インサイトは、組織全体のセキュリティーの問題を1画面に集め、そこから是正に進むための画面です。レポートが状態を数えるのに対して、こちらは対応すべき対象を抽出します。運用に乗せるときに引っかかるのは2点です。1つは開ける人が所有者とセキュリティグループに限られることで、レポートを任せた担当者の画面にはこのタブが出ません。もう1つは、4つのセクションのうち開発者シークレットの節だけが、別のポリシーを有効にするまで数字を出さないことです。このページでは、開ける人の条件、4つのセクションの読み方、見つけた問題を是正につなげる進め方を説明します。対象者へのメールの送信はインサイト通知の設計で扱います。
インサイトを開ける人
サイドバーのレポートを開き、インサイトのタブに切り替えます。開けるのは所有者グループとセキュリティグループのメンバーだけです。管理者グループに入れても出てきません。
インサイトとセキュリティレポートを表示というパーミッションは組み込みグループにしか付いておらず、カスタムグループに割り当てられるパーミッションの一覧にありません。この画面だけを情報システム部門の担当者に渡す設計はできない、ということです。渡すならセキュリティグループに入れることになり、管理サイドバーを表示も一緒に付きます。委譲の設計は管理権限の一覧と割り当て方で扱います。
画面の構成
4つのセクションが縦に並びます。それぞれに件数のタイルがあり、そこから詳細に進みます。
| セクション | 見るもの | 是正の手段 |
|---|---|---|
データ漏えいチェック | 外部の漏洩に含まれていたチームメンバーと自社ドメインのメールアドレス | 対象者への通知、未参加者への招待 |
パスワード健全性チェック | 使い回し、脆弱、2要素認証なし、侵害されたパスワード | Watchtowerでの修正、保管庫の管理者への依頼 |
| 開発者シークレットの検出 | 端末に平文で置かれた秘密鍵や環境変数のファイル | レポートからの連絡と1Passwordへの取り込み |
チーム利用状況 | 使っていない人の抽出 | リマインダーの送信 |
どのセクションも、詳細画面からCSVへの書き出しと、そのレポートへのリンクのコピーができます。定例の報告に使う数字は、画面を見せるのではなくCSVを添えた方が、あとから同じ条件で再現できます。
漏洩の対象者を確認する
データ漏えいチェックのセクションには2枚のカードが並びます。片方はチームメンバーが巻き込まれた漏洩、もう片方はアカウントに参加していない自社ドメインのメールアドレスが漏洩に含まれていた件数です。
詳細を開くと、判明している漏洩の一覧と、その漏洩で流出した情報の種類が並びます。未参加のメールアドレス側は、対象のアドレスの一覧になります。
ドメイン単位で漏洩そのものを一覧にするのがドメイン侵害レポートで、こちらは人とアドレスの単位に整理されています。見るものが重なるので、定例で追うのはどちらか一方に決めておくと二重の作業になりません。是正の起点として使うならインサイト、記録として残すならレポートが向いています。
パスワードの健全性を確認する
パスワード健全性チェックには4つのタイルが並びます。使い回されたパスワード、脆弱なパスワード、2要素認証を設定していないアイテム、侵害されたパスワードです。該当が0件のタイルには、件数の代わりに問題がない旨が出ます。
詳細を開くと、該当するアイテムが入っている保管庫の一覧が出ます。アイテムそのものは出ません。保管庫を選ぶと、是正のためのダイアログが開きます。
その保管庫を管理できる人には、Watchtowerに移動して修正する導線が出ます。管理できない人には、保管庫の管理者宛のメッセージを作ってコピーする導線が出ます。つまりこの画面は、自分で直す経路と、直せる人に頼む経路の2本立てです。パーミッションを絞って保管庫を任せている組織ほど、後者の経路を通る件数が増えます。誰に頼めばいいかが画面に出るので、依頼先を探す手間はかかりません。
【注意】 保管庫の集計が更新されるのは、その保管庫にアクセスできる誰かが1Password.comかブラウザー拡張機能にサインインしたときだけで、間隔は最短でも24時間です。情報がない保管庫と古い保管庫の数は、詳細画面の左側に出ます。拡張機能の導入率が低いうちは母集団が欠けたままなので、数字の増減を追う前にこの数を確認してください。同じ制約はビジネスWatchtowerレポートにもかかります。
開発者シークレットを検出する
端末のローカルディスクに平文で置かれた秘密鍵や、環境変数を書いたファイルのうち、リスクが高いと判定された件数が出ます。
このセクションだけは、ポリシーの共有と許可にあるローカルディスクのスキャンを有効にするまで数字が出ません。ポリシーを変えられるのは所有者、管理者、設定の管理のパーミッションを持つグループです。この画面を開ける人とポリシーを変えられる人は一致しないので、有効化は別の担当者に依頼することになります。導入の段取りとしては、ポリシーの有効化を先に済ませ、数字が出てから運用の話を始める順序になります。
レポートに進むと、検出されたシークレットごとに該当者の一覧が開き、そこから本人に送る文面を作れます。是正の進め方は開発者のシークレットを見つけて是正するで扱います。
利用状況とレポートの使い分け
チーム利用状況は、3つの観点で使っていない人を抽出します。最近サインインしていない人、従業員保管庫を使っていない人、Familiesの特典を引き換えていない人です。抽出した一覧の読み方と、定着の指標をどう決めるかは利用状況と定着のレポートで扱います。
数え上げが目的ならレポートのカード、対象者を抽出して働きかけるのが目的ならインサイト、という切り分けにすると重複しません。10本のカードとの関係はレポートの全体像にまとめてあります。
数字を是正につなげる
インサイトの数字は指標ではなく待ち行列です。件数が減ったことよりも、抽出した対象が片付いたかどうかを見ます。月次で追うなら、先月の一覧をCSVで残しておき、今月の一覧と突き合わせて、残っているものを数えてください。画面には対応の記録が残らないので、追跡はCSVの側で行うことになります。
【運用のポイント】 パスワードの健全性の是正は、保管庫の管理者の協力がないと進みません。インサイトを見る担当者と、実際に直す保管庫の管理者を、あらかじめ一覧にして結び付けておいてください。依頼のたびに誰が管理者かを調べていると、件数が2桁を超えたところで止まります。保管庫の管理者の割り当ては保管庫とアクセス権の棚卸しで見直せます。