セキュリティ体制とコンプライアンスを強化する

この記事では、Microsoft [セキュリティ導入モデル]((security-adoption-model.md) の一部として、ゼロトラスト原則を使用して体制とコンプライアンスを強化する方法について説明します。

このビジネスシナリオは、次の結果を達成するのに役立ちます。

セキュリティ体制とコンプライアンスを継続的に改善する

ビジネスリーダーは、セキュリティリスクから保護するために、受託者の義務を満たす必要があります。保護は、進化する脅威からのセキュリティインシデントをカバーし、多くの場合、同じ限られたリソースで規制コンプライアンス要件を満たす必要があります。

このビジネスシナリオは、構造化導入モデルの一部であり、ゼロトラスト原則に基づく最新のセキュリティアプローチを使用してビジネス目標を達成するのに役立ちます。

このガイダンスは、リスクを継続的に特定し、修復の優先順位を付け、組織全体の保護を強化することで、組織のセキュリティ体制を改善し、コンプライアンスを維持するのに役立ちます。

このガイダンスのしくみ

この記事は、セキュリティ戦略を実装に結び付ける構造化導入モデルの一部です。

このようなビジネスシナリオから始めて、達成したい結果を定義します。
このシナリオに適用されるセキュリティ規範を識別します。

これらの規範を使用して、シナリオに必要な戦略、アーキテクチャ、プロセス、およびコントロールを定義します。組織全体で計画、設計、実装する必要がある内容を理解するために、各規範に取り組む。
技術ソリューションを使用してMicrosoftテクノロジを使用してこれらの要件を実装し、ID やデータなどのテクノロジの柱に制御を適用します。

このアプローチにより、セキュリティ体制の改善とコンプライアンスは、個別の作業としてではなく、ゼロトラストアーキテクチャ全体の一部として継続的に維持されます。

セキュリティ体制に新しいアプローチが必要な理由

組織は、規制とコンプライアンスの義務の拡大に対応しながら、ますます高度化する脅威から守るという 2 つの交差する課題に直面しています。

セキュリティ体制: セキュリティ体制は、サイバー脅威を防ぎ、検出し、対応する組織の全体的な能力を表します。強力なセキュリティ体制は、リスクとテクノロジの進化に伴い、測定可能で定量化可能であり、継続的に改善されます。
規制コンプライアンス: 規制コンプライアンスでは、GDPR、CCPA、HIPAA、データ所在地の要件などの法律、規制、業界標準への準拠が必要です。コンプライアンスは 1 回限りではありません。継続的な制御、証拠、運用規範が必要です。

次の両方の要件を満たすことができます。

セキュリティコントロールを実装するための体系的なアプローチ
コンプライアンス要件を超えることが多い組み込み機能
複雑さと運用コストを削減する統合ツール
測定可能な進行状況の追跡とレポート

ビジネスバリュー

セキュリティ体制とコンプライアンスを継続的に改善することの価値は組織全体に利益をもたらしますが、役割によって異なります。

役割	Value
ビジネスリーダーシップ	不要な摩擦を発生させることなく、ビジネス成果に合わせた統合セキュリティで運用します。規制と法的要件を満たしながら、セキュリティインシデント後の復旧時間を短縮します。セキュリティとコンプライアンスの失敗による財務、法的、評判への影響を制限します。
テクノロジの役割	自動化されたコンプライアンス、予測可能なコスト、運用上の摩擦を軽減しながら、テクノロジとセキュリティの要件を満たしながら、標準化されたセキュリティ体制を確立します。
セキュリティロール	組織のリスクに対する可視性と制御の向上。攻撃の摩擦を段階的に増加させ、攻撃者の投資収益率 (ROI) を減らし、爆発半径と攻撃面の露出を制限します。

セキュリティ規範を調整する

セキュリティ規範は、このビジネスシナリオを実現するために必要なアカウンタビリティの構造化された領域を表します。

計画と監視の規範は、必要な戦略、ガバナンス、および組織間の調整を定義します。
技術戦略の規範では、必要なアーキテクチャ、運用、および制御の機能を定義します。
運用規範により、監視、対応、継続的な改善を通じて、セキュリティ制御が時間の経過と同時に有効な状態を維持できます。不正使用を検出し、脅威に対応し、継続的なセキュリティ体制の改善を推進します。

計画と監視の規範

Discipline	アクション
戦略、統合、ガバナンス	セキュリティ体制とコンプライアンスの目標、優先順位、リスク許容度を定義するガバナンスプロセスを確立します。測定可能な目標を設定し、セキュリティの成熟度に向けた進捗状況を追跡します。
エンドツーエンドのセキュリティアーキテクチャ	テクノロジ資産全体にわたってセキュリティ制御と監視を実装します。これらのコントロールを、資産所有者と管理者向けの統合ビューに統合し、コンプライアンス要件をサポートしながら既定でセキュリティで保護されたアーキテクチャを設計します。

技術戦略の規範

Discipline	アクション
アクセスと ID	組織が資産へのアクセスを管理するための意図的で健全なアプローチを持っていることを確認します。ゼロトラスト原則をサポートし、アクセスパターンを可視化する ID ベースのセキュリティ制御を実装します。
インフラストラクチャのセキュリティ	監視を一貫して効果的に適用し、すべてのクラウド、オンプレミスデータセンター、レガシシステムを含む、技術資産内のすべてのインフラストラクチャ資産にセキュリティ制御を適用します。一般的なオペレーティングシステム、デバイス、アプリケーション、およびその他のコンポーネント全体で、セキュリティで保護されたベースラインと構成標準を確立、監視、適用します。
開発セキュリティ	既存のソフトウェアと新しい開発にセキュリティ制御を一貫して効果的に適用します。開発プロセスへのセキュリティ制御の組み込みを統合して自動化します。リリース後を含め、ソフトウェアライフサイクル中にいつでも検出されるセキュリティ上の欠陥を迅速に修正するプロセスを確立します。
データのセキュリティ	知的財産、営業秘密、規制対象データ、その他の機密データを格納するデータ資産のセキュリティとプライバシーの保証を確保するために、セキュリティ制御を一貫して効果的に適用します。規制要件を満たし、データ損失から保護するコントロールを実装します。
OT と IoT のセキュリティ	組織が物理的なプロセスや物理世界と対話する OT/IoT デバイスに対して意図的かつ健全なアプローチを持っていることを確認します。

運用上の規範

Discipline	アクション
SecOps	SecOps と外部ソースからの脅威インテリジェンスを使用して、最も頻繁で影響の大きいセキュリティインシデントに基づいて監視と軽減に優先順位を付けます。検出と応答の機能を継続的に改善します。
セキュリティ体制管理	組織全体のセキュリティ体制を継続的に評価、測定、改善します。 Microsoft Security Exposure Management や Secure Score などのツールを導入して、進捗を追跡します。リスクとビジネスへの影響に基づいて修復に優先順位を付けます。

必要なテクノロジの柱

テクノロジの柱は、このビジネスシナリオをサポートする主要なMicrosoftセキュリティ機能を表します。

柱	セキュリティ露出管理	GitHub Advanced Security	Priva
アイデンティティ	Microsoft Security Exposure Management は、過剰な特権を持つアカウント、古い資格情報、ID の構成ミスを使用する攻撃パスなど、ID 関連のリスクを識別します。	GitHub Advanced Security は、ソースコードでハードコーディングされた資格情報と API キーを検出し、資格情報の公開による ID ベースのリスクを軽減します。リポジトリのアクセス制御との統合により、承認されたユーザーのみが機密性の高いコードを変更できます。	Microsoft PrivaはMicrosoft Entraと統合して、個人データにアクセスする ID を追跡し、個人が個人情報を制御できるように主体の権利要求をサポートします。
エンドポイント	Microsoft Security Exposure Management は、エンドポイントの脆弱性、構成ミス、および露出リスクを集約し、デバイスのセキュリティ体制を統一したビューで提供します。	NA	Microsoft Privaは、エンドポイントでの個人データの取り扱いを監視し、ユーザーデバイスに格納されているデータからプライバシーリスクを特定するのに役立ちます。
Networks	Microsoft Security Exposure Management は、ネットワーク攻撃対象領域をマップし、公開されたサービスを識別し、横移動を可能にする可能性のあるネットワークセグメント化ギャップを強調します。	NA	Microsoft Privaは、個人データがネットワーク境界を越えて移動するタイミングを特定するのに役立ち、国境を越えたコンプライアンスのためのデータ転送評価をサポートします。
アプリ	Microsoft Security Exposure Management は、アプリケーションの脆弱性、危険な構成、シャドウ IT を検出して、アプリケーションの攻撃対象領域をセキュリティで保護します。	GitHub Advanced Security のコードスキャン (SAST) は、リリース前にセキュリティの脆弱性とコーディングエラーを特定し、デプロイされたアプリケーションで悪用される可能性のある欠陥の数を減らします。セキュリティキャンペーンと Copilot Autofix は、チームが大規模な問題を修復し、一貫したアプリケーションセキュリティ標準をサポートするのに役立ちます。	Microsoft Privaは、Microsoft 365 アプリケーション全体で個人データを検出し、コラボレーションツール内での個人情報の使用方法を可視化します。
データ	Microsoft Security露出管理では、過剰共有されたファイル、脆弱な場所の機密データ、データ関連の攻撃パスなど、データの漏えいリスクを特定します。	シークレットスキャンでは、リポジトリ内の公開された資格情報、トークン、接続文字列が検出されますが、プッシュ保護は、コミットされる前に新しいリークを防ぐのに役立ちます。これにより、漏洩したシークレットを介したデータアクセスのリスクが軽減され、データ保護要件への準拠がサポートされます。	Microsoft Privaは、個人データの検出、プライバシーリスク管理、サブジェクト権利要求の自動化、同意管理など、プライバシーに重点を置いた機能を提供します。
インフラストラクチャ	Microsoft Security Exposure Management を使用すると、クラウドとオンプレミスのインフラストラクチャの脆弱性、構成の誤り、マルチクラウド環境全体のコンプライアンスギャップを可視化できます。	依存関係のスキャンと依存関係の確認では、インフラストラクチャまたはアプリケーションをデプロイする前に、オープンソースコンポーネントと構成ファイルの既知の脆弱性を特定し、継承されたリスクを軽減し、既定でセキュリティで保護されたインフラストラクチャの体制をサポートします。	Microsoft Privaは、クラウドインフラストラクチャ全体に格納されているデータにプライバシーの可視性を拡張し、組織がマルチクラウド環境でプライバシーコンプライアンスを維持するのに役立ちます。
人工知能	Microsoft Security Exposure Management は、AI をモデル攻撃パスに適用し、悪用可能性とビジネスへの影響に基づいてリスクに優先順位を付け、姿勢を改善するためのインテリジェントな推奨事項を提供します。	GitHub Advanced Security は、AI 支援コードと人間が記述したコードを同様にスキャンし、AI が開発を加速するにつれて、チームがセキュリティ標準を維持するのに役立ちます。 AI 支援による修復により、セキュリティ制御をバイパスすることなく脆弱性の修正が高速化されます。	Microsoft Privaは、AI トレーニングと推論のシナリオで個人データがどのように使用されているかを組織が理解するのを支援することで、AI ワークロードのプライバシーコンプライアンスをサポートします。

次のステップ

セキュリティ規範を確認します。

フィードバック

このページはお役に立ちましたか?

Last updated on 2026-06-01