Data/Locales/checks/ja/K12Checks.json
|
{ "_family": "K12Checks.json", "GWS-K12-001": { "name": { "value": "生徒の組織部門の共有設定が教職員から継承されていない", "status": "machine-draft" }, "description": { "value": "学区では、教職員のニーズに合わせて Drive の外部共有を構成し、生徒の組織部門にその構成を継承させることがよくあります。継承は日常的な管理では見えません。生徒の組織部門には値が表示されますが、それを生徒向けに選んだ人は誰もいません。生徒の組織部門の外部共有の構成は、明示的なローカルの決定であるべきか、または完全に無効化された継承値であるべきです。", "status": "machine-draft" }, "recommendedValue": { "value": "Drive の外部共有の構成が各生徒の組織部門にローカルで適用されているか、継承値が DISALLOWED になっている", "status": "machine-draft" }, "remediationSteps": { "value": "管理コンソール > アプリ > Google Workspace > Drive and Docs > 共有設定。左パネルで生徒の組織部門を選択し、その組織部門に対して「組織外への共有」を明示的に設定します (ローカルの決定である場合、設定には「ローカルで適用」と表示され、そうでない場合は「継承」と表示されます)。", "status": "machine-draft" } }, "GWS-K12-002": { "name": { "value": "生徒の外部 Drive 共有の制限", "status": "machine-draft" }, "description": { "value": "教職員の設定状況がどうであれ、生徒の組織部門では、組織外への無制限かつ通知なしの共有を許可すべきではありません。妥当な生徒向けの設定は、完全に無効化するものから許可リストに登録されたドメインに限定するものまで幅があります。警告表示付きで共有を有効にする設定は、許容できる最も弱い下限であり、年齢層に応じた学区の意図的な決定であるべきです。", "status": "machine-draft" }, "recommendedValue": { "value": "生徒の組織部門の外部 Drive 共有が DISALLOWED になっているか、許可リストに登録されたドメインに制限されている。ALLOWED の場合は、外部共有の警告が有効になっており、その選択が文書化されている", "status": "machine-draft" }, "remediationSteps": { "value": "管理コンソール > アプリ > Google Workspace > Drive and Docs > 共有設定。生徒の組織部門を選択し、「組織外への共有」を「オフ」または「許可リストに登録されたドメイン」に設定します。学区が生徒の組織部門に対して外部共有を意図的に許可する場合は、少なくとも「組織内のユーザーが所有するファイルが外部に共有されたときに警告する」を有効にします。", "status": "machine-draft" } }, "GWS-K12-003": { "name": { "value": "生徒がサードパーティアプリを承認できない", "status": "machine-draft" }, "description": { "value": "学区が生徒の組織部門に対してサードパーティ API アクセスを制限しない限り、生徒が任意のウェブサイトで「Google でログイン」をクリックすると、そのサイトに学校アカウントのデータへのアクセスを付与してしまう可能性があります。生徒には、未構成のサードパーティアプリへのアクセスがない状態、または学区が精選した許可リストのみを与えるべきです。これは学校のテナントで最も効果の大きい単一の設定の 1 つです。", "status": "machine-draft" }, "recommendedValue": { "value": "生徒の組織部門で未構成のサードパーティアプリがブロックされており (BLOCK_ALL_SCOPES)、学区が確認したアプリが個別に許可リストに登録されている", "status": "machine-draft" }, "remediationSteps": { "value": "管理コンソール > セキュリティ > アクセスとデータ管理 > API の制御 > アプリ アクセス制御 > サードパーティ アプリのアクセスを管理。生徒の組織部門を選択し、未構成のサードパーティアプリを「すべてのサードパーティ API アクセスをブロック」に設定し、学区が確認した特定のアプリを許可リストに登録します。", "status": "machine-draft" } }, "GWS-K12-004": { "name": { "value": "ベンダーへの委任アクセスの確認", "status": "machine-draft" }, "description": { "value": "ドメイン全体の委任付与は、ベンダーのサービスアカウントに、生徒データを含むテナント全体のユーザーデータへの恒常的なアクセスを与えます。SIS プラットフォーム、名簿管理ツール、EdTech ベンダーは、こうした付与を何年もかけて蓄積し、古くなった付与が削除されることはめったにありません。機密性の高いスコープを持つすべての付与は、現行のベンダー契約と、実用上最も狭いスコープの組み合わせに対応しているべきです。", "status": "machine-draft" }, "recommendedValue": { "value": "すべてのドメイン全体の委任付与が現行のベンダーに対応しており、そのベンダーが必要とするスコープのみを持っている", "status": "machine-draft" }, "remediationSteps": { "value": "管理コンソール > セキュリティ > アクセスとデータ管理 > API の制御 > ドメイン全体の委任。各クライアント ID について、どのベンダーが所有しているか、契約が現行であるかを確認します。契約が終了したベンダーの付与を削除します。ベンダーの機能を超えるスコープの組み合わせを縮小します (メール、Drive、ディレクトリ、連絡先のスコープには特に注意が必要です)。", "status": "machine-draft" } }, "GWS-K12-005": { "name": { "value": "委任管理者の最小権限", "status": "machine-draft" }, "description": { "value": "学区では、カウンセラー、事務職員、学校の管理職に対し、正当な業務のために、その業務よりもはるかに広範なロールを使って委任管理者ロールを付与することが日常的にあります。ドメイン全体にわたるユーザー管理またはセキュリティの権限を持つ委任ロールは、すべての生徒アカウントに及びます。同じロールを組織部門に範囲限定すれば、その及ぶ範囲は封じ込められます。このチェックは、確認のためにドメイン全体の委任割り当てを可視化します。各保有者にその及ぶ範囲が必要かどうかは、学区の判断によります。", "status": "machine-draft" }, "recommendedValue": { "value": "ユーザー管理またはセキュリティの権限を持つ委任管理者ロールが、ドメイン全体ではなく、保有者が担当する組織部門に範囲限定されている", "status": "machine-draft" }, "remediationSteps": { "value": "管理コンソール > アカウント > 管理者ロール。証拠でフラグが立てられた各カスタムまたは事前構築ロールの割り当てについて、割り当てを該当する組織部門に絞り込む (割り当ての範囲を編集する) か、保有者の職務に必要な権限のみを持つロールに置き換えます。", "status": "machine-draft" } }, "GWS-K12-006": { "name": { "value": "生徒のコミュニケーションの境界", "status": "machine-draft" }, "description": { "value": "Chat と Meet にはそれぞれ、アカウントが組織外の人々とコミュニケーションできるかどうかを管理する独立した設定があります。生徒の組織部門にとって、これらの設定は安全性の境界です。学区外のアカウントが、学区提供のツールを通じて生徒に接触を開始できるかどうかを決定します。ここでの FAIL は、学区が許可すると積極的に決定していない種類の外部接触を、ある設定が許可していることを意味します。そのような接触が実際に発生したことを意味するものではありません。Gmail の外部メールの制限は、このチェックが読み取れないルーティングルールに存在するため、手動での確認事項として記載されます。", "status": "machine-draft" }, "recommendedValue": { "value": "生徒の組織部門の外部チャットが OFF になっているか、信頼できるドメインに制限されており、生徒は学区が主催する会議にのみ参加する", "status": "machine-draft" }, "remediationSteps": { "value": "Chat: 管理コンソール > アプリ > Google Workspace > Google Chat > 外部チャット設定。生徒の組織部門を選択し、外部チャットを OFF にするか、許可リストに登録されたドメインに制限します。Meet: 管理コンソール > アプリ > Google Workspace > Google Meet > Meet の安全性設定。生徒の組織部門を選択し、ユーザーが参加できる会議を組織のものに制限します。Gmail: アプリ > Google Workspace > Gmail > ルーティングで、生徒の外部メールの制限を確認します。", "status": "machine-draft" } }, "GWS-K12-007": { "name": { "value": "保護者アクセスの整合性", "status": "machine-draft" }, "description": { "value": "保護者向けメール概要は、保護者が自分の生徒の活動を確認できるように存在します。機械的に評価できる整合性の性質は、誰が保護者を登録および削除できるかです。ドメイン管理者のみは狭い露出面です。確認済みの教師まで許可すると露出面が広がり、文書化された本人確認の手順が必要になります。学区が保護者を招待する前にその本人確認をどのように行うかは、このチェックが読み取れないポリシー確認の項目です。検出結果は、インシデントではなく構成の状態を説明するものです。", "status": "machine-draft" }, "recommendedValue": { "value": "保護者アクセスが有効な場合、保護者の管理がドメイン管理者に制限されているか、または文書化された教師側の本人確認の手順が存在する", "status": "machine-draft" }, "remediationSteps": { "value": "管理コンソール > アプリ > Google Workspace > Classroom > 保護者アクセス。生徒の組織部門を選択します。保護者向け概要を使用している場合は、「保護者を管理できるユーザー」をドメイン管理者のみに設定するか、教師が保護者を招待する前に従うべき本人確認の手順を文書化します。", "status": "machine-draft" } }, "GWS-K12-008": { "name": { "value": "管理対象の生徒用 Chromebook の状態", "status": "machine-draft" }, "description": { "value": "生徒用 Chromebook は学区で最大の端末群であり、最も境界が試される対象です。端末群を管理下に保つ状態とは、次のとおりです: ワイプされた端末が自動的に再登録される (生徒はワイプによって管理から逃れることができない)、拡張機能がブロックリスト付きのオープンなストアではなく学区の許可リストからインストールされる、Web Store 外からサイドロードされる拡張機能がブロックされる。", "status": "machine-draft" }, "recommendedValue": { "value": "ワイプ後の強制再登録が自動になっており、拡張機能のインストールが許可リストのみに限定され、生徒の組織部門で外部の (サイドロードされた) 拡張機能がブロックされている", "status": "machine-draft" }, "remediationSteps": { "value": "デバイス > Chrome > 設定。生徒の組織部門を選択します。デバイスの設定 > 登録とアクセスで、強制再登録を「ワイプ後に端末を自動的に再登録させる」に設定します。ユーザーとブラウザ > アプリと拡張機能で、Chrome Web Store のインストールポリシーを、管理者が管理する許可リスト付きですべてのアプリをブロックするように設定し、外部の拡張機能をブロックします。", "status": "machine-draft" } }, "GWS-K12-009": { "name": { "value": "退校した生徒のアカウントの処理", "status": "machine-draft" }, "description": { "value": "卒業や退学により、誰も所有しないアカウントが生じます。退校した生徒に属するアクティブなアカウントは、監視されていない ID であり、依然としてメールを受信し、データを保持しています。このチェックは、生徒の組織部門でアクティブでありながら 1 年以上サインインしていないアカウントを可視化し、停止されたアカウントも依然として Drive データを保持しており、削除前にその所有権を解決すべきであることを学区に注意喚起します。", "status": "machine-draft" }, "recommendedValue": { "value": "退校した生徒が退校時に停止またはアーカイブされており、1 年間サインインのない生徒アカウントがアクティブなまま残っていない", "status": "machine-draft" }, "remediationSteps": { "value": "管理コンソール > ディレクトリ > ユーザー。生徒の組織部門でフィルタリングし、最終サインインで並べ替えます。退学または卒業した生徒に属するアカウントを停止またはアーカイブします。停止したアカウントを削除する前に、Drive の所有権を移行する (管理コンソール > ディレクトリ > ユーザー > ユーザーを選択 > 削除 > コンテンツを移行) か、保持ポリシーに応じて Takeout/Vault を通じてエクスポートします。", "status": "machine-draft" } }, "GWS-K12-010": { "name": { "value": "生徒アカウントのセキュリティの下限", "status": "machine-draft" }, "description": { "value": "誠実な生徒セキュリティの下限は年齢層に応じたものです。すべての場所で強力なパスワードポリシーと学区が管理する復元を適用し、第 2 要素を保持できる年齢の生徒を対象とする組織部門では 2 段階認証プロセスを強制します。生徒が管理するアカウントの自己復元は、どの年齢であってもアカウント乗っ取りの経路であり、このチェックで失敗と判定されます。2SV の強制が欠けている場合は、学区の年齢層に関する判断のための背景情報として報告され、小学生向けの組織部門の一律の失敗として扱われることは決してありません。", "status": "machine-draft" }, "recommendedValue": { "value": "生徒の組織部門で自己復元が無効になっており、最小長 12 文字以上の STRONG なパスワードポリシーが適用され、年齢層が対応できる場合には 2SV が強制され、それ以外の場所では文書化された例外がある", "status": "machine-draft" }, "remediationSteps": { "value": "管理コンソール > セキュリティ > 認証。生徒の組織部門を選択します。アカウントの復元で、生徒の組織部門についてユーザーアカウントの自己復元を OFF にします (復元は学区のヘルプデスクを通じて行います)。パスワード管理で、最小長 12 文字以上の強力なパスワードを強制します。2 段階認証プロセスで、第 2 要素を保持できる年齢層に対して 2SV を強制し、より年少の組織部門については例外を文書化します。", "status": "machine-draft" } } } |