セキュリティ ソリューションと標準を確認する
セキュリティに関心がおありですか? アトラシアンも関心があります。アトラシアンの取り組みと、お客様にもできることをご確認ください。
検出される機密データ
コンテンツ スキャンによる検出は、Confluence ページに追加される可能性のある機密データを監視します。以下のデータを監視しています。
認証情報
財務データ
アイデンティティ データ
また、 カスタム コンテンツ スキャン検出を作成して 、組織にとって機密性の高いデータを監視することもできます。
誰がこれを実行できますか? |
動作の仕組み
Confluence ページが公開または更新された際に更新内容をスキャンし、検出基準に一致するテキストが見つかった場合はアラートを生成します。
アラートには、ページ、Confluence ページを公開したユーザー、推奨される調査と修復手順に関する情報が含まれています。
どのテキストがスキャンされますか?
スキャン対象:
Confluence ページまたはブログ投稿の本文。
Confluence ページとブログ投稿のタイトル。
スキャン対象外:
コンテンツは、作成時と更新時にスキャンされます
新しいページ、ブログ投稿が作成されたか、既存のページが更新された時点で、コンテンツがスキャンされます。
つまり、既存の Confluence ページに更新時点ですでに機密データが含まれていた場合、ページの更新時にページ本文全体がスキャンされるため、アラートが生成されます。
現時点では、(更新時以外に) 既存のコンテンツをすべてスキャンする方法はありません。
コンテンツを表示する権限
コンテンツ スキャン アラートには、機密データを含む可能性のあるページまたはブログ投稿の名前が含まれます。
ページまたはブログ投稿を表示する権限がある場合は、コンテンツのプレビューが表示されます。権限がない場合は、タイトルのみが表示されます。
Confluence 製品へのアクセス権を持つ管理者は、組織で必要に応じて管理者キーを使用してコンテンツを閲覧できます。
検出されたデータをアクターに帰属させる
アクターとは、Confluence ページを公開したユーザーです。つまり、2 人以上のユーザーが Confluence の下書きに関与している場合など、アクターが機密データを追加したユーザーではない場合もあります。
組織にどのように役立つか
機密と見なされる内容は、組織によって異なります。アトラシアンの検出機能は、クレジット カード番号、パスワード、米国の社会保障番号などの一般的な検出対象に幅広く対応しています。
スキャン対象コンテンツの包括的なリストを確認するには、[Detections (検出)] > [Content scanning (コンテンツ スキャン)] に移動します。
認証情報
認証情報には、認証と暗号化に使用される API トークンや秘密鍵などのデータが含まれます。 たとえば、Jira を継続的インテグレーション ツールに連携したい場合は、API トークンを使用できます。 API トークンや秘密鍵が侵害された場合、重要なセキュリティ対策を迂回してデータにアクセスしたり盗み出したりされる可能性があります。
例: あるソフトウェア チームのチーム リーダーが今月、複数の新しいチーム メンバーの研修を行います。 新しいチーム メンバーに短期間で戦力になってもらうために、チーム リーダーは CI/CD ツールの API キーをチームのプライベート スペースにある Confluence ページに追加します。 API キー形式のデータがページに追加された直後に、チームにアラートが届きます。 チームではアラートを調査してから、データの削除、ページ履歴の完全削除、API キーの取り消しをチーム リーダーに依頼できます。 |
財務データ
財務情報は組織で保持するデータのなかでも最も機密性が高いものの 1 つです。 このデータの取り扱いは法律で規制されている場合があり、データ インシデントに対する罰則は厳しい場合があります。 データが侵害された人物が個人情報の盗難の危険にさらされたり、盗まれた認証情報を使って行われた金銭的義務を負ったりする可能性もあります。
例: 大規模な顧客会議が間近に迫っており、総出で準備に取り掛かっています。 準備をスムーズに進めるために、イベント チームのマネージャーは自社のクレジット カードの情報を Confluence ページに追加しました。そのため、イベントに携わるスタッフは、予約やデポジットの支払いの際にクレジット カード情報を尋ねる必要がありません。 クレジット カードと思われる番号がページに追加された直後に、チームにアラートが届きます。 チームではアラートを調査し、カード番号を削除してページ履歴を完全に削除するようマネージャーに依頼できます。 |
アイデンティティ データ
個人データが含まれる場合がある身元データは、組織で保有する最も重要なデータの一部です。 その紛失は、情報が漏洩した個人に深刻な損害を与える可能性があります。
例: 自社の人事システムがアップグレード中であるため、数時間使用できません。 正式なシステムに入力できるようになるまで、チームのリクルーターは Confluence ページに新入社員の詳細を記録することにしました。 ページを自分たちのチームだけに制限していたので、データは安全だと確信しており、システムがオンラインに戻ったらすぐに削除する予定です。 社会保障番号 (SSN) と思われる番号がページに追加された直後に、チームにアラートが届きます。 チームではアラートを調査し、ページを削除してゴミ箱を空にするようリクルーターに依頼できます。 |
組織にかかわる機密データ
組織はすべて異なるため、各組織にとって機密であると考えられるデータも異なります。カスタム コンテンツ スキャン検出を作成して、ユーザーがページを公開または更新したときに、組織で機密と見なされる用語や語句を含むテキストが見つかったときにアラートを送信できます。
例： 貴社は別の会社、Black Bear Inc.の買収に取り組んでいます。 このトランザクションにはコードネーム「Ursus」が付けられています。 M&Aチームの要請に応じて、セキュリティチームはコードネームや会社名のバリエーションについてカスタムコンテンツスキャン検出を作成し、チームが作業している制限付きページにいくつかの除外を追加します。 Ursa と Bear という単語を含むページが公開されると、チームに警告が表示されます。 アラートを調査して、アクターが M&A チームのメンバーであることを確認します。 サイトは、ページが適切に制限されていることをアクターに確認し、予期される動作としてアラートをマークします。 |
この内容はお役に立ちましたか?
さらにヘルプが必要ですか?
アトラシアン コミュニティをご利用ください。