パートナー センターのセキュリティ要件
対象のロール: 管理エージェント
セキュリティ要件ダッシュボードは、パートナー センター内で現在のセキュリティ態勢の評価と強化を支援するように設計された強力なツールです。 この機能により、直接請求プロバイダーと間接プロバイダーの両方にセキュリティ スコアへのアクセス権が付与されます。 提供されるセキュリティ要件は、システムの脆弱性と一般的な攻撃パターンに基づいて生成される実用的な推奨事項です。 これらの推奨事項を実装し、定期的に更新プログラムをチェックすることで、セキュリティ防御を強化できます。 このダッシュボードは、すべてのセキュリティ要件の状態を 1 つの包括的なスコアに統合し、現在のセキュリティ状況をすばやく測定できるようにします。 スコアが高いほど、識別されたリスク レベルが低くなり、セキュリティの準備状況を明確に理解できます。
セキュリティ体制の管理
セキュリティ要件ダッシュボードには、セキュリティ体制の完全な概要が表示されます。 このダッシュボードからルーティングすることで、セキュリティ設定、ポリシー、手順を監視および調整できます。 セキュリティ要件ダッシュボードを使用すると、セキュリティ体制を積極的に管理および強化し、ゼロ トラスト原則に向けて推進することができます。
主要な機能
概要
セキュリティ スコアには、パートナー センター内のセキュリティ状態のスナップショットが表示されます。
セキュリティ要件 (概要) には、完了済みで完了していないもの合計を含む、セキュリティ要件の合計数が表示されます。
[セキュリティ要件] セクション
[セキュリティ要件] セクションには、セキュリティ要件と推奨事項の一覧が表示されます。 これらの要件と推奨事項は、セキュリティ正常性の改善領域を特定し、懸念事項に対処し、リスクを軽減し、全体的なセキュリティ体制を強化するのに役立ちます。
セキュリティ要件の説明:
セキュリティ要件: 要件の簡単な説明。
説明: セキュリティ要件の詳細な説明。
状態: 要件が完了したかどうかを示します。
インサイト: 個々の要件に合わせて調整された実用的なデータで、注意が必要な領域に関する詳細な分析情報を提供します。
スコア: 各要件に関連付けられたスコア。全体的なセキュリティ スコアに寄与します。
実装手順: 各推奨事項を理解して実装するのに役立つ説明リソースへの直接リンクが含まれています。 これらのリンクは、以下の「その他のリソース」 にも記載されています。 これらのステップ バイ ステップ ガイドは、各推奨事項を効果的に実装し、セキュリティを強化するのに役立ちます。
実行可能な手順: 要件を解決できるページへのリンク。
Note
適切なロールまたはアクセス権がない場合は、組織内の適切なユーザーに連絡する必要があります。
![[セキュリティ要件] ページのスクリーンショット。](../media/security-requirements/security-requirements-callouts.png#lightbox)
今後の要件に関するセクション
「将来の 要件」 セクションでは、近い将来に実装される要件のプレビューを示します。 満たされていない要件では、将来の時点で全体的なスコアからポイントが差し引かれます。
セキュリティ スコアの計算方法
セキュリティ スコアは、0 から 100 までの 10 進 (浮動小数点整数) の値です。 スコアには、テナントのセキュリティ体制が反映されます。
セキュリティ スコアは、個々のセキュリティ要件のセキュリティ スコアを使用して計算されます。 すべてのセキュリティ要件には、0 から 20 までの最大スコアが付与されます。 セキュリティ要件の最大スコアは、その要件の相対的な重みに基づいて、他の要件と比較して決定されます。 最大スコアは、ビジネスの優先順位の変化に基づいて変更される可能性があります。
現在の計算アルゴリズムでは、準拠要件の最大スコアが付与され、それ以外の場合は 0 が付与されます。
全体的なセキュリティ スコアは、次の式を使用して計算されます。 (個々のセキュリティ要件スコアの合計) / (個々のセキュリティ要件の最大スコアの合計) * 100。
セキュリティ要件と実装手順
セキュリティ要件操作方法実装しますか?
Note
OKta、Ping、Duo などのサードパーティの MFA ソリューションは、ID MFA の推奨事項内ではサポートされていません。 サードパーティの MFA ソリューションは、要件スコアの計算には考慮されません。
要件: MFA を有効にする
セキュリティ スコア ポイント: 20
管理者ロールに多要素認証 (MFA) を要求すると、攻撃者がアカウントにアクセスすることが困難になります。 管理一般的なユーザーよりも高いアクセス許可を持つロールがあります。 これらのアカウントのいずれかが侵害された場合、組織全体が公開されます。
少なくとも、次のロールを保護します。
- 全体管理者
- 認証管理者
- 課金管理者
- 条件付きアクセス管理者
- Exchange 管理者
- ヘルプデスク管理者
- セキュリティ管理者
- SharePoint 管理者
- ユーザー管理者
実装の手順
Note
この要件が完了したと見なされるためには、すべての管理者ユーザーが、セキュリティの既定値/条件付きアクセス/ユーザーごとの MFA を使用して MFA 要件の対象となっていることを確認し、各管理者が実際に追加の検証要素 (検証プロンプト用に選択したデバイスなど) を設定していることを確認する必要があります。
これには、重大なアカウントが含まれます。 詳細については、「緊急アクセス管理者アカウントの管理 - Microsoft Entra ID」を参照してください。
- Microsoft では、Microsoft 365 管理センターで組織に適した MFA 方法を選択して有効にする詳細なガイダンスを提供しています。 Microsoft 365 MFA ウィザードに 移動します。
- 実装を自分で実行し、Microsoft Entra ID Free を使用している場合は、セキュリティの既定値を有効にします。 注: セキュリティの既定値と条件付きアクセスを並べて使用することはできません。 詳細については、「セキュリティの既定値を有効にする」を参照してください 。
- Microsoft Entra ID P1 または P2 ライセンスに投資している場合は、最初から、またはテンプレートを使用して条件付きアクセス ポリシーを作成できます。 条件付きアクセス ポリシーを 最初から作成するか、テンプレートを使用して作成するには、次の手順に従います。
- Microsoft Entra ID セキュリティ>認証方法のユーザー登録の詳細 (Microsoft Entra ID > P1 または P2 ライセンスが必要) に移動して、管理者による認証方法>の登録の進行状況を追跡します。 [ユーザー登録の詳細] に 移動します。
リソース
要件: アラートへの応答は平均で 24 時間以下です
セキュリティ スコア ポイント: 20
アラートはトリアージされ、パートナー センターに表示されてから 24 時間以内に対応する必要があり、1 時間以内に対応することを目標としています。 これにより、顧客テナントを迅速に保護し、財務上の損失を最小限に抑えることができます。 応答時間は、パートナー センターにアラートが表示された時刻から、パートナー ユーザーがアラートに変更を加えたとき (状態や理由コードの更新など) まで測定されます。 平均応答時間は、過去 30 日間のアクティビティに基づいて計算されます。
実装の手順
- このメール アドレスが既定でアラートの通知を受け取るように、パートナー センターのセキュリティ連絡先が構成されていることを確認します。 チケット 発行システムにフィードする共有メールボックスまたはメールボックスを使用できます。
- 役割、責任、対応計画、連絡先情報を定義する文書化されたインシデント対応プレイブックを維持します。
- 各アラートの理由コードを指定します。 Microsoft は、お客様のフィードバックを使用して、生成されたアラートの有効性を測定します。
リソース
要件: セキュリティ連絡先を指定する
セキュリティ スコア ポイント: 10
クラウド ソリューション プロバイダー (CSP) パートナー テナントでセキュリティ関連の問題が発生した場合、Microsoft は問題を伝え、セキュリティに関する懸念をできるだけ早く軽減および修復するために緊急に対処するパートナー組織の指定されたセキュリティ連絡先に適切な手順を推奨する必要があります。
パートナー センター内のグローバル管理者またはその他の役割には、重要なセキュリティ関連のインシデントに対処するために必要な専門知識やリーチがありません。 すべてのパートナーは、パートナー テナントのセキュリティ連絡先を更新する必要があります。
セキュリティ連絡先は、パートナー組織内のセキュリティ関連の問題に対して責任を負う個人またはユーザーのグループです。
実装の手順
社内のセキュリティ インシデントへの対応を担当する個人または共有メールボックスの電子メール、電話番号、名前を入力します。
リソース
要件: すべての Azure サブスクリプションに支出予算がある
セキュリティ スコア ポイント: 10
顧客の Azure サブスクリプションの使用状況を追跡すると、顧客が Azure の使用状況を管理し、予想以上の料金を回避するのに役立ちます。 毎月の支出の期待について顧客と話し合い、サブスクリプションの支出予算を設定する必要があります。 顧客が構成済みの支出予算の 80% 以上を使用している場合に、通知を送信するように構成することもできます。 支出予算によって支出が上限に達することはありません。そのため、リソースのシャットダウンやより高い請求を計画できるように、80% の使用量に達したときに顧客に通知することが重要です。
Note
NCE (New Commerce Experience) に参加し、支出予算を設定しているパートナーは、この要件に対するスコア ポイントを受け取ります。 ただし、レガシのパートナーはポイントを受け取りません。
実装の手順
フィードバック
以下は間もなく提供いたします。2024 年を通じて、コンテンツのフィードバック メカニズムとして GitHub の issue を段階的に廃止し、新しいフィードバック システムに置き換えます。 詳細については、「https://aka.ms/ContentUserFeedback」を参照してください。
フィードバックの送信と表示