詳細については、Security Center の価格に関するページを参照してください: https://aka.ms/pricing-security-center。	AuditIfNotExists、Disabled	1.0.0
サーバー用 Azure Defender を有効にする必要がある	サーバー用 Azure Defender では、サーバーのワークロードに対するリアルタイムの脅威の防止が提供され、セキュリティ強化の推奨事項と、不審なアクティビティに関するアラートが生成されます。	AuditIfNotExists、Disabled	1.0.3
Azure Defender for SQL servers on machines を有効にする必要がある	Azure Defender for SQL により、潜在的なデータベースの脆弱性を明示および軽減するための機能が提供され、SQL データベースへの脅威を示す可能性のある異常なアクティビティが検出され、機密データの検出と分類が行われます。	AuditIfNotExists、Disabled	1.0.2
保護されていない Azure SQL サーバーに対して Azure Defender for SQL を有効にする必要がある	Advanced Data Security を使用していない SQL サーバーの監査	AuditIfNotExists、Disabled	2.0.1
保護されていない SQL Managed Instance に対して Azure Defender for SQL を有効にする必要がある	Advanced Data Security を使用していない各 SQL Managed Instance を監査します。	AuditIfNotExists、Disabled	1.0.2
Azure Front Door でリソース ログを有効にする必要がある	Azure Front Door (および WAF) のリソース ログを有効にし、Log Analytics ワークスペースにストリームします。 受信 Web トラフィックおよび攻撃を軽減するために実行されたアクションを詳しく表示します。	AuditIfNotExists、Disabled	1.0.0
Azure Front Door Standard または Premium (Plus WAF) でリソース ログを有効にする必要がある	Azure Front Door Standard または Premium (および WAF) のリソース ログと、Log Analytics ワークスペースへのストリームを有効にします。 受信 Web トラフィックおよび攻撃を軽減するために実行されたアクションを詳しく表示します。	AuditIfNotExists、Disabled	1.0.0
一覧に含まれる仮想マシン イメージに対して依存関係エージェントを有効にする必要がある	定義されている一覧に仮想マシン イメージがなく、エージェントがインストールされていない場合、仮想マシンを非準拠として報告します。 OS イメージの一覧は、サポートの更新に伴って更新されます。	AuditIfNotExists、Disabled	2.0.0
一覧に含まれる仮想マシン イメージの仮想マシン スケール セットでは依存関係エージェントを有効にする必要がある	定義された一覧に仮想マシン イメージがなく、エージェントがインストールされていない場合は、仮想マシン スケール セットを非準拠として報告します。 OS イメージの一覧は、サポートの更新に伴って更新されます。	AuditIfNotExists、Disabled	2.0.0
ゲスト構成拡張機能をマシンにインストールする必要がある	マシンのゲスト内設定について、セキュリティで保護された構成を確保するには、ゲスト構成拡張機能をインストールします。 この拡張機能によって監視されるゲスト内設定には、オペレーティング システムの構成、アプリケーションの構成またはプレゼンス、環境設定が含まれます。 インストールが完了すると、"Windows Exploit Guard を有効にする必要がある" のようなゲスト内ポリシーを使用できるようになります。 詳細については、https://aka.ms/gcpol をご覧ください。	AuditIfNotExists、Disabled	1.0.3
Azure Security Center での監視のために、仮想マシンに Log Analytics エージェントをインストールする必要がある	このポリシーは、Log Analytics エージェントがインストールされていない場合にすべての Windows または Linux 仮想マシン (VM) を監査します。Security Center ではこれを使用してセキュリティの脆弱性や脅威を監視します	AuditIfNotExists、Disabled	1.0.0
Azure Security Center での監視のために、仮想マシン スケール セットに Log Analytics エージェントをインストールする必要がある	Security Center では、セキュリティの脆弱性と脅威を監視するために、Azure 仮想マシン (VM) からデータを収集します。	AuditIfNotExists、Disabled	1.0.0
一覧に含まれる仮想マシン イメージの仮想マシン スケール セットでは Log Analytics 拡張機能を有効にする必要がある	定義されている一覧に仮想マシン イメージがなく、拡張機能がインストールされていない場合、仮想マシン スケール セットを非準拠として報告します。	AuditIfNotExists、Disabled	2.0.1
Microsoft Defender for Containers を有効にする必要がある	Microsoft Defender for Containers では、Azure、ハイブリッド、マルチクラウド Kubernetes 環境に対する強化、脆弱性評価、ランタイム保護を提供します。	AuditIfNotExists、Disabled	1.0.0
Microsoft Defender for Storageを有効にする必要があります	Microsoft Defender for Storage では、お使いのストレージ アカウントに対する潜在的脅威が検出されます。 これは、データおよびワークロードに対する 3 つの大きな影響、すなわち、悪意のあるファイルのアップロード、機密データの流出、データの破損を防ぐのに役立ちます。 新しい Defender for Storage プランには、マルウェア スキャンと機密データの脅威検出機能が含まれています。 このプランはまた、(ストレージ アカウントごとの) 価格構造が予想しやすくなっており、カバレッジとコストを制御できます。	AuditIfNotExists、Disabled	1.0.0
Network Watcher を有効にする必要がある	Network Watcher は地域サービスであり、ネットワーク シナリオ レベルで Azure 内と Azure 間の状態を監視して診断できます。 シナリオ レベルの監視により、エンド ツー エンドのネットワーク レベル ビューで問題を診断できるようになります。 仮想ネットワークが存在するすべてのリージョンに Network Watcher リソース グループを作成する必要があります。 特定のリージョンで Network Watcher リソース グループを使用できない場合は、アラートが有効になります。	AuditIfNotExists、Disabled	3.0.0
Azure Data Lake Store のリソース ログを有効にする必要がある	リソース ログが有効になっていることを監査します。 これにより、セキュリティ インシデントが発生した場合やお使いのネットワークが侵害された場合に、調査目的で使用するアクティビティ証跡を再作成できます	AuditIfNotExists、Disabled	5.0.0
Azure Databricks ワークスペースのリソース ログを有効にする必要があります	リソース ログにより、セキュリティ インシデントの発生時や、ネットワークがセキュリティ侵害されたときに、調査の目的に使用するアクティビティ証跡を再作成できます。	AuditIfNotExists、Disabled	1.0.1
Azure Kubernetes Service でリソース ログを有効にする必要がある	Azure Kubernetes Service のリソース ログは、セキュリティ インシデントを調査するときにアクティビティ証跡を再作成するのに役立ちます。 これを有効にして、ログが必要なときに確実に存在するようにします	AuditIfNotExists、Disabled	1.0.0
Azure Machine Learning ワークスペースのリソース ログを有効にする必要があります	リソース ログにより、セキュリティ インシデントの発生時や、ネットワークがセキュリティ侵害されたときに、調査の目的に使用するアクティビティ証跡を再作成できます。	AuditIfNotExists、Disabled	1.0.1
Azure Stream Analytics のリソース ログを有効にする必要がある	リソース ログが有効になっていることを監査します。 これにより、セキュリティ インシデントが発生した場合やお使いのネットワークが侵害された場合に、調査目的で使用するアクティビティ証跡を再作成できます	AuditIfNotExists、Disabled	5.0.0
Batch アカウントのリソース ログを有効にする必要がある	リソース ログが有効になっていることを監査します。 これにより、セキュリティ インシデントが発生した場合やお使いのネットワークが侵害された場合に、調査目的で使用するアクティビティ証跡を再作成できます	AuditIfNotExists、Disabled	5.0.0
Data Lake Analytics のリソース ログを有効にする必要がある	リソース ログが有効になっていることを監査します。 これにより、セキュリティ インシデントが発生した場合やお使いのネットワークが侵害された場合に、調査目的で使用するアクティビティ証跡を再作成できます	AuditIfNotExists、Disabled	5.0.0
イベント ハブのリソース ログを有効にする必要がある	リソース ログが有効になっていることを監査します。 これにより、セキュリティ インシデントが発生した場合やお使いのネットワークが侵害された場合に、調査目的で使用するアクティビティ証跡を再作成できます	AuditIfNotExists、Disabled	5.0.0
IoT Hub のリソース ログを有効にする必要がある	リソース ログが有効になっていることを監査します。 これにより、セキュリティ インシデントが発生した場合やお使いのネットワークが侵害された場合に、調査目的で使用するアクティビティ証跡を再作成できます	AuditIfNotExists、Disabled	3.1.0
Key Vault のリソース ログを有効にする必要がある	リソース ログが有効になっていることを監査します。 これにより、セキュリティ インシデントが発生した場合やお使いのネットワークが侵害された場合に、調査目的で使用するアクティビティ証跡を再作成できます	AuditIfNotExists、Disabled	5.0.0
Logic Apps のリソース ログを有効にする必要がある	リソース ログが有効になっていることを監査します。 これにより、セキュリティ インシデントが発生した場合やお使いのネットワークが侵害された場合に、調査目的で使用するアクティビティ証跡を再作成できます	AuditIfNotExists、Disabled	5.1.0
Search サービスのリソース ログを有効にする必要がある	リソース ログが有効になっていることを監査します。 これにより、セキュリティ インシデントが発生した場合やお使いのネットワークが侵害された場合に、調査目的で使用するアクティビティ証跡を再作成できます	AuditIfNotExists、Disabled	5.0.0
Service Bus のリソース ログを有効にする必要がある	リソース ログが有効になっていることを監査します。 これにより、セキュリティ インシデントが発生した場合やお使いのネットワークが侵害された場合に、調査目的で使用するアクティビティ証跡を再作成できます	AuditIfNotExists、Disabled	5.0.0
仮想マシンのゲスト構成拡張機能はシステム割り当てマネージド ID を使用してデプロイする必要がある	ゲスト構成拡張機能には、システム割り当てマネージド ID が必要です。 このポリシーのスコープ内の Azure 仮想マシンは、ゲスト構成拡張機能がインストールされていても、システム割り当てマネージド ID がなければ非準拠になります。 詳細については、https://aka.ms/gcpol を参照してください	AuditIfNotExists、Disabled	1.0.1

U.15.3 ログ記録と監視 - イベントの記録

CSP は、ログ記録と監視の観点から重要なすべての資産の一覧を保持し、この一覧を確認します。

ID: NL BIO クラウド テーマ U.15.3 所有権: 共有

名前 (Azure portal)	説明	効果	Version (GitHub)
一覧に含まれる仮想マシン イメージに対して Log Analytics 拡張機能を有効にする必要がある	定義されている一覧に仮想マシン イメージがなく、拡張機能がインストールされていない場合、仮想マシンを非準拠として報告します。	AuditIfNotExists、Disabled	2.0.1-preview
選択したリソースの種類の診断設定を監査します	選択したリソースの種類の診断設定の監査。 必ず、診断設定をサポートするリソースの種類のみを選んでください。	AuditIfNotExists	2.0.1
SQL Server の監査を有効にする必要があります	サーバー上のすべてのデータベースについてデータベースのアクティビティを追跡して、監査ログに保存するには、お使いの SQL サーバーに対する監査を有効にする必要があります。	AuditIfNotExists、Disabled	2.0.0
一覧に含まれる仮想マシン イメージに対して依存関係エージェントを有効にする必要がある	定義されている一覧に仮想マシン イメージがなく、エージェントがインストールされていない場合、仮想マシンを非準拠として報告します。 OS イメージの一覧は、サポートの更新に伴って更新されます。	AuditIfNotExists、Disabled	2.0.0
一覧に含まれる仮想マシン イメージの仮想マシン スケール セットでは依存関係エージェントを有効にする必要がある	定義された一覧に仮想マシン イメージがなく、エージェントがインストールされていない場合は、仮想マシン スケール セットを非準拠として報告します。 OS イメージの一覧は、サポートの更新に伴って更新されます。	AuditIfNotExists、Disabled	2.0.0
一覧に含まれる仮想マシン イメージの仮想マシン スケール セットでは Log Analytics 拡張機能を有効にする必要がある	定義されている一覧に仮想マシン イメージがなく、拡張機能がインストールされていない場合、仮想マシン スケール セットを非準拠として報告します。	AuditIfNotExists、Disabled	2.0.1

U.17.1 マルチテナント アーキテクチャ - 暗号化

転送時および保存時の CSC データは暗号化されます。

ID: NL BIO クラウド テーマ U.17.1 所有権: Microsoft

名前 (Azure portal)	説明	効果	Version (GitHub)
サブスクリプションには最大 3 人の所有者を指定する必要がある	セキュリティ侵害を受けたサブスクリプション所有者が侵害を引き起こす可能性を下げるため、指定する所有者は最大 3 人までにすることをお勧めします。	AuditIfNotExists、Disabled	3.0.0
ディザスター リカバリーを構成されていない仮想マシンの監査	ディザスター リカバリーが構成されていない仮想マシンを監査します。 ディザスター リカバリーの詳細については、https://aka.ms/asr-doc にアクセスしてください。	auditIfNotExists	1.0.0
仮想マシンに対して Azure Backup を有効にする必要がある	Azure Backup を有効にして、Azure Virtual Machines を保護します。 Azure Backup は、Azure 向けの安全で費用対効果の高いデータ保護ソリューションです。	AuditIfNotExists、Disabled	3.0.0
複数の所有者がサブスクリプションに割り当てられている必要がある	管理者アクセスの冗長性を確保するため、複数のサブスクリプション所有者を指定することをお勧めします。	AuditIfNotExists、Disabled	3.0.0
Synapse ワークスペースで脆弱性評価を有効にする必要がある	Synapse ワークスペースで定期的な SQL 脆弱性評価スキャンを構成することで、潜在的な脆弱性を検出、追跡、修復します。	AuditIfNotExists、Disabled	1.0.0

次のステップ

Azure Policy に関するその他の記事:

• 規制コンプライアンスの概要。
• イニシアチブ定義の構造を参照してください。
• Azure Policy のサンプルの他の例を確認します。
• 「Policy の効果について」を確認します。
• 準拠していないリソースを修復する方法を学習します。