Atlassian Government Cloud の共同責任モデル

アトラシアンの責任:

プラットフォーム制御、初期管理者アカウント、SAML シングルサインオン統合、監査ログを提供します。

お客様の責任:

次の方法で、ユーザー、ベンダー、パートナーのアクセス許可を管理します。

• 特定の権限を持つお客様定義のグループ (採用担当マネージャー、リクルーター、管理者など) によってアクセスを管理します。

• 有効な承認と意図した用途に基づいて、ユーザーにアクセス権限を付与します。

• 次の期間内にアカウント変更の通知を受信するプロセスを実装します。不要なアカウントについては 24 時間以内、退職または異動したユーザーについては 8 時間以内、システムの使用状況またはアクセス要件の変更については 8 時間以内。

• 退職および異動したユーザーに基づいて、アカウントの変更、無効化、削除を行います。

• ユーザー アカウントの年次レビューを実施します。

• 認証情報の再発行プロセスを確立します。

AC-2(a, b, c, d, e, f, g, h, i, j, k, l)

以下の方法で個々のユーザー アカウントを管理します。

• ユーザーのロールに基づいてユーザー アカウントに権限を付与します。

• 一時アカウントと緊急アカウントを決定します。

• ID プロバイダーを設定して、期限切れのアカウントを 24 時間以内に無効にします。

• 新規作成、再有効化、無効化、削除されたユーザー アカウントを監視します。

• アカウントの使用状況を監視し、インシデント報告のプロセスを確立します。

• 重大なリスクをもたらす個人のユーザー アカウントを 1 時間以内に無効にします。

AC-2(1),(2), (3 a, b, c, d), (4), (5), (7 a, b, c, d), (9), (12 a, b) (13)

承認された個人のみが管理者権限を持つようにします。

AC-3

承認されたアクセス権を持つ個人に対する職務分掌 (SoD) を定義し、文書化します。

AC-5(a,b)

業務の実行に必要なアクセス権限のみをユーザー アカウントに付与します。

AC-6

ID プロバイダーを設定して、ログイン試行の失敗回数に制限を設けます。

AC-7(a,b)

Lightweight Directory Access Protocol (LDAP) システムで、ユーザーが FedRAMP の使用条件を承認するためのメッセージが表示されることを確認します。

AC-8(a,b)

各リモート アクセス接続の使用制限、設定、接続要件、実装ガイダンスを文書化します。

AC-17 (a,b)

リモート アクセス セッションの機密性と整合性を保護するための暗号化メカニズムを実装します。

AC-17(2)

すべてのリモート アクセス接続を管理対象ネットワークのアクセス制御ポイント経由でルーティングします。

AC-17(3)

詳細については、以下のドキュメントをご参照ください。

• ユーザー プロビジョニングについて

• グループを編集する

• 監査ログのアクティビティを表示する

• ユーザーに管理者権限を付与する

アトラシアンの責任:

アトラシアンから継承

お客様の責任:

なし

アトラシアンの責任:

アプリと管理アクティビティの監査ログを提供します。

お客様の責任:

組織のデータ削除、データ アクセス、データ変更、権限変更、管理者アクティビティを監視します。

AU-2(a)

詳細については、以下のドキュメントをご参照ください。

• 監査ログに含まれているアクティビティ

アトラシアンの責任:

アトラシアンから継承

お客様の責任:

なし

アトラシアンの責任:

アトラシアンから継承

お客様の責任:

なし

アトラシアンの責任:

アトラシアンから継承

お客様の責任:

なし

アトラシアンの責任:

SAML シングル サインオン設定を提供します。

お客様の責任:

ハードウェアベースのスマートカードと SAML 2.0 を使用したシングル サインオンを統合します。

IA-2(12), IA-8, IA-8(1), IA-8(2 a,b), IA-8(4)

次の方法でユーザー識別子を管理します。

• 各ユーザーに一意の識別子をプロビジョニングします。

• ユーザー識別子が最低でも 2 年間再利用されないことを保証するプロセスを実装します。

IA-4(a,b,c,d)

パスワードと認証システムを以下の方法で管理します。

• ユーザーがよく使われるパスワード、予測可能なパスワード、または漏洩したパスワードを使用していないことを確認します。

• 暗号化された認証情報のみを ID プロバイダーに保存します。

• 復元されたアカウントを持つユーザーに新しいパスワードの作成を要求します。

• ユーザーがスペースや特殊文字を含む長いパスワードやパスフレーズを選択できるようにします。

IA-5(a,b,c,d,f,g,h,i)

ID プロバイダーの認証システムを不正なアクセスや変更から保護します。

IA-5(6)

認証プロセス中にパスワードを難読化します。

IA-6

ID プロバイダーを設定して、セッションがアクティブになってから 12 時間後、または非アクティブな状態が 15 分続いた後に、ユーザーを再認証するようにします。

IA-11

詳細については、以下のドキュメントをご参照ください。

• SAML シングル サインオンを設定する

• ユーザー プロビジョニングについて

アトラシアンの責任:

アトラシアンから継承

お客様の責任:

なし

アトラシアンの責任:

アトラシアンおよび AWS から継承

お客様の責任:

なし

アトラシアンの責任:

アトラシアンおよび AWS から継承

お客様の責任:

なし

アトラシアンの責任:

アトラシアンおよび AWS から継承

お客様の責任:

なし

アトラシアンの責任:

アトラシアンから継承

お客様の責任:

なし

アトラシアンの責任:

アトラシアンから継承

お客様の責任:

なし

アトラシアンの責任:

アトラシアンから継承

お客様の責任:

なし

アトラシアンの責任:

SAML シングル サインオン設定を提供します。

お客様の責任:

FIPS 201 承認済みの PIV/CAC 認証情報のみを使用します。

SA-4(10)

アトラシアンの責任:

アトラシアンから継承

お客様の責任:

なし

アトラシアンの責任:

アトラシアンから継承

お客様の責任:

なし

アトラシアンの責任:

アトラシアンから継承

お客様の責任:

なし