端末の確認項目と是正

多くのフレームワークは、業務に使う端末が安全に設定されていることを求めています。Drataでは、Drata Agent、MDM、手作業でアップロードした証跡をもとに、要員ごとに端末の5つの確認項目を確かめ、モニタリングテストで評価します。このページでは、端末について確認される項目として、画面ロック、ディスクの暗号化、ウイルス対策、パスワードマネージャー、自動更新の判定と、基準を満たさない端末を社員に直してもらう流れを説明します。

確認される5つの項目

Drataは、社員の端末について次の5つを確かめます。各項目には、対応するモニタリングテストがあります。

確認項目	画面の表記	モニタリングテスト
画面ロック	Lock Screen	Screensaver Lock Required on Employee Computers（Test 61）
パスワードマネージャー	Password Manager	Password Manager Records on Employee Computers（Test 63）
ウイルス対策	Antivirus	Malware Detection Software Installed on Employee Computers（Test 64）
自動更新	Auto Updates	Security Patches Auto-Applied on Employee Computers（Test 65）
ディスクの暗号化	Disk Encrypted	Hard-Disk Encryption Enabled on Employee Computers（Test 66）

テストは、基準を満たさない端末がある場合に失敗し、該当する端末や要員の一覧を示します。社内の規程（行動規範など）で、ヘルプセンターの基準とは別の設定を決めている場合もあるため、社員への案内は社内の規程に合わせます。

項目ごとの判定

画面ロック

一定の時間操作がないと、画面が切り替わり、解除にパスワードが必要になる設定です。Drata Agentを使う場合も、MDMから同期する場合も、この設定が必要です。

ヘルプセンターでは、操作がなくなってから15分以内に、画面がロックされてパスワードが求められることを基準にしています。例えば、10分でスクリーンセーバーが始まり、その5分後にパスワードを求める設定なら、合計で15分を超えないため基準を満たします。

OS	基準を満たす設定（どれか1つでいい）
macOS	画面の設定：スクリーンセーバーが始まるまでの時間を15分以内にし、スクリーンセーバーの開始後やディスプレイのオフの後に、すぐにパスワードを求める。またはディスプレイの設定：すぐにパスワードを求め、バッテリーと電源アダプターの両方で、ディスプレイがオフになるまでの時間を15分以内にする
Windows	スクリーンセーバーの設定：なし以外のスクリーンセーバーを選び、待ち時間を15分以内にし、再開時にサインインの画面を表示する。またはスリープの設定：電源につないだときとバッテリーのときの両方で、15分以内にスリープし、スリープからの再開時にサインインを求める。またはグループポリシー：Interactive logon: Machine inactivity limitを1〜15分にする
Ubuntu	画面の設定：画面が消えるまでの時間を15分以内にし、自動の画面ロックを有効にして、画面が消えたときにロックする。または自動のサスペンド：バッテリーと電源の両方で、15分以内にサスペンドする

【注意】 WindowsでグループポリシーのInteractive logon: Machine inactivity limitに0より大きい値を設定すると、ほかの画面ロックの設定は無視されます。グループポリシーで設定した項目は社員が変えられないため、IT管理者が値を1〜15分にします。エージェントの同期の後もテストが成功しない場合は、端末を再起動して、グループポリシーが適用されていることを確かめます。

ヘルプセンターでは、macOSはSonoma 14.4.1以降、WindowsはWindows 11、UbuntuはUbuntu 22とGNOMEにすることを勧めています。

パスワードマネージャー

会社が認めたパスワードマネージャーが端末に入っているかを確かめます。対応するパスワードマネージャーには、1Password、Bitwarden、Dashlane、Keeper、LastPass、NordPass、KeePass、Enpassなどがあります。

集め方	基準を満たす場合
Drata Agent	対応するパスワードマネージャーのデスクトップのアプリか、ブラウザーの拡張機能が入っている（OSを問わない）
MDM	対応するパスワードマネージャーのデスクトップのアプリが入っている。JumpCloudとの連携に限り、対応するChromeの拡張機能も基準を満たす

【注意】 Chromeに組み込まれたパスワードの保存機能など、ブラウザーそのものの機能は、セキュリティーと監査の要件から、パスワードマネージャーとして認められません。また、macOSの標準のパスワードの管理機能は、使われているかを確かめる方法がないため、Drataでは確かめていません。使っているパスワードマネージャーが認識されない場合は、正規販売代理店（デジタルアクセルズ）にご相談ください。

ヘルプセンターでは、パスワードマネージャー自体の設定として、強いロック解除のパスワードを設定すること、5分間操作がないときとスリープのときに自動でロックすることを勧めています。

ウイルス対策

ウイルス対策のソフトウェアが端末に入っているかを確かめます。

集め方	基準を満たす場合
Drata Agent	対応するウイルス対策のソフトウェアが入っている（OSを問わない）。WindowsではMicrosoft Defenderでも基準を満たす。macOSでは、OSの版が10.16以降なら基準を満たす
MDM	対応するウイルス対策のソフトウェアが入っている。または、必要なウイルス対策のポリシーがMDMにあり、端末に割り当てられ、端末が準拠している。WindowsのMicrosoft Defenderと、macOSの10.16以降の扱いはDrata Agentと同じ

対応するウイルス対策のソフトウェアには、CrowdStrike、SentinelOne、Sophos、Bitdefender、Malwarebytes、Trend Micro Apex One、Microsoft Defenderなどがあります。一覧にないソフトウェアを使っている場合は、正規販売代理店（デジタルアクセルズ）にご相談ください。

macOSで対応するソフトウェアを入れていない場合は、OSに組み込まれたXProtectとGatekeeperが有効になっていることを確かめます。XProtectはSoftware Updateの詳細の設定で、セキュリティーの更新とシステムのデータファイルをインストールする選択肢を有効にします。GatekeeperはPrivacy & Securityで、App Storeと確認済みの開発元からのアプリだけを許可します。どちらも有効でなく、対応するソフトウェアも見つからない場合に、確認項目は失敗します。

【注意】 SentinelOneなどのEDRの製品をつないでいる場合、ウイルス対策の確認項目は、EDRの情報だけで判定されます。その端末では、Drata AgentやMDMの情報には切り替わりません。また、全ての要員で端末の確認項目を除外していると、評価する対象がなくなり、テストが失敗し続けることがあります。

自動更新

OSのセキュリティーの更新が自動で適用されるかを確かめます。

集め方	基準を満たす場合
Drata Agent	OSが、セキュリティーの更新を自動で適用するように設定されている。macOSでは、Software Updateの自動更新を有効にし、詳細の設定の選択肢を全て有効にする
MDM	自動更新のポリシーがMDMにあり、端末に割り当てられ、端末が準拠している。Microsoft Intuneでは、コンプライアンスポリシーの最低限のOSの版で評価する

ディスクの暗号化

端末のディスクが暗号化されているかを確かめます。

集め方	基準を満たす場合
Drata Agent	ディスクが暗号化されている。macOSはFileVault、WindowsはBitLockerを有効にする。WindowsのHomeエディションではBitLockerを使えない
MDM	ディスクの暗号化のポリシーがMDMにあり、端末に割り当てられ、端末が準拠している

Ubuntuでは、Drata Agentでディスクの暗号化を確かめられないため、暗号化されていることを示すスクリーンショットを、証跡として手作業でアップロードします。

特別な扱いが必要な端末

Chromebook

Chromebookは、セキュリティーの機能が既定で有効になっているため、設定を画面で示しにくい項目があります。ヘルプセンターでは、Googleが公開しているChromebookのセキュリティーの資料を使う方法を示しています。

確認項目	ヘルプセンターが示す方法
ディスクの暗号化	既定で満たされるため、Googleの資料を証跡にする
自動更新	既定で有効だが無効にもできるため、自動更新の設定のスクリーンショットを出す
画面ロック	対応している機種なら、設定のスクリーンショットを出す。対応していない機種は、監査人と扱いを相談する
パスワードマネージャー	Chromeウェブストアからパスワードマネージャーを入れ、スクリーンショットを出す
ウイルス対策	他社のウイルス対策を入れることが勧められる。標準の保護で十分と判断する場合は、監査人の同意を得てGoogleの資料を使う

Chromebookを主に使っている組織では、Google WorkspaceのMDMの機能（Google Admin）を有効にして、端末の設定を管理することが勧められています。

私物の端末（BYOD）

社員の私物の端末を業務に使う場合も、SOC 2やISO 27001の端末のコントロールがなくなるわけではありません。ヘルプセンターでは、次のように進めることを勧めています。

1. 私物の端末の業務での利用を、ポリシー（Acceptable Use Policy、Asset Management Policy、Information Security Policyのいずれかか、独立したBYODのポリシー）で正式に認めます。
2. ポリシーで、5つの確認項目の設定を社員に求め、MDMへの登録、Drata Agentのインストール、スクリーンショットの提出のいずれかで、設定を示すことに協力してもらいます。設定を「求める」か「勧める」かは、国や地域の法令で私物の端末に求められる範囲が変わるため、人事と法務の担当者と確かめてから決めます。
3. 証跡を集められない項目は、代わりのコントロールを検討します。代わりのコントロールを認めるかは、監査人が判断します。ISO 27001では、適用宣言書の端末に関係する管理策の備考に、代わりに行ったことを書きます。

基準を満たさない端末を直してもらう

1. 直す必要がある端末を見つける

• Compliance → Monitoringで、端末のテストのうち失敗しているものを開き、Findingsタブで基準を満たさない端末や要員を確かめます。
• Governance → Personnelでは、Device Complianceの列と絞り込みで、端末の確認項目を満たしていない要員を確かめます。複数の端末を持つ要員は、列に端末の台数が表示されます。
• 要員を開くと、Devicesの欄に端末ごとの準拠の状態、OS、識別子が表示されます。端末を選ぶと、詳細を確かめられます。

テストの結果の読み方は、テストの結果を読み解くで説明しています。

2. 社員に設定を直してもらう

対象の社員に、基準を満たしていない項目と、会社が決めた設定を伝えて直してもらいます。Personnelページで要員を選び、Send reminder emailで催促のメールを送ると、社員はMy Drataに案内されます。催促のメールは、社員が自分で済ませられる作業が残っている要員にだけ送れます。

My Drataの各作業には手順の案内が表示され、作業が済んだか、対応が必要かが分かります。

3. 直した結果を反映する

集め方	反映のされ方
Drata Agent	エージェントは1日1回動くため、設定を直しても、すぐには完了にならない。すぐに反映したいときは、社員がDrata AgentのメニューでSync nowを選ぶ
MDM	MDMのポリシーを直し、端末がポリシーに準拠するのを待つ。Drataには、毎晩の同期の後に反映される

Drata Agentのメニュー。端末の設定の状況が表示され、Sync nowで同期をやり直せる

4. 自動で確かめられない項目は証跡をアップロードする

Drata AgentやMDMで確かめられない項目（Ubuntuのディスクの暗号化など）は、証跡を手作業でアップロードします。日時が写ったスクリーンショットを使うことが勧められています。

アップロードする人	方法
社員	My Drataで、端末ごとにView / Upload Evidenceからアップロードする。Workstation configuration monitoringでManually via personnel uploading evidenceを有効にしている場合に使える
管理者	Personnelページで要員を開き、Devicesの欄で端末を選んでアップロードする。設定によらず、いつでも使える

端末が登録されていない要員には、Manually Configuredの端末が表示され、この端末に証跡をアップロードします。

確認項目が当てはまらない要員

会社が管理しない私物の端末を使う業務委託者など、端末の確認項目が当てはまらない要員は、理由を付けて端末の確認項目を除外できます。除外は要員ごとで、端末を1台ずつ除外することはできません。対象外の要員とサービスアカウントで説明しています。