Azure Policy の規制コンプライアンスにより、さまざまなコンプライアンス基準に関連するコンプライアンス ドメインおよびセキュリティ コントロールに対して、"組み込み" と呼ばれる、Microsoft が作成および管理するイニシアチブ定義が提供されます。 このページでは、Azure Storage 用のコンプライアンス ドメインとセキュリティ コントロールの一覧を示します。 セキュリティ コントロールの組み込みを個別に割り当てることで、Azure リソースを特定の基準に準拠させることができます。
各組み込みポリシー定義のタイトルは、Azure portal のポリシー定義にリンクしています。 [ポリシーのバージョン] 列のリンクを使用すると、Azure Policy GitHub リポジトリのソースを表示できます。
Important
各コントロールは、1 つ以上の Azure Policy 定義に関連付けられています。 これらのポリシーは、コントロールに対するコンプライアンスの評価に役立つ場合があります。 ただし、コントロールと 1 つ以上のポリシーの間には、一対一または完全な一致が存在しない場合がほとんどです。 そのため、Azure Policy での準拠は、ポリシー自体のみを指しています。 これによって、コントロールのすべての要件に完全に準拠していることが保証されるわけではありません。 また、コンプライアンス標準には、現時点でどの Azure Policy 定義でも対応されていないコントロールが含まれています。 したがって、Azure Policy でのコンプライアンスは、全体のコンプライアンス状態の部分的ビューでしかありません。 これらのコンプライアンス標準に対するコントロールと Azure Policy 規制コンプライアンス定義の間の関連付けは、時間の経過と共に変わることがあります。
オーストラリア政府 ISM PROTECTED
すべての Azure サービスに対して使用可能な Azure Policy 組み込みを、このコンプライアンス基準に対応させる方法については、Azure Policy の規制コンプライアンス - Australian Government ISM PROTECTED に関するページを参照してください。 このコンプライアンス基準の詳細については、Australian Government ISM PROTECTED を参照してください。
| Domain | コントロール ID | コントロールのタイトル | Policy (Azure ポータル) |
ポリシーのバージョン (GitHub) |
|---|---|---|---|---|
| ネットワークのガイドライン - ネットワーク設計と構成 | 520 | ネットワーク アクセス制御 - 520 | ストレージ アカウントではネットワーク アクセスを制限する必要があります | 1.1.1 |
| ネットワークのガイドライン - ネットワーク設計と構成 | 1182 | ネットワーク アクセス制御 - 1182 | ストレージ アカウントではネットワーク アクセスを制限する必要があります | 1.1.1 |
| データベース システムのガイドライン - データベース サーバー | 1277 | データベース サーバーと Web サーバー間の通信 - 1277 | ストレージ アカウントへの安全な転送を有効にする必要がある | 2.0.0 |
| システムのセキュリティ強化のためのガイドライン - 認証のセキュリティ強化 | 1546 | システムに対する認証 - 1546 | ストレージ アカウントではネットワーク アクセスを制限する必要があります | 1.1.1 |
カナダ連邦の PBMM
すべての Azure サービスで使用可能な Azure Policy 組み込みがこのコンプライアンス標準にどのように対応するのかを確認するには、Azure Policy の規制コンプライアンス - カナダ連邦 PBMM に関する記事をご覧ください。 このコンプライアンス標準の詳細については、カナダ連邦 PBMM に関するドキュメントをご覧ください。
| Domain | コントロール ID | コントロールのタイトル | Policy (Azure ポータル) |
ポリシーのバージョン (GitHub) |
|---|---|---|---|---|
| Access Control | AC-17(1) | リモート アクセス | 自動監視/制御 | ストレージ アカウントではネットワーク アクセスを制限する必要があります | 1.1.1 |
| システムと通信の保護 | SC-7 | 境界保護 | ストレージ アカウントではネットワーク アクセスを制限する必要があります | 1.1.1 |
| システムと通信の保護 | SC-8(1) | 送信の機密性と整合性 | 暗号化または代替の物理的保護 | ストレージ アカウントへの安全な転送を有効にする必要がある | 2.0.0 |
CIS Microsoft Azure 基盤ベンチマーク 1.1.0
すべての Azure サービスに対して使用可能な Azure Policy 組み込みがこのコンプライアンス標準にどのように対応するのかを確認するには、Azure Policy の規制コンプライアンス - CIS Microsoft Azure Foundations Benchmark 1.1.0 に関するページを参照してください。 このコンプライアンス標準の詳細については、CIS Microsoft Azure Foundations Benchmark に関するページを参照してください。
| Domain | コントロール ID | コントロールのタイトル | Policy (Azure ポータル) |
ポリシーのバージョン (GitHub) |
|---|---|---|---|---|
| 3 ストレージ アカウント | 3.1 | [安全な転送が必要] が [有効] に設定されていることを確認する | ストレージ アカウントへの安全な転送を有効にする必要がある | 2.0.0 |
| 3 ストレージ アカウント | 3.6 | BLOB コンテナーの "パブリック アクセス レベル" が "プライベート" に設定されていることを確認する | ストレージ アカウントのパブリック アクセスを禁止する必要がある | 3.1.1 |
| 3 ストレージ アカウント | 3.7 | ストレージ アカウントの既定のネットワーク アクセス ルールが拒否に設定されていることを確認する | ストレージ アカウントではネットワーク アクセスを制限する必要があります | 1.1.1 |
| 3 ストレージ アカウント | 3.8 | ストレージ アカウント アクセスに対して [信頼された Microsoft サービス] が有効になっていることを確認する | ストレージ アカウントは、信頼された Microsoft サービスからのアクセスを許可する必要がある | 1.0.0 |
| 5 ログ記録と監視 | 5.1.5 | アクティビティ ログを格納するストレージ コンテナーにパブリックにアクセスできないことを確認する | ストレージ アカウントのパブリック アクセスを禁止する必要がある | 3.1.1 |
| 5 ログ記録と監視 | 5.1.6 | アクティビティ ログがあるコンテナーを含むストレージ アカウントが BYOK (独自のキーの使用) を使用して暗号化されていることを確認する | アクティビティ ログがあるコンテナーを含むストレージ アカウントは、BYOK を使用して暗号化する必要がある | 1.0.0 |
CIS Microsoft Azure 基盤ベンチマーク 1.3.0
すべての Azure サービスに対して使用可能な Azure Policy 組み込みがこのコンプライアンス標準にどのように対応するのかを確認するには、Azure Policy の規制コンプライアンス - CIS Microsoft Azure Foundations Benchmark 1.3.0 に関するページを参照してください。 このコンプライアンス標準の詳細については、CIS Microsoft Azure Foundations Benchmark に関するページを参照してください。
| Domain | コントロール ID | コントロールのタイトル | Policy (Azure ポータル) |
ポリシーのバージョン (GitHub) |
|---|---|---|---|---|
| 3 ストレージ アカウント | 3.1 | [安全な転送が必要] が [有効] に設定されていることを確認する | ストレージ アカウントへの安全な転送を有効にする必要がある | 2.0.0 |
| 3 ストレージ アカウント | 3.5 | BLOB コンテナーの "パブリック アクセス レベル" が "プライベート" に設定されていることを確認する | ストレージ アカウントのパブリック アクセスを禁止する必要がある | 3.1.1 |
| 3 ストレージ アカウント | 3.6 | ストレージ アカウントの既定のネットワーク アクセス ルールが拒否に設定されていることを確認する | ストレージ アカウントではネットワーク アクセスを制限する必要があります | 1.1.1 |
| 3 ストレージ アカウント | 3.6 | ストレージ アカウントの既定のネットワーク アクセス ルールが拒否に設定されていることを確認する | ストレージ アカウントは、仮想ネットワーク ルールを使用してネットワーク アクセスを制限する必要がある | 1.0.1 |
| 3 ストレージ アカウント | 3.7 | ストレージ アカウント アクセスに対して [信頼された Microsoft サービス] が有効になっていることを確認する | ストレージ アカウントは、信頼された Microsoft サービスからのアクセスを許可する必要がある | 1.0.0 |
| 3 ストレージ アカウント | 3.9 | 重要なデータのストレージがカスタマー マネージド キーを使用して暗号化されていることを確認する | ストレージ アカウントでは、暗号化にカスタマー マネージド キーを使用する必要がある | 1.0.3 |
| 5 ログ記録と監視 | 5.1.3 | アクティビティ ログを格納するストレージ コンテナーにパブリックにアクセスできないことを確認する | ストレージ アカウントのパブリック アクセスを禁止する必要がある | 3.1.1 |
| 5 ログ記録と監視 | 5.1.4 | アクティビティ ログがあるコンテナーを含むストレージ アカウントが BYOK (独自のキーの使用) を使用して暗号化されていることを確認する | アクティビティ ログがあるコンテナーを含むストレージ アカウントは、BYOK を使用して暗号化する必要がある | 1.0.0 |
CIS Microsoft Azure 基盤ベンチマーク 1.4.0
すべての Azure サービスで使用可能な Azure Policy の組み込みがこのコンプライアンス標準にどのように対応しているのかを確認するには、CIS v1.4.0 に関する Azure Policy の規制コンプライアンスの詳細に関する記事を参照してください。 このコンプライアンス標準の詳細については、CIS Microsoft Azure Foundations Benchmark に関するページを参照してください。
| Domain | コントロール ID | コントロールのタイトル | Policy (Azure ポータル) |
ポリシーのバージョン (GitHub) |
|---|---|---|---|---|
| 3 ストレージ アカウント | 3.1 | [安全な転送が必要] が [有効] に設定されていることを確認する | ストレージ アカウントへの安全な転送を有効にする必要がある | 2.0.0 |
| 3 ストレージ アカウント | 3.5 | BLOB コンテナーの "パブリック アクセス レベル" が "プライベート" に設定されていることを確認する | ストレージ アカウントのパブリック アクセスを禁止する必要がある | 3.1.1 |
| 3 ストレージ アカウント | 3.6 | ストレージ アカウントの既定のネットワーク アクセス ルールが拒否に設定されていることを確認する | ストレージ アカウントではネットワーク アクセスを制限する必要があります | 1.1.1 |
| 3 ストレージ アカウント | 3.6 | ストレージ アカウントの既定のネットワーク アクセス ルールが拒否に設定されていることを確認する | ストレージ アカウントは、仮想ネットワーク ルールを使用してネットワーク アクセスを制限する必要がある | 1.0.1 |
| 3 ストレージ アカウント | 3.7 | ストレージ アカウントのアクセスに対して [信頼された Microsoft サービス] が有効になっていることを確認する | ストレージ アカウントは、信頼された Microsoft サービスからのアクセスを許可する必要がある | 1.0.0 |
| 3 ストレージ アカウント | 3.9 | 重要なデータのストレージがカスタマー マネージド キーを使用して暗号化されていることを確認する | ストレージ アカウントでは、暗号化にカスタマー マネージド キーを使用する必要がある | 1.0.3 |
| 5 ログ記録と監視 | 5.1.3 | アクティビティ ログを格納するストレージ コンテナーにパブリックにアクセスできないことを確認する | ストレージ アカウントのパブリック アクセスを禁止する必要がある | 3.1.1 |
| 5 ログ記録と監視 | 5.1.4 | アクティビティ ログがあるコンテナーを含むストレージ アカウントが BYOK (独自のキーの使用) を使用して暗号化されていることを確認する | アクティビティ ログがあるコンテナーを含むストレージ アカウントは、BYOK を使用して暗号化する必要がある | 1.0.0 |
CIS Microsoft Azure Foundations ベンチマーク 2.0.0
すべての Azure サービスで使用可能な Azure Policy の組み込みがこのコンプライアンス標準にどのように対応しているのかを確認するには、CIS v2.0.0 に関する Azure Policy の規制コンプライアンスの詳細に関する記事を参照してください。 このコンプライアンス標準の詳細については、CIS Microsoft Azure Foundations Benchmark に関するページを参照してください。
| Domain | コントロール ID | コントロールのタイトル | Policy (Azure ポータル) |
ポリシーのバージョン (GitHub) |
|---|---|---|---|---|
| 3 | 3.1 | [安全な転送が必要] が [有効] に設定されていることを確認する | ストレージ アカウントへの安全な転送を有効にする必要がある | 2.0.0 |
| 3 | 3.10 | ストレージ アカウントへのアクセスにプライベート エンドポイントが使われていることを確認する | ストレージ アカウントではプライベート リンクを使用する必要がある | 2.0.0 |
| 3 | 3.12 | 重要なデータのストレージがカスタマー マネージド キーを使用して暗号化されていることを確認する | ストレージ アカウントでは、暗号化にカスタマー マネージド キーを使用する必要がある | 1.0.3 |
| 3 | 3.15 | ストレージ アカウントの [TLS の最小バージョン] が [バージョン 1.2] に設定されていることを確認する | ストレージ アカウントには、指定された最小 TLS バージョンが必要 | 1.0.0 |
| 3 | 3.2 | Azure Storage の各ストレージ アカウントの [インフラストラクチャ暗号化の有効化] が [有効] に設定されていることを確認する | ストレージ アカウントはインフラストラクチャ暗号化を行う必要がある | 1.0.0 |
| 3 | 3.7 | BLOB コンテナーを使うストレージ アカウントで [パブリック アクセス レベル] が無効になっていることを確認する | ストレージ アカウントのパブリック アクセスを禁止する必要がある | 3.1.1 |
| 3 | 3.8 | ストレージ アカウントの既定のネットワーク アクセス ルールが拒否に設定されていることを確認する | ストレージ アカウントではネットワーク アクセスを制限する必要があります | 1.1.1 |
| 3 | 3.8 | ストレージ アカウントの既定のネットワーク アクセス ルールが拒否に設定されていることを確認する | ストレージ アカウントは、仮想ネットワーク ルールを使用してネットワーク アクセスを制限する必要がある | 1.0.1 |
| 3 | 3.9 | ストレージ アカウント アクセスの [信頼されたサービスの一覧にある Azure サービスがこのストレージ アカウントにアクセスすることを許可します] が [有効] になっていることを確認する | ストレージ アカウントは、信頼された Microsoft サービスからのアクセスを許可する必要がある | 1.0.0 |
| 5.1 | 5.1.3 | アクティビティ ログを格納するストレージ コンテナーにパブリックにアクセスできないことを確認する | ストレージ アカウントのパブリック アクセスを禁止する必要がある | 3.1.1 |
| 5.1 | 5.1.4 | アクティビティ ログがあるコンテナーを含むストレージ アカウントがカスタマー マネージド キーを使って暗号化されていることを確認する | アクティビティ ログがあるコンテナーを含むストレージ アカウントは、BYOK を使用して暗号化する必要がある | 1.0.0 |
CMMC レベル 3
すべての Azure サービスで使用可能な Azure Policy 組み込みがこのコンプライアンス標準にどのように対応するのかを確認するには、Azure Policy の規制コンプライアンス - CMMC レベル 3 に関する記事をご覧ください。 このコンプライアンス標準の詳細については、サイバーセキュリティ成熟度モデル認定 (CMMC) に関するページをご覧ください。
| Domain | コントロール ID | コントロールのタイトル | Policy (Azure ポータル) |
ポリシーのバージョン (GitHub) |
|---|---|---|---|---|
| Access Control | AC.1.001 | 情報システムへのアクセスを、許可されているユーザー、許可されているユーザーの代わりに動作するプロセス、およびデバイス (他の情報システムを含む) に制限する。 | ストレージ アカウントのパブリック アクセスを禁止する必要がある | 3.1.1 |
| Access Control | AC.1.001 | 情報システムへのアクセスを、許可されているユーザー、許可されているユーザーの代わりに動作するプロセス、およびデバイス (他の情報システムを含む) に制限する。 | ストレージ アカウントは、信頼された Microsoft サービスからのアクセスを許可する必要がある | 1.0.0 |
| Access Control | AC.1.001 | 情報システムへのアクセスを、許可されているユーザー、許可されているユーザーの代わりに動作するプロセス、およびデバイス (他の情報システムを含む) に制限する。 | ストレージ アカウントではネットワーク アクセスを制限する必要があります | 1.1.1 |
| Access Control | AC.1.002 | 情報システムへのアクセスを、許可されているユーザーが実行を許可されているトランザクションおよび機能の種類に制限する。 | ストレージ アカウントへの安全な転送を有効にする必要がある | 2.0.0 |
| Access Control | AC.1.002 | 情報システムへのアクセスを、許可されているユーザーが実行を許可されているトランザクションおよび機能の種類に制限する。 | ストレージ アカウントのパブリック アクセスを禁止する必要がある | 3.1.1 |
| Access Control | AC.1.002 | 情報システムへのアクセスを、許可されているユーザーが実行を許可されているトランザクションおよび機能の種類に制限する。 | ストレージ アカウントは、信頼された Microsoft サービスからのアクセスを許可する必要がある | 1.0.0 |
| Access Control | AC.1.002 | 情報システムへのアクセスを、許可されているユーザーが実行を許可されているトランザクションおよび機能の種類に制限する。 | ストレージ アカウントではネットワーク アクセスを制限する必要があります | 1.1.1 |
| Access Control | AC.2.013 | リモート アクセス セッションの監視および制御を行う。 | ストレージ アカウントではネットワーク アクセスを制限する必要があります | 1.1.1 |
| Access Control | AC.2.016 | 承認された認可に従って CUI のフローを制御する。 | ストレージ アカウントのパブリック アクセスを禁止する必要がある | 3.1.1 |
| Access Control | AC.2.016 | 承認された認可に従って CUI のフローを制御する。 | ストレージ アカウントではネットワーク アクセスを制限する必要があります | 1.1.1 |
| 構成管理 | CM.3.068 | 不要なプログラム、関数、ポート、プロトコル、およびサービスの使用を制限、無効化、または禁止する。 | ストレージ アカウントのパブリック アクセスを禁止する必要がある | 3.1.1 |
| 構成管理 | CM.3.068 | 不要なプログラム、関数、ポート、プロトコル、およびサービスの使用を制限、無効化、または禁止する。 | ストレージ アカウントではネットワーク アクセスを制限する必要があります | 1.1.1 |
| システムと通信の保護 | SC.1.175 | 組織システムの外部境界と主要な内部境界で、通信 (つまり、組織システムによって送受信される情報) を監視、制御、および保護する。 | ストレージ アカウントへの安全な転送を有効にする必要がある | 2.0.0 |
| システムと通信の保護 | SC.1.175 | 組織システムの外部境界と主要な内部境界で、通信 (つまり、組織システムによって送受信される情報) を監視、制御、および保護する。 | ストレージ アカウントのパブリック アクセスを禁止する必要がある | 3.1.1 |
| システムと通信の保護 | SC.1.175 | 組織システムの外部境界と主要な内部境界で、通信 (つまり、組織システムによって送受信される情報) を監視、制御、および保護する。 | ストレージ アカウントではネットワーク アクセスを制限する必要があります | 1.1.1 |
| システムと通信の保護 | SC.1.176 | 内部ネットワークから物理的または論理的に分離されている、公的にアクセス可能なシステム コンポーネントのサブネットワークを実装する。 | ストレージ アカウントではネットワーク アクセスを制限する必要があります | 1.1.1 |
| システムと通信の保護 | SC.3.177 | CUI の機密性を保護するために使用する場合は、FIPS 検証済みの暗号化を採用する。 | ストレージ アカウントはインフラストラクチャ暗号化を行う必要がある | 1.0.0 |
| システムと通信の保護 | SC.3.177 | CUI の機密性を保護するために使用する場合は、FIPS 検証済みの暗号化を採用する。 | ストレージ アカウントでは、暗号化にカスタマー マネージド キーを使用する必要がある | 1.0.3 |
| システムと通信の保護 | SC.3.183 | ネットワーク通信トラフィックを既定で拒否し、ネットワーク通信トラフィックを例外的に許可する (つまり、すべて拒否し、例外的に許可する)。 | ストレージ アカウントのパブリック アクセスを禁止する必要がある | 3.1.1 |
| システムと通信の保護 | SC.3.183 | ネットワーク通信トラフィックを既定で拒否し、ネットワーク通信トラフィックを例外的に許可する (つまり、すべて拒否し、例外的に許可する)。 | ストレージ アカウントは、信頼された Microsoft サービスからのアクセスを許可する必要がある | 1.0.0 |
| システムと通信の保護 | SC.3.183 | ネットワーク通信トラフィックを既定で拒否し、ネットワーク通信トラフィックを例外的に許可する (つまり、すべて拒否し、例外的に許可する)。 | ストレージ アカウントではネットワーク アクセスを制限する必要があります | 1.1.1 |
| システムと通信の保護 | SC.3.185 | 代替の物理的な保護手段によって保護されている場合を除き、送信中に CUI の不正な開示を防ぐための暗号化メカニズムを実装する。 | ストレージ アカウントへの安全な転送を有効にする必要がある | 2.0.0 |
| システムと通信の保護 | SC.3.185 | 代替の物理的な保護手段によって保護されている場合を除き、送信中に CUI の不正な開示を防ぐための暗号化メカニズムを実装する。 | ストレージ アカウントではネットワーク アクセスを制限する必要があります | 1.1.1 |
| システムと通信の保護 | SC.3.191 | 保存時の CUI の機密性を保護する。 | ストレージ アカウントはインフラストラクチャ暗号化を行う必要がある | 1.0.0 |
| システムと通信の保護 | SC.3.191 | 保存時の CUI の機密性を保護する。 | ストレージ アカウントではネットワーク アクセスを制限する必要があります | 1.1.1 |
FedRAMP High
すべての Azure サービスに対して使用可能な Azure Policy 組み込みがこのコンプライアンス標準にどのように対応するのかを確認するには、Azure Policy の規制コンプライアンス - FedRAMP High に関するページを参照してください。 このコンプライアンス標準の詳細については、FedRAMP High に関するページを参照してください。
FedRAMP Moderate
すべての Azure サービスに対して使用可能な Azure Policy 組み込みがこのコンプライアンス標準にどのように対応するのかを確認するには、Azure Policy の規制コンプライアンス - FedRAMP Moderate に関するページを参照してください。 このコンプライアンス標準の詳細については、FedRAMP Moderate に関するページを参照してください。
HIPAA（医療保険の相互運用性と説明責任に関する法律）HITRUST（健康情報技術に関する信頼フレームワーク）
すべての Azure サービスで使用可能な Azure Policy 組み込み環境がこのコンプライアンス標準にどのようにマップされるかを確認するには、「 Azure Policy 規制コンプライアンス - HIPAA HITRUST」を参照してください。 このコンプライアンス標準の詳細については、 HIPAA HITRUST を参照してください。
| Domain | コントロール ID | コントロールのタイトル | Policy (Azure ポータル) |
ポリシーのバージョン (GitHub) |
|---|---|---|---|---|
| 外部パーティに関連するリスクの特定 | 1401.05i1Organizational.1239 - 05.i | 外部パーティによる組織の情報やシステムへのアクセスは、デュー デリジェンスが実施され、適切な制御が実装され、パーティがその義務を理解して同意することを確認する、セキュリティ要件を反映した契約が署名されるまで、許可されません。 | ストレージ アカウントへの安全な転送を有効にする必要がある | 2.0.0 |
| 08 ネットワーク保護 | 0805.01m1Organizational.12-01.m | 0805.01m1Organizational.12-01.m 01.04 ネットワーク アクセス制御 | ストレージ アカウントは仮想ネットワーク サービス エンドポイントを使用する必要があります | 1.0.0 |
| 08 ネットワーク保護 | 0806.01m2Organizational.12356-01.m | 0806.01m2Organizational.12356-01.m 01.04 ネットワーク アクセス制御 | ストレージ アカウントは仮想ネットワーク サービス エンドポイントを使用する必要があります | 1.0.0 |
| 08 ネットワーク保護 | 0809.01n2Organizational.1234-01.n | 0809.01n2Organizational.1234-01.n 01.04 ネットワーク アクセス制御 | ストレージ アカウントへの安全な転送を有効にする必要がある | 2.0.0 |
| 08 ネットワーク保護 | 0810.01n2Organizational.5-01.n | 0810.01n2Organizational.5-01.n 01.04 ネットワーク アクセス制御 | ストレージ アカウントへの安全な転送を有効にする必要がある | 2.0.0 |
| 08 ネットワーク保護 | 0811.01n2Organizational.6-01.n | 0811.01n2Organizational.6-01.n 01.04 ネットワーク アクセス制御 | ストレージ アカウントへの安全な転送を有効にする必要がある | 2.0.0 |
| 08 ネットワーク保護 | 0812.01n2Organizational.8-01.n | 0812.01n2Organizational.8-01.n 01.04 ネットワーク アクセス制御 | ストレージ アカウントへの安全な転送を有効にする必要がある | 2.0.0 |
| 08 ネットワーク保護 | 0814.01n1Organizational.12-01.n | 0814.01n1Organizational.12-01.n 01.04 ネットワーク アクセス制御 | ストレージ アカウントへの安全な転送を有効にする必要がある | 2.0.0 |
| 08 ネットワーク保護 | 0866.09m3Organizational.1516-09.m | 0866.09m3Organizational.1516-09.m 09.06 ネットワークのセキュリティ管理 | ストレージ アカウントではネットワーク アクセスを制限する必要があります | 1.1.1 |
| 08 ネットワーク保護 | 0894.01m2Organizational.7-01.m | 0894.01m2Organizational.7-01.m 01.04 ネットワーク アクセス制御 | ストレージ アカウントは仮想ネットワーク サービス エンドポイントを使用する必要があります | 1.0.0 |
| ネットワーク コントロール | 0867.09m3Organizational.17 - 09.m | ワイヤレス アクセス ポイントをセキュリティで保護された領域に配置し、使用されていないとき (夜間、週末など) はシャットダウンします。 | ストレージ アカウントは仮想ネットワーク サービス エンドポイントを使用する必要があります | 1.0.0 |
| 09 伝送保護 | 0943.09y1Organizational.1-09.y | 0943.09y1Organizational.1-09.y 09.09 電子商取引サービス | ストレージ アカウントへの安全な転送を有効にする必要がある | 2.0.0 |
IRS 1075 (2016 年 9 月)
すべての Azure サービスで使用可能な Azure Policy 組み込みがこのコンプライアンス標準にどのように対応するのかを確認するには、Azure Policy の規制コンプライアンス - IRS 1075 (2016 年 9 月) に関する記事をご覧ください。 このコンプライアンス標準の詳細については、IRS 1075 (2016 年 9 月) に関するドキュメントをご覧ください。
| Domain | コントロール ID | コントロールのタイトル | Policy (Azure ポータル) |
ポリシーのバージョン (GitHub) |
|---|---|---|---|---|
| Access Control | 9.3.1.12 | リモート アクセス (AC-17) | ストレージ アカウントではネットワーク アクセスを制限する必要があります | 1.1.1 |
| システムと通信の保護 | 9.3.16.5 | 境界保護 (SC-7) | ストレージ アカウントではネットワーク アクセスを制限する必要があります | 1.1.1 |
| システムと通信の保護 | 9.3.16.6 | 送信の機密性と整合性 (SC-8) | ストレージ アカウントへの安全な転送を有効にする必要がある | 2.0.0 |
ISO 27001:2013
すべての Azure サービスで使用可能な Azure Policy 組み込みがこのコンプライアンス標準にどのように対応するのかを確認するには、Azure Policy の規制コンプライアンス - ISO 27001:2013 に関する記事をご覧ください。 このコンプライアンス標準の詳細については、ISO 27001:2013 に関するドキュメントをご覧ください。
| Domain | コントロール ID | コントロールのタイトル | Policy (Azure ポータル) |
ポリシーのバージョン (GitHub) |
|---|---|---|---|---|
| Cryptography | 10.1.1 | 暗号化コントロールの使用に関するポリシー | ストレージ アカウントへの安全な転送を有効にする必要がある | 2.0.0 |
| 通信のセキュリティ | 13.1.1 | ネットワークコントロール | ストレージ アカウントではネットワーク アクセスを制限する必要があります | 1.1.1 |
| 通信のセキュリティ | 13.2.1 | 情報転送のポリシーと手順 | ストレージ アカウントへの安全な転送を有効にする必要がある | 2.0.0 |
| Access Control | 9.1.2 | ネットワークおよびネットワーク サービスへのアクセス | ストレージ アカウントを新しい Azure Resource Manager リソースに移行する必要がある | 1.0.0 |
Microsoft Cloud for Sovereignty のベースライン機密ポリシー
すべての Azure サービスで使用できる Azure Policy の組み込みが、このコンプライアンス標準にどのように対応するかを確認するには、MCfS Sovereignty のベースライン機密ポリシーについての Azure Policy の規制コンプライアンスの詳細に関する記事を参照してください。 このコンプライアンス標準の詳細については、「Microsoft Cloud for Sovereignty ポリシー ポートフォリオ」を参照してください。
| Domain | コントロール ID | コントロールのタイトル | Policy (Azure ポータル) |
ポリシーのバージョン (GitHub) |
|---|---|---|---|---|
| SO.3 - カスタマー マネージド キー | SO.3 | 可能な場合にはカスタマー マネージド キーを使うように Azure 製品を構成する必要があります。 | Queue Storage では暗号化にカスタマー マネージド キーを使用する必要がある | 1.0.0 |
| SO.3 - カスタマー マネージド キー | SO.3 | 可能な場合にはカスタマー マネージド キーを使うように Azure 製品を構成する必要があります。 | ストレージ アカウントの暗号化スコープでは保存データを暗号化するためにカスタマー マネージド キーを使用する必要がある | 1.0.0 |
| SO.3 - カスタマー マネージド キー | SO.3 | 可能な場合にはカスタマー マネージド キーを使うように Azure 製品を構成する必要があります。 | ストレージ アカウントでは、暗号化にカスタマー マネージド キーを使用する必要がある | 1.0.3 |
| SO.3 - カスタマー マネージド キー | SO.3 | 可能な場合にはカスタマー マネージド キーを使うように Azure 製品を構成する必要があります。 | Table Storage では暗号化にカスタマー マネージド キーを使用する必要がある | 1.0.0 |
Microsoft クラウド セキュリティ ベンチマーク
Microsoft クラウド セキュリティ ベンチマークでは、Azure 上のクラウド ソリューションをセキュリティで保護する方法に関する推奨事項が提供されます。 このサービスを完全に Microsoft クラウド セキュリティ ベンチマークにマップする方法については、「Azure Security Benchmark mapping files」 (Azure セキュリティ ベンチマークのマッピング ファイル) を参照してください。
すべての Azure サービスに対して使用可能な Azure Policy 組み込みを、このコンプライアンス基準に対応させる方法については、Azure Policy の規制コンプライアンス - Microsoft クラウド セキュリティ ベンチマークに関するページをご覧ください。
NIST SP 800-171 R2
すべての Azure サービスに対して使用可能な Azure Policy 組み込みがこのコンプライアンス標準にどのように対応するのかを確認するには、Azure Policy の規制コンプライアンス - NIST SP 800-171 R2 に関するページを参照してください。 このコンプライアンス標準の詳細については、NIST SP 800-171 R2 に関するページを参照してください。
| Domain | コントロール ID | コントロールのタイトル | Policy (Azure ポータル) |
ポリシーのバージョン (GitHub) |
|---|---|---|---|---|
| Access Control | 3.1.1 | 承認されているユーザー、承認されているユーザーの代わりに動作するプロセス、およびデバイス (他のシステムを含む) へのシステム アクセスを制限する。 | ストレージ アカウントを新しい Azure Resource Manager リソースに移行する必要がある | 1.0.0 |
| Access Control | 3.1.1 | 承認されているユーザー、承認されているユーザーの代わりに動作するプロセス、およびデバイス (他のシステムを含む) へのシステム アクセスを制限する。 | ストレージ アカウントではネットワーク アクセスを制限する必要があります | 1.1.1 |
| Access Control | 3.1.1 | 承認されているユーザー、承認されているユーザーの代わりに動作するプロセス、およびデバイス (他のシステムを含む) へのシステム アクセスを制限する。 | ストレージ アカウントではプライベート リンクを使用する必要がある | 2.0.0 |
| Access Control | 3.1.12 | リモート アクセス セッションの監視および制御を行う。 | ストレージ アカウントではネットワーク アクセスを制限する必要があります | 1.1.1 |
| Access Control | 3.1.12 | リモート アクセス セッションの監視および制御を行う。 | ストレージ アカウントではプライベート リンクを使用する必要がある | 2.0.0 |
| Access Control | 3.1.13 | リモート アクセス セッションの機密性を保護するため暗号化メカニズムを採用する。 | ストレージ アカウントではネットワーク アクセスを制限する必要があります | 1.1.1 |
| Access Control | 3.1.13 | リモート アクセス セッションの機密性を保護するため暗号化メカニズムを採用する。 | ストレージ アカウントではプライベート リンクを使用する必要がある | 2.0.0 |
| Access Control | 3.1.14 | 管理対象のアクセス制御ポイントを介してリモート アクセスをルーティングする。 | ストレージ アカウントではネットワーク アクセスを制限する必要があります | 1.1.1 |
| Access Control | 3.1.14 | 管理対象のアクセス制御ポイントを介してリモート アクセスをルーティングする。 | ストレージ アカウントではプライベート リンクを使用する必要がある | 2.0.0 |
| Access Control | 3.1.2 | システム アクセスを、認可されたユーザーが実行を許可されているトランザクションおよび機能の種類に限定する。 | ストレージ アカウントを新しい Azure Resource Manager リソースに移行する必要がある | 1.0.0 |
| Access Control | 3.1.3 | 承認された認可に従って CUI のフローを制御する。 | ストレージ アカウントのパブリック アクセスを禁止する必要がある | 3.1.1 |
| Access Control | 3.1.3 | 承認された認可に従って CUI のフローを制御する。 | ストレージ アカウントではネットワーク アクセスを制限する必要があります | 1.1.1 |
| Access Control | 3.1.3 | 承認された認可に従って CUI のフローを制御する。 | ストレージ アカウントは、仮想ネットワーク ルールを使用してネットワーク アクセスを制限する必要がある | 1.0.1 |
| Access Control | 3.1.3 | 承認された認可に従って CUI のフローを制御する。 | ストレージ アカウントではプライベート リンクを使用する必要がある | 2.0.0 |
| システムと通信の保護 | 3.13.1 | 組織システムの外部境界と主要な内部境界で、通信 (つまり、組織システムによって送受信される情報) を監視、制御、および保護する。 | ストレージ アカウントのパブリック アクセスを禁止する必要がある | 3.1.1 |
| システムと通信の保護 | 3.13.1 | 組織システムの外部境界と主要な内部境界で、通信 (つまり、組織システムによって送受信される情報) を監視、制御、および保護する。 | ストレージ アカウントではネットワーク アクセスを制限する必要があります | 1.1.1 |
| システムと通信の保護 | 3.13.1 | 組織システムの外部境界と主要な内部境界で、通信 (つまり、組織システムによって送受信される情報) を監視、制御、および保護する。 | ストレージ アカウントは、仮想ネットワーク ルールを使用してネットワーク アクセスを制限する必要がある | 1.0.1 |
| システムと通信の保護 | 3.13.1 | 組織システムの外部境界と主要な内部境界で、通信 (つまり、組織システムによって送受信される情報) を監視、制御、および保護する。 | ストレージ アカウントではプライベート リンクを使用する必要がある | 2.0.0 |
| システムと通信の保護 | 3.13.10 | 組織のシステムで採用されている暗号化の暗号化キーを確立し、管理する。 | ストレージ アカウントの暗号化スコープでは保存データを暗号化するためにカスタマー マネージド キーを使用する必要がある | 1.0.0 |
| システムと通信の保護 | 3.13.10 | 組織のシステムで採用されている暗号化の暗号化キーを確立し、管理する。 | ストレージ アカウントでは、暗号化にカスタマー マネージド キーを使用する必要がある | 1.0.3 |
| システムと通信の保護 | 3.13.16 | 保存時の CUI の機密性を保護する。 | ストレージ アカウントはインフラストラクチャ暗号化を行う必要がある | 1.0.0 |
| システムと通信の保護 | 3.13.2 | 組織のシステム内で効果的な情報セキュリティを促進するアーキテクチャ設計、ソフトウェア開発手法、システム エンジニアリングの原則を採用する。 | ストレージ アカウントのパブリック アクセスを禁止する必要がある | 3.1.1 |
| システムと通信の保護 | 3.13.2 | 組織のシステム内で効果的な情報セキュリティを促進するアーキテクチャ設計、ソフトウェア開発手法、システム エンジニアリングの原則を採用する。 | ストレージ アカウントではネットワーク アクセスを制限する必要があります | 1.1.1 |
| システムと通信の保護 | 3.13.2 | 組織のシステム内で効果的な情報セキュリティを促進するアーキテクチャ設計、ソフトウェア開発手法、システム エンジニアリングの原則を採用する。 | ストレージ アカウントは、仮想ネットワーク ルールを使用してネットワーク アクセスを制限する必要がある | 1.0.1 |
| システムと通信の保護 | 3.13.2 | 組織のシステム内で効果的な情報セキュリティを促進するアーキテクチャ設計、ソフトウェア開発手法、システム エンジニアリングの原則を採用する。 | ストレージ アカウントではプライベート リンクを使用する必要がある | 2.0.0 |
| システムと通信の保護 | 3.13.5 | 内部ネットワークから物理的または論理的に分離されている、公的にアクセス可能なシステム コンポーネントのサブネットワークを実装する。 | ストレージ アカウントのパブリック アクセスを禁止する必要がある | 3.1.1 |
| システムと通信の保護 | 3.13.5 | 内部ネットワークから物理的または論理的に分離されている、公的にアクセス可能なシステム コンポーネントのサブネットワークを実装する。 | ストレージ アカウントではネットワーク アクセスを制限する必要があります | 1.1.1 |
| システムと通信の保護 | 3.13.5 | 内部ネットワークから物理的または論理的に分離されている、公的にアクセス可能なシステム コンポーネントのサブネットワークを実装する。 | ストレージ アカウントは、仮想ネットワーク ルールを使用してネットワーク アクセスを制限する必要がある | 1.0.1 |
| システムと通信の保護 | 3.13.5 | 内部ネットワークから物理的または論理的に分離されている、公的にアクセス可能なシステム コンポーネントのサブネットワークを実装する。 | ストレージ アカウントではプライベート リンクを使用する必要がある | 2.0.0 |
| システムと通信の保護 | 3.13.6 | ネットワーク通信トラフィックを既定で拒否し、ネットワーク通信トラフィックを例外的に許可する (つまり、すべて拒否し、例外的に許可する)。 | ストレージ アカウントのパブリック アクセスを禁止する必要がある | 3.1.1 |
| システムと通信の保護 | 3.13.6 | ネットワーク通信トラフィックを既定で拒否し、ネットワーク通信トラフィックを例外的に許可する (つまり、すべて拒否し、例外的に許可する)。 | ストレージ アカウントではネットワーク アクセスを制限する必要があります | 1.1.1 |
| システムと通信の保護 | 3.13.6 | ネットワーク通信トラフィックを既定で拒否し、ネットワーク通信トラフィックを例外的に許可する (つまり、すべて拒否し、例外的に許可する)。 | ストレージ アカウントは、仮想ネットワーク ルールを使用してネットワーク アクセスを制限する必要がある | 1.0.1 |
| システムと通信の保護 | 3.13.8 | 代替の物理的な保護手段によって保護されている場合を除き、送信中に CUI の不正な開示を防ぐための暗号化メカニズムを実装する。 | ストレージ アカウントへの安全な転送を有効にする必要がある | 2.0.0 |
NIST SP 800-53 改訂4
すべての Azure サービスに対して使用可能な Azure Policy 組み込みがこのコンプライアンス標準にどのように対応するのかを確認するには、Azure Policy の規制コンプライアンス - NIST SP 800-53 Rev. 4 に関するページを参照してください。 このコンプライアンス標準の詳細については、NIST SP 800-53 Rev. 4 に関するページを参照してください。
NIST SP 800-53 改訂版5
すべての Azure サービスに対して使用可能な Azure Policy 組み込みがこのコンプライアンス標準にどのように対応するのかを確認するには、Azure Policy の規制コンプライアンス - NIST SP 800-53 Rev. 5 に関するページを参照してください。 このコンプライアンス標準の詳細については、NIST SP 800-53 Rev. 5 に関するページを参照してください。
NL BIO クラウド テーマ
すべての Azure サービスで使用可能な Azure Policy の組み込みがこのコンプライアンス標準にどのように対応しているのかを確認するには、NL BIO Cloud Theme に関する Azure Policy の規制コンプライアンスの詳細に関するページを参照してください。 このコンプライアンス標準の詳細については、「ベースライン情報セキュリティ政府サイバーセキュリティ - デジタル政府 (digitaleoverheid.nl)」を参照してください。
| Domain | コントロール ID | コントロールのタイトル | Policy (Azure ポータル) |
ポリシーのバージョン (GitHub) |
|---|---|---|---|---|
| B.09.1 個人データのプライバシーと保護 - セキュリティのアスペクトとステージ | B.09.1 | 可用性、整合性、機密性に関する対策が講じられました。 | ストレージ アカウントへの安全な転送を有効にする必要がある | 2.0.0 |
| U.05.1 データ保護 - 暗号化対策 | U.05.1 | データ転送は暗号化によって保護され、可能であれば CSC 自体によってキーが管理されます。 | ストレージ アカウントへの安全な転送を有効にする必要がある | 2.0.0 |
| U.05.2 データ保護 - 暗号化対策 | U.05.2 | クラウド サービスに格納されているデータは、最新の状態に保護されます。 | ストレージ アカウントの暗号化スコープでは保存データを暗号化するためにカスタマー マネージド キーを使用する必要がある | 1.0.0 |
| U.05.2 データ保護 - 暗号化対策 | U.05.2 | クラウド サービスに格納されているデータは、最新の状態に保護されます。 | ストレージ アカウントはインフラストラクチャ暗号化を行う必要がある | 1.0.0 |
| U.05.2 データ保護 - 暗号化対策 | U.05.2 | クラウド サービスに格納されているデータは、最新の状態に保護されます。 | ストレージ アカウントでは、暗号化にカスタマー マネージド キーを使用する必要がある | 1.0.3 |
| U.07.1 データの分離 - 分離 | U.07.1 | データの永続的な分離は、マルチテナント アーキテクチャです。 パッチは制御された方法で実現されます。 | ストレージ アカウントのパブリック アクセスを禁止する必要がある | 3.1.1 |
| U.07.1 データの分離 - 分離 | U.07.1 | データの永続的な分離は、マルチテナント アーキテクチャです。 パッチは制御された方法で実現されます。 | ストレージ アカウントではネットワーク アクセスを制限する必要があります | 1.1.1 |
| U.07.1 データの分離 - 分離 | U.07.1 | データの永続的な分離は、マルチテナント アーキテクチャです。 パッチは制御された方法で実現されます。 | ストレージ アカウントは、仮想ネットワーク ルールを使用してネットワーク アクセスを制限する必要がある | 1.0.1 |
| U.07.1 データの分離 - 分離 | U.07.1 | データの永続的な分離は、マルチテナント アーキテクチャです。 パッチは制御された方法で実現されます。 | ストレージ アカウントではプライベート リンクを使用する必要がある | 2.0.0 |
| U.07.3 データの分離 - 管理機能 | U.07.3 | U.07.3 - CSC データおよび/または暗号化キーを表示あるいは変更する権限は、制御された方法で付与され、使用状況がログに記録されます。 | ストレージ アカウントでは、共有キーのアクセスを禁止する必要がある | 2.0.0 |
| U.10.2 IT サービスとデータへのアクセス - ユーザー | U.10.2 | CSP の責任のもとで、管理者にアクセス権が付与されます。 | ストレージ アカウントを新しい Azure Resource Manager リソースに移行する必要がある | 1.0.0 |
| U.10.2 IT サービスとデータへのアクセス - ユーザー | U.10.2 | CSP の責任のもとで、管理者にアクセス権が付与されます。 | ストレージ アカウントでは、共有キーのアクセスを禁止する必要がある | 2.0.0 |
| U.10.3 IT サービスとデータへのアクセス - ユーザー | U.10.3 | 認証された機器を持っているユーザーのみが IT サービスとデータにアクセスできます。 | ストレージ アカウントを新しい Azure Resource Manager リソースに移行する必要がある | 1.0.0 |
| U.10.3 IT サービスとデータへのアクセス - ユーザー | U.10.3 | 認証された機器を持っているユーザーのみが IT サービスとデータにアクセスできます。 | ストレージ アカウントでは、共有キーのアクセスを禁止する必要がある | 2.0.0 |
| U.10.5 IT サービスとデータへのアクセス - 適格性 | U.10.5 | IT サービスとデータへのアクセスは技術的な手段によって制限されており、実装されています。 | ストレージ アカウントを新しい Azure Resource Manager リソースに移行する必要がある | 1.0.0 |
| U.10.5 IT サービスとデータへのアクセス - 適格性 | U.10.5 | IT サービスとデータへのアクセスは技術的な手段によって制限されており、実装されています。 | ストレージ アカウントでは、共有キーのアクセスを禁止する必要がある | 2.0.0 |
| U.11.1 暗号化サービス - ポリシー | U.11.1 | 暗号ポリシーには、少なくとも BIO に準拠した問題が詳述されています。 | ストレージ アカウントへの安全な転送を有効にする必要がある | 2.0.0 |
| U.11.2 暗号化サービス - 暗号化手段 | U.11.2 | PKIoverheid 証明書の場合は、キー管理に PKIoverheid 要件を使用します。 その他の状況では、ISO11770 を使用します。 | ストレージ アカウントへの安全な転送を有効にする必要がある | 2.0.0 |
| U.11.3 暗号化サービス - 暗号化 | U.11.3 | 機密データは、CSC によって管理される秘密キーを使用して常に暗号化されます。 | ストレージ アカウントの暗号化スコープでは保存データを暗号化するためにカスタマー マネージド キーを使用する必要がある | 1.0.0 |
| U.11.3 暗号化サービス - 暗号化 | U.11.3 | 機密データは、CSC によって管理される秘密キーを使用して常に暗号化されます。 | ストレージ アカウントはインフラストラクチャ暗号化を行う必要がある | 1.0.0 |
| U.11.3 暗号化サービス - 暗号化 | U.11.3 | 機密データは、CSC によって管理される秘密キーを使用して常に暗号化されます。 | ストレージ アカウントでは、暗号化にカスタマー マネージド キーを使用する必要がある | 1.0.3 |
| U.12.1 インターフェイス - ネットワーク接続 | U.12.1 | 外部ゾーンまたは信頼されていないゾーンとの接続ポイントでは、攻撃に対する対策が講じられます。 | ストレージ アカウントではネットワーク アクセスを制限する必要があります | 1.1.1 |
| U.12.2 インターフェイス - ネットワーク接続 | U.12.2 | ネットワーク コンポーネントでは、信頼されたネットワークと信頼されていないネットワークの間のネットワーク接続が制限されます。 | ストレージ アカウントではネットワーク アクセスを制限する必要があります | 1.1.1 |
PCI DSS 3.2.1
すべての Azure サービスで使用可能な Azure Policy の組み込みがこのコンプライアンス標準にどのように対応するのかを確認するには、PCI DSS 3.2.1 を参照してください。 このコンプライアンス標準の詳細については、PCI DSS 3.2.1 に関する記事をご覧ください。
| Domain | コントロール ID | コントロールのタイトル | Policy (Azure ポータル) |
ポリシーのバージョン (GitHub) |
|---|---|---|---|---|
| 要件 1 | 1.3.2 | PCI DSS 要件 1.3.2 | ストレージ アカウントではネットワーク アクセスを制限する必要があります | 1.1.1 |
| 要件 1 | 1.3.4 | PCI DSS 要件 1.3.4 | ストレージ アカウントではネットワーク アクセスを制限する必要があります | 1.1.1 |
| 要件 10 | 10.5.4 | PCI DSS 要件 10.5.4 | ストレージ アカウントを新しい Azure Resource Manager リソースに移行する必要がある | 1.0.0 |
| 要件 3 | 3.4 | PCI DSS 要件 3.4 | ストレージ アカウントへの安全な転送を有効にする必要がある | 2.0.0 |
| 要件 4 | 4.1 | PCI DSS 要件 4.1 | ストレージ アカウントへの安全な転送を有効にする必要がある | 2.0.0 |
| 要件 6 | 6.5.3 | PCI DSS 要件 6.5.3 | ストレージ アカウントへの安全な転送を有効にする必要がある | 2.0.0 |
PCI DSS v4.0
すべての Azure サービスに対して使用可能な Azure Policy の組み込みがこのコンプライアンス標準にどのように対応するのかを確認するには、PCI DSS v4.0 に関する Azure Policy の規制コンプライアンスの詳細に関する記事を参照してください。 このコンプライアンス標準の詳細については、「PCI DSS v4.0」をご覧ください。
| Domain | コントロール ID | コントロールのタイトル | Policy (Azure ポータル) |
ポリシーのバージョン (GitHub) |
|---|---|---|---|---|
| 要件 01: ネットワーク セキュリティ制御をインストールして維持する | 1.3.2 | カード所有者データの環境との間のネットワーク アクセスが制限されている | ストレージ アカウントではネットワーク アクセスを制限する必要があります | 1.1.1 |
| 要件 01: ネットワーク セキュリティ制御をインストールして維持する | 1.4.2 | 信頼されたネットワークと信頼されていないネットワーク間のネットワーク接続が制御されている | ストレージ アカウントではネットワーク アクセスを制限する必要があります | 1.1.1 |
| 要件 10: システム コンポーネントおよびカード所有者データへのすべてのアクセスを記録して監視する | 10.2.2 | 異常および疑わしいアクティビティの検出とイベントのフォレンジック分析をサポートするために、監査ログが実装されている | ストレージ アカウントを新しい Azure Resource Manager リソースに移行する必要がある | 1.0.0 |
| 要件 10: システム コンポーネントおよびカード所有者データへのすべてのアクセスを記録して監視する | 10.3.3 | 監査ログは、破棄および非認可の変更から保護されている | ストレージ アカウントを新しい Azure Resource Manager リソースに移行する必要がある | 1.0.0 |
| 要件 03: 保存されるアカウント データを保護する | 3.5.1 | プライマリ アカウント番号 (PAN) は、保存される場合は必ずセキュリティで保護される | ストレージ アカウントへの安全な転送を有効にする必要がある | 2.0.0 |
| 要件 06: セキュリティで保護されたシステムとソフトウェアを開発し、維持する | 6.2.4 | パッケージおよびカスタム ソフトウェアが安全に開発されている | ストレージ アカウントへの安全な転送を有効にする必要がある | 2.0.0 |
インド準備銀行 - NBFC 向けの IT フレームワーク
すべての Azure サービスで使用可能な Azure Policy の組み込みがこのコンプライアンス標準にどのように対応するのかを確認するには、Azure Policy 規制コンプライアンス - インド準備銀行 - NBFC 向けの IT フレームワークに関する記事を参照してください。 このコンプライアンス標準の詳細については、インド準備銀行 - NBFC 向けの IT フレームワークに関するページを参照してください。
| Domain | コントロール ID | コントロールのタイトル | Policy (Azure ポータル) |
ポリシーのバージョン (GitHub) |
|---|---|---|---|---|
| 情報とサイバーセキュリティ | 3.1.g | Trails-3.1 | アクティビティ ログがあるコンテナーを含むストレージ アカウントは、BYOK を使用して暗号化する必要がある | 1.0.0 |
| 情報とサイバーセキュリティ | 3.1.h | 公開キー基盤 (PKI)-3.1 | ストレージ アカウントへの安全な転送を有効にする必要がある | 2.0.0 |
| 情報とサイバーセキュリティ | 3.1.h | 公開キー基盤 (PKI)-3.1 | ストレージ アカウントの暗号化スコープでは保存データを暗号化するためにカスタマー マネージド キーを使用する必要がある | 1.0.0 |
| 情報とサイバーセキュリティ | 3.1.h | 公開キー基盤 (PKI)-3.1 | ストレージ アカウントの暗号化スコープでは、保存データに対して二重暗号化を使用する必要がある | 1.0.0 |
| 情報とサイバーセキュリティ | 3.1.h | 公開キー基盤 (PKI)-3.1 | ストレージ アカウントはインフラストラクチャ暗号化を行う必要がある | 1.0.0 |
| 情報とサイバーセキュリティ | 3.1.h | 公開キー基盤 (PKI)-3.1 | ストレージ アカウントでは、暗号化にカスタマー マネージド キーを使用する必要がある | 1.0.3 |
インド準備銀行の銀行向けの IT フレームワーク v2016
すべての Azure サービスで使用可能な Azure Policy 組み込みがこのコンプライアンス標準にどのように対応するのかを確認するには、Azure Policy 規制コンプライアンス - RBI ITF Banks v2016 に関する記事を参照してください。 このコンプライアンス標準の詳細については、RBI ITF Banks v2016 (PDF) を参照してください。
| Domain | コントロール ID | コントロールのタイトル | Policy (Azure ポータル) |
ポリシーのバージョン (GitHub) |
|---|---|---|---|---|
| メールおよびメッセージング システムのセキュリティ保護 | メールおよびメッセージング システムのセキュリティ保護-10.1 | ストレージ アカウントへの安全な転送を有効にする必要がある | 2.0.0 | |
| パッチまたは脆弱性と変更管理 | パッチまたは脆弱性と変更管理-7.7 | ストレージ アカウントのパブリック アクセスを禁止する必要がある | 3.1.1 | |
| 高度なリアルタイム脅威防御と管理 | 詳細なリアルタイム脅威保護と管理-13.1 | ストレージ アカウントを新しい Azure Resource Manager リソースに移行する必要がある | 1.0.0 | |
| データ漏洩防止戦略 | データ漏洩防止戦略-15.2 | ストレージ アカウントで公衆ネットワーク アクセスを無効にする必要がある | 1.1.0 | |
| パッチまたは脆弱性と変更管理 | パッチまたは脆弱性と変更管理-7.7 | ストレージ アカウントではネットワーク アクセスを制限する必要があります | 1.1.1 | |
| パッチまたは脆弱性と変更管理 | パッチまたは脆弱性と変更管理-7.7 | ストレージ アカウントは、仮想ネットワーク ルールを使用してネットワーク アクセスを制限する必要がある | 1.0.1 | |
| 高度なリアルタイム脅威防御と管理 | 高度なReal-Timethreat防衛と管理-13.4 | ストレージ アカウントでは、暗号化にカスタマー マネージド キーを使用する必要がある | 1.0.3 | |
| パッチまたは脆弱性と変更管理 | パッチまたは脆弱性と変更管理-7.7 | ストレージ アカウントではプライベート リンクを使用する必要がある | 2.0.0 |
RMIT マレーシア
すべての Azure サービスで使用可能な Azure Policy 組み込みがこのコンプライアンス標準にどのように対応するのかを確認するには、Azure Policy 規制コンプライアンス - RMIT マレーシアに関する記事を参照してください。 このコンプライアンス標準の詳細については、RMIT マレーシアに関するページを参照してください。
| Domain | コントロール ID | コントロールのタイトル | Policy (Azure ポータル) |
ポリシーのバージョン (GitHub) |
|---|---|---|---|---|
| Cryptography | 10.16 | 暗号化 - 10.16 | ストレージ アカウントへの安全な転送を有効にする必要がある | 2.0.0 |
| Cryptography | 10.16 | 暗号化 - 10.16 | ストレージ アカウントはインフラストラクチャ暗号化を行う必要がある | 1.0.0 |
| ネットワークの回復性 | 10.39 | ネットワークの回復性 - 10.39 | ストレージ アカウントは仮想ネットワーク サービス エンドポイントを使用する必要があります | 1.0.0 |
| Cloud Services | 10.51 | クラウド サービス - 10.51 | ストレージ アカウントの geo 冗長ストレージを有効にする必要があります | 1.0.0 |
| Cloud Services | 10.53 | クラウド サービス - 10.53 | アクティビティ ログがあるコンテナーを含むストレージ アカウントは、BYOK を使用して暗号化する必要がある | 1.0.0 |
| Cloud Services | 10.53 | クラウド サービス - 10.53 | ストレージ アカウントでは、暗号化にカスタマー マネージド キーを使用する必要がある | 1.0.3 |
| Access Control | 10.55 | アクセス制御 - 10.55 | ストレージ アカウントは、信頼された Microsoft サービスからのアクセスを許可する必要がある | 1.0.0 |
スペイン ENS
すべての Azure サービスで使用可能な Azure Policy の組み込みがこのコンプライアンス標準にどのように対応しているのかを確認するには、「Spain ENS に関する Azure Policy の規制コンプライアンスの詳細」を参照してください。 このコンプライアンス標準の詳細については、CCN-STIC 884 に関するドキュメントを参照してください。
| Domain | コントロール ID | コントロールのタイトル | Policy (Azure ポータル) |
ポリシーのバージョン (GitHub) |
|---|---|---|---|---|
| 保護対策 | mp.com.1 | 通信の保護 | 公衆ネットワーク アクセスを無効にするようにストレージ アカウントを構成する | 1.0.1 |
| 保護対策 | mp.com.1 | 通信の保護 | ストレージ アカウントで公衆ネットワーク アクセスを無効にする必要がある | 1.1.0 |
| 保護対策 | mp.com.3 | 通信の保護 | ストレージ アカウントへの安全な転送を有効にする必要がある | 2.0.0 |
| 保護対策 | mp.info.3 | 情報保護 | ストレージ アカウントへの安全な転送を有効にする必要がある | 2.0.0 |
| 運用フレームワーク | op.acc.2 | アクセス制御 | ストレージ アカウントを新しい Azure Resource Manager リソースに移行する必要がある | 1.0.0 |
| 運用フレームワーク | op.acc.6 | アクセス制御 | ストレージ アカウントへの安全な転送を有効にする必要がある | 2.0.0 |
| 運用フレームワーク | op.exp.10 | Operation | Queue Storage では暗号化にカスタマー マネージド キーを使用する必要がある | 1.0.0 |
| 運用フレームワーク | op.exp.10 | Operation | ストレージ アカウントでは、暗号化にカスタマー マネージド キーを使用する必要がある | 1.0.3 |
| 運用フレームワーク | op.exp.10 | Operation | Table Storage では暗号化にカスタマー マネージド キーを使用する必要がある | 1.0.0 |
| 運用フレームワーク | op.ext.4 | 外部リソース | ストレージ アカウントを新しい Azure Resource Manager リソースに移行する必要がある | 1.0.0 |
| 運用フレームワーク | op.mon.1 | システム監視 | ストレージ アカウントへの安全な転送を有効にする必要がある | 2.0.0 |
SWIFT CSP-CSCF v2021
すべての Azure サービスで使用できる Azure Policy の組み込みが、このコンプライアンス標準にどのように対応するかを確認するには、「SWIFT CSP-CSCF v2021 についての Azure Policy の規制コンプライアンスの詳細」を参照してください。 このコンプライアンス標準の詳細については、「SWIFT CSP CSCF v2021」を参照してください。
| Domain | コントロール ID | コントロールのタイトル | Policy (Azure ポータル) |
ポリシーのバージョン (GitHub) |
|---|---|---|---|---|
| SWIFT 環境保護 | 1.1 | SWIFT 環境保護 | ストレージ アカウントではネットワーク アクセスを制限する必要があります | 1.1.1 |
| SWIFT 環境保護 | 1.1 | SWIFT 環境保護 | ストレージ アカウントは仮想ネットワーク サービス エンドポイントを使用する必要があります | 1.0.0 |
| 攻撃面と脆弱性を減らす | 2.5A | 外部転送データの保護 | ストレージ アカウントの geo 冗長ストレージを有効にする必要があります | 1.0.0 |
| 攻撃面と脆弱性を減らす | 2.5A | 外部転送データの保護 | ストレージ アカウントへの安全な転送を有効にする必要がある | 2.0.0 |
SWIFT CSP-CSCF v2022 （SWIFT CSP-CSCF バージョン2022）
すべての Azure サービスで使用できる Azure Policy の組み込みが、このコンプライアンス標準にどのように対応するかを確認するには、「SWIFT CSP-CSCF v2022 についての Azure Policy の規制コンプライアンスの詳細」を参照してください。 このコンプライアンス標準の詳細については、「SWIFT CSP CSCF v2022」を参照してください。
| Domain | コントロール ID | コントロールのタイトル | Policy (Azure ポータル) |
ポリシーのバージョン (GitHub) |
|---|---|---|---|---|
| 1. 一般的な IT 環境からインターネット アクセスを制限し、重要なシステムを保護する | 1.1 | ユーザーのローカル SWIFT インフラストラクチャが、一般的な IT 環境および外部環境のセキュリティ侵害を受けたおそれのある要素から保護されていることを確かめる。 | ストレージ アカウントではネットワーク アクセスを制限する必要があります | 1.1.1 |
| 1. 一般的な IT 環境からインターネット アクセスを制限し、重要なシステムを保護する | 1.1 | ユーザーのローカル SWIFT インフラストラクチャが、一般的な IT 環境および外部環境のセキュリティ侵害を受けたおそれのある要素から保護されていることを確かめる。 | ストレージ アカウントは仮想ネットワーク サービス エンドポイントを使用する必要があります | 1.0.0 |
| 1. 一般的な IT 環境からインターネット アクセスを制限し、重要なシステムを保護する | 1.5A | 顧客の接続インフラストラクチャが、外部環境、および一般的な IT 環境のセキュリティ侵害を受けたおそれのある要素から保護されていることを確認する。 | ストレージ アカウントではネットワーク アクセスを制限する必要があります | 1.1.1 |
| 1. 一般的な IT 環境からインターネット アクセスを制限し、重要なシステムを保護する | 1.5A | 顧客の接続インフラストラクチャが、外部環境、および一般的な IT 環境のセキュリティ侵害を受けたおそれのある要素から保護されていることを確認する。 | ストレージ アカウントは仮想ネットワーク サービス エンドポイントを使用する必要があります | 1.0.0 |
| 2. 攻撃面と脆弱性を減らす | 2.5A | 外部転送データの保護 | ストレージ アカウントの geo 冗長ストレージを有効にする必要があります | 1.0.0 |
| 2. 攻撃面と脆弱性を減らす | 2.5A | 外部転送データの保護 | ストレージ アカウントへの安全な転送を有効にする必要がある | 2.0.0 |
| 6. システムまたはトランザクション レコードに対する異常なアクティビティを検出する | 6.4 | セキュリティ イベントを記録し、ローカルの SWIFT 環境内での異常なアクションと操作を検出する。 | アクティビティ ログがあるコンテナーを含むストレージ アカウントは、BYOK を使用して暗号化する必要がある | 1.0.0 |
システムおよび組織の管理基準 (System and Organization Controls, SOC) 2
すべての Azure サービスで使用できる Azure Policy の組み込みが、このコンプライアンス標準にどのように対応するかを確認するには、System and Organization Controls (SOC) 2 についての Azure Policy の規制コンプライアンスの詳細に関するページを参照してください。 このコンプライアンス標準の詳細については、「System and Organization Controls (SOC) 2」を参照してください。
| Domain | コントロール ID | コントロールのタイトル | Policy (Azure ポータル) |
ポリシーのバージョン (GitHub) |
|---|---|---|---|---|
| 論理アクセス制御と物理アクセス制御 | CC6.1 | 論理アクセス セキュリティ ソフトウェア、インフラストラクチャ、アーキテクチャ | ストレージ アカウントへの安全な転送を有効にする必要がある | 2.0.0 |
| 論理アクセス制御と物理アクセス制御 | CC6.1 | 論理アクセス セキュリティ ソフトウェア、インフラストラクチャ、アーキテクチャ | アクティビティ ログがあるコンテナーを含むストレージ アカウントは、BYOK を使用して暗号化する必要がある | 1.0.0 |
| 論理アクセス制御と物理アクセス制御 | CC6.1 | 論理アクセス セキュリティ ソフトウェア、インフラストラクチャ、アーキテクチャ | ストレージ アカウントでは、暗号化にカスタマー マネージド キーを使用する必要がある | 1.0.3 |
| 論理アクセス制御と物理アクセス制御 | CC6.6 | システム境界外の脅威に対するセキュリティ対策 | ストレージ アカウントへの安全な転送を有効にする必要がある | 2.0.0 |
| 論理アクセス制御と物理アクセス制御 | CC6.7 | 承認されたユーザーへの情報の移動を制限する | ストレージ アカウントへの安全な転送を有効にする必要がある | 2.0.0 |
| 論理アクセス制御と物理アクセス制御 | CC6.8 | 承認されていないソフトウェアまたは悪意のあるソフトウェアを防止または検出する | ストレージ アカウントは、信頼された Microsoft サービスからのアクセスを許可する必要がある | 1.0.0 |
| 変更管理 | CC8.1 | インフラストラクチャ、データ、およびソフトウェアの変更 | ストレージ アカウントは、信頼された Microsoft サービスからのアクセスを許可する必要がある | 1.0.0 |
UK OFFICIAL および UK NHS
すべての Azure サービスで使用可能な Azure Policy 組み込みがこのコンプライアンス標準にどのように対応するのかを確認するには、Azure Policy の規制コンプライアンス - UK OFFICIAL および UK NHS に関する記事をご覧ください。 このコンプライアンス標準の詳細については、UK OFFICIAL に関するドキュメントをご覧ください。
| Domain | コントロール ID | コントロールのタイトル | Policy (Azure ポータル) |
ポリシーのバージョン (GitHub) |
|---|---|---|---|---|
| 転送中のデータの保護 | 1 | 転送中のデータの保護 | ストレージ アカウントへの安全な転送を有効にする必要がある | 2.0.0 |
| ID と認証 | 10 | ID と認証 | ストレージ アカウントを新しい Azure Resource Manager リソースに移行する必要がある | 1.0.0 |
| 外部インターフェイスの保護 | 11 | 外部インターフェイスの保護 | ストレージ アカウントではネットワーク アクセスを制限する必要があります | 1.1.1 |
| 運用上のセキュリティ | 5.3 | 保護的監視 | ストレージ アカウントではネットワーク アクセスを制限する必要があります | 1.1.1 |
次のステップ
- Azure Policy の規制コンプライアンスについて詳しく学習します。
- Azure Policy GitHub リポジトリのビルトインを参照します。