セキュリティ ソリューションと標準を確認する
セキュリティに関心がおありですか? アトラシアンも関心があります。アトラシアンの取り組みと、お客様にもできることをご確認ください。
検出される機密データ
Content scanning detections monitor for potentially sensitive data being added to Confluence pages. We monitor for the following data:
認証情報
財務データ
アイデンティティ データ
You can also create custom content scanning detections to monitor for data sensitive to your organization.
誰がこれを実行できますか? |
動作の仕組み
When a Confluence page is published or updated, we scan the content of the update and generate an alert if we find text that matches our detection criteria.
The alert contains information about the page, the person who published the Confluence page, and suggested investigation and remediation steps.
What text is scanned?
We scan:
Confluence page or blog post body.
Confluence page and blog post title.
We don’t scan:
Confluence whiteboards, databases, and live pages.
Comments on pages and blog posts.
Other free-text areas such as labels, space descriptions, or templates.
Content is scanned on create and update
We scan the content at the point a new page, blog post is created or an existing page is updated.
This means if an existing Confluence page already contained sensitive data at the point it is updated, we’ll generate an alert, because the entire page body is scanned when the page is updated.
There’s currently no way to scan all your existing content (without it being updated).
Permission to view content
The content scanning alert includes the name of the page or blog post that contains potentially sensitive data.
If you have permission to see the page or blog post, you’ll see a preview of the content. If you don’t have permission, you’ll only see the title.
Admins with Confluence product access may be able to use their admin key to view the content, if that’s appropriate in your organization.
Attributing the detected data to the actor
The actor is the person who published the Confluence page. This means that there are some situations where the actor may not be the person who added the sensitive data, such as when two or more people contribute to a Confluence draft.
How it helps your organization
What is considered sensitive differs between organizations. We provide a number of common detections, such as credit card numbers, passwords, and US Social Security Numbers.
スキャン対象コンテンツの包括的なリストを確認するには、[Detections (検出)] > [Content scanning (コンテンツ スキャン)] に移動します。
認証情報
認証情報には、認証と暗号化に使用される API トークンや秘密鍵などのデータが含まれます。 たとえば、Jira を継続的インテグレーション ツールに連携したい場合は、API トークンを使用できます。 API トークンや秘密鍵が侵害された場合、重要なセキュリティ対策を迂回してデータにアクセスしたり盗み出したりされる可能性があります。
例: あるソフトウェア チームのチーム リーダーが今月、複数の新しいチーム メンバーの研修を行います。 新しいチーム メンバーに短期間で戦力になってもらうために、チーム リーダーは CI/CD ツールの API キーをチームのプライベート スペースにある Confluence ページに追加します。 API キー形式のデータがページに追加された直後に、チームにアラートが届きます。 チームではアラートを調査してから、データの削除、ページ履歴の完全削除、API キーの取り消しをチーム リーダーに依頼できます。 |
財務データ
財務情報は組織で保持するデータのなかでも最も機密性が高いものの 1 つです。 このデータの取り扱いは法律で規制されている場合があり、データ インシデントに対する罰則は厳しい場合があります。 データが侵害された人物が個人情報の盗難の危険にさらされたり、盗まれた認証情報を使って行われた金銭的義務を負ったりする可能性もあります。
例: 大規模な顧客会議が間近に迫っており、総出で準備に取り掛かっています。 準備をスムーズに進めるために、イベント チームのマネージャーは自社のクレジット カードの情報を Confluence ページに追加しました。そのため、イベントに携わるスタッフは、予約やデポジットの支払いの際にクレジット カード情報を尋ねる必要がありません。 クレジット カードと思われる番号がページに追加された直後に、チームにアラートが届きます。 チームではアラートを調査し、カード番号を削除してページ履歴を完全に削除するようマネージャーに依頼できます。 |
アイデンティティ データ
個人データが含まれる場合がある身元データは、組織で保有する最も重要なデータの一部です。 その紛失は、情報が漏洩した個人に深刻な損害を与える可能性があります。
例: 自社の人事システムがアップグレード中であるため、数時間使用できません。 正式なシステムに入力できるようになるまで、チームのリクルーターは Confluence ページに新入社員の詳細を記録することにしました。 ページを自分たちのチームだけに制限していたので、データは安全だと確信しており、システムがオンラインに戻ったらすぐに削除する予定です。 社会保障番号 (SSN) と思われる番号がページに追加された直後に、チームにアラートが届きます。 チームではアラートを調査し、ページを削除してゴミ箱を空にするようリクルーターに依頼できます。 |
組織にかかわる機密データ
All organizations are different and so is the data that may be considered sensitive to each organization. You can create a custom content scanning detection to send an an alert when text containing terms and phrases considered sensitive in your organization are found when a user publishes or updates a page.
例： 貴社は別の会社、Black Bear Inc.の買収に取り組んでいます。 このトランザクションにはコードネーム「Ursus」が付けられています。 M&Aチームの要請に応じて、セキュリティチームはコードネームや会社名のバリエーションについてカスタムコンテンツスキャン検出を作成し、チームが作業している制限付きページにいくつかの除外を追加します。 Ursa と Bear という単語を含むページが公開されると、チームに警告が表示されます。 アラートを調査して、アクターが M&A チームのメンバーであることを確認します。 サイトは、ページが適切に制限されていることをアクターに確認し、予期される動作としてアラートをマークします。 |
この内容はお役に立ちましたか?
さらにヘルプが必要ですか?
アトラシアン コミュニティをご利用ください。