Data/Locales/checks/ja/K12Checks.json
|
{ "_family": "K12Checks.json", "GWS-K12-001": { "name": { "value": "生徒の組織部門の共有設定が教職員から継承されていない", "status": "machine-draft" }, "description": { "value": "学区では、教職員のニーズに合わせて Drive の外部共有を構成し、生徒の組織部門にその構成を継承させることがよくあります。継承は日常的な管理では見えません。生徒の組織部門には値が表示されますが、それを生徒向けに選んだ人は誰もいません。生徒の組織部門の外部共有の構成は、明示的なローカルの決定であるべきか、または完全に無効化された継承値であるべきです。", "status": "machine-draft" }, "recommendedValue": { "value": "Drive の外部共有の構成が各生徒の組織部門にローカルで適用されているか、継承値が DISALLOWED になっている", "status": "machine-draft" }, "remediationSteps": { "value": "管理コンソール > アプリ > Google Workspace > Drive and Docs > 共有設定。左パネルで生徒の組織部門を選択し、その組織部門に対して「組織外への共有」を明示的に設定します (ローカルの決定である場合、設定には「ローカルで適用」と表示され、そうでない場合は「継承」と表示されます)。", "status": "machine-draft" } }, "GWS-K12-002": { "name": { "value": "生徒の外部 Drive 共有の制限", "status": "machine-draft" }, "description": { "value": "教職員の設定状況がどうであれ、生徒の組織部門では、組織外への無制限かつ通知なしの共有を許可すべきではありません。妥当な生徒向けの設定は、完全に無効化するものから許可リストに登録されたドメインに限定するものまで幅があります。警告表示付きで共有を有効にする設定は、許容できる最も弱い下限であり、年齢層に応じた学区の意図的な決定であるべきです。", "status": "machine-draft" }, "recommendedValue": { "value": "生徒の組織部門の外部 Drive 共有が DISALLOWED になっているか、許可リストに登録されたドメインに制限されている。ALLOWED の場合は、外部共有の警告が有効になっており、その選択が文書化されている", "status": "machine-draft" }, "remediationSteps": { "value": "管理コンソール > アプリ > Google Workspace > Drive and Docs > 共有設定。生徒の組織部門を選択し、「組織外への共有」を「オフ」または「許可リストに登録されたドメイン」に設定します。学区が生徒の組織部門に対して外部共有を意図的に許可する場合は、少なくとも「組織内のユーザーが所有するファイルが外部に共有されたときに警告する」を有効にします。", "status": "machine-draft" } }, "GWS-K12-003": { "name": { "value": "生徒がサードパーティアプリを承認できない", "status": "machine-draft" }, "description": { "value": "学区が生徒の組織部門に対してサードパーティ API アクセスを制限しない限り、生徒が任意のウェブサイトで「Google でログイン」をクリックすると、そのサイトに学校アカウントのデータへのアクセスを付与してしまう可能性があります。生徒には、未構成のサードパーティアプリへのアクセスがない状態、または学区が精選した許可リストのみを与えるべきです。これは学校のテナントで最も効果の大きい単一の設定の 1 つです。", "status": "machine-draft" }, "recommendedValue": { "value": "生徒の組織部門で未構成のサードパーティアプリがブロックされており (BLOCK_ALL_SCOPES)、学区が確認したアプリが個別に許可リストに登録されている", "status": "machine-draft" }, "remediationSteps": { "value": "管理コンソール > セキュリティ > アクセスとデータ管理 > API の制御 > アプリ アクセス制御 > サードパーティ アプリのアクセスを管理。生徒の組織部門を選択し、未構成のサードパーティアプリを「すべてのサードパーティ API アクセスをブロック」に設定し、学区が確認した特定のアプリを許可リストに登録します。", "status": "machine-draft" } }, "GWS-K12-004": { "name": { "value": "ベンダーへの委任アクセスの確認", "status": "machine-draft" }, "description": { "value": "ドメイン全体の委任付与は、ベンダーのサービスアカウントに、生徒データを含むテナント全体のユーザーデータへの恒常的なアクセスを与えます。SIS プラットフォーム、名簿管理ツール、EdTech ベンダーは、こうした付与を何年もかけて蓄積し、古くなった付与が削除されることはめったにありません。機密性の高いスコープを持つすべての付与は、現行のベンダー契約と、実用上最も狭いスコープの組み合わせに対応しているべきです。", "status": "machine-draft" }, "recommendedValue": { "value": "すべてのドメイン全体の委任付与が現行のベンダーに対応しており、そのベンダーが必要とするスコープのみを持っている", "status": "machine-draft" }, "remediationSteps": { "value": "管理コンソール > セキュリティ > アクセスとデータ管理 > API の制御 > ドメイン全体の委任。各クライアント ID について、どのベンダーが所有しているか、契約が現行であるかを確認します。契約が終了したベンダーの付与を削除します。ベンダーの機能を超えるスコープの組み合わせを縮小します (メール、Drive、ディレクトリ、連絡先のスコープには特に注意が必要です)。", "status": "machine-draft" } }, "GWS-K12-005": { "name": { "value": "委任管理者の最小権限", "status": "machine-draft" }, "description": { "value": "学区では、カウンセラー、事務職員、学校の管理職に対し、正当な業務のために、その業務よりもはるかに広範なロールを使って委任管理者ロールを付与することが日常的にあります。ドメイン全体にわたるユーザー管理またはセキュリティの権限を持つ委任ロールは、すべての生徒アカウントに及びます。同じロールを組織部門に範囲限定すれば、その及ぶ範囲は封じ込められます。このチェックは、確認のためにドメイン全体の委任割り当てを可視化します。各保有者にその及ぶ範囲が必要かどうかは、学区の判断によります。", "status": "machine-draft" }, "recommendedValue": { "value": "ユーザー管理またはセキュリティの権限を持つ委任管理者ロールが、ドメイン全体ではなく、保有者が担当する組織部門に範囲限定されている", "status": "machine-draft" }, "remediationSteps": { "value": "管理コンソール > アカウント > 管理者ロール。証拠でフラグが立てられた各カスタムまたは事前構築ロールの割り当てについて、割り当てを該当する組織部門に絞り込む (割り当ての範囲を編集する) か、保有者の職務に必要な権限のみを持つロールに置き換えます。", "status": "machine-draft" } }, "GWS-K12-006": { "name": { "value": "生徒のコミュニケーションの境界", "status": "machine-draft" }, "description": { "value": "Chat と Meet にはそれぞれ、アカウントが組織外の人々とコミュニケーションできるかどうかを管理する独立した設定があります。生徒の組織部門にとって、これらの設定は安全性の境界です。学区外のアカウントが、学区提供のツールを通じて生徒に接触を開始できるかどうかを決定します。ここでの FAIL は、学区が許可すると積極的に決定していない種類の外部接触を、ある設定が許可していることを意味します。そのような接触が実際に発生したことを意味するものではありません。Gmail の外部メールの制限は、このチェックが読み取れないルーティングルールに存在するため、手動での確認事項として記載されます。", "status": "machine-draft" }, "recommendedValue": { "value": "生徒の組織部門の外部チャットが OFF になっているか、信頼できるドメインに制限されており、生徒は学区が主催する会議にのみ参加する", "status": "machine-draft" }, "remediationSteps": { "value": "Chat: 管理コンソール > アプリ > Google Workspace > Google Chat > 外部チャット設定。生徒の組織部門を選択し、外部チャットを OFF にするか、許可リストに登録されたドメインに制限します。Meet: 管理コンソール > アプリ > Google Workspace > Google Meet > Meet の安全性設定。生徒の組織部門を選択し、ユーザーが参加できる会議を組織のものに制限します。Gmail: アプリ > Google Workspace > Gmail > ルーティングで、生徒の外部メールの制限を確認します。", "status": "machine-draft" } }, "GWS-K12-007": { "name": { "value": "保護者アクセスの整合性", "status": "machine-draft" }, "description": { "value": "保護者向けメール概要は、保護者が自分の生徒の活動を確認できるように存在します。機械的に評価できる整合性の性質は、誰が保護者を登録および削除できるかです。ドメイン管理者のみは狭い露出面です。確認済みの教師まで許可すると露出面が広がり、文書化された本人確認の手順が必要になります。学区が保護者を招待する前にその本人確認をどのように行うかは、このチェックが読み取れないポリシー確認の項目です。検出結果は、インシデントではなく構成の状態を説明するものです。", "status": "machine-draft" }, "recommendedValue": { "value": "保護者アクセスが有効な場合、保護者の管理がドメイン管理者に制限されているか、または文書化された教師側の本人確認の手順が存在する", "status": "machine-draft" }, "remediationSteps": { "value": "管理コンソール > アプリ > Google Workspace > Classroom > 保護者アクセス。生徒の組織部門を選択します。保護者向け概要を使用している場合は、「保護者を管理できるユーザー」をドメイン管理者のみに設定するか、教師が保護者を招待する前に従うべき本人確認の手順を文書化します。", "status": "machine-draft" } }, "GWS-K12-008": { "name": { "value": "管理対象の生徒用 Chromebook の状態", "status": "machine-draft" }, "description": { "value": "生徒用 Chromebook は学区で最大の端末群であり、最も境界が試される対象です。端末群を管理下に保つ状態とは、次のとおりです: ワイプされた端末が自動的に再登録される (生徒はワイプによって管理から逃れることができない)、拡張機能がブロックリスト付きのオープンなストアではなく学区の許可リストからインストールされる、Web Store 外からサイドロードされる拡張機能がブロックされる。", "status": "machine-draft" }, "recommendedValue": { "value": "ワイプ後の強制再登録が自動になっており、拡張機能のインストールが許可リストのみに限定され、生徒の組織部門で外部の (サイドロードされた) 拡張機能がブロックされている", "status": "machine-draft" }, "remediationSteps": { "value": "デバイス > Chrome > 設定。生徒の組織部門を選択します。デバイスの設定 > 登録とアクセスで、強制再登録を「ワイプ後に端末を自動的に再登録させる」に設定します。ユーザーとブラウザ > アプリと拡張機能で、Chrome Web Store のインストールポリシーを、管理者が管理する許可リスト付きですべてのアプリをブロックするように設定し、外部の拡張機能をブロックします。", "status": "machine-draft" } }, "GWS-K12-009": { "name": { "value": "退校した生徒のアカウントの処理", "status": "machine-draft" }, "description": { "value": "卒業や退学により、誰も所有しないアカウントが生じます。退校した生徒に属するアクティブなアカウントは、監視されていない ID であり、依然としてメールを受信し、データを保持しています。このチェックは、生徒の組織部門でアクティブでありながら 1 年以上サインインしていないアカウントを可視化し、停止されたアカウントも依然として Drive データを保持しており、削除前にその所有権を解決すべきであることを学区に注意喚起します。", "status": "machine-draft" }, "recommendedValue": { "value": "退校した生徒が退校時に停止またはアーカイブされており、1 年間サインインのない生徒アカウントがアクティブなまま残っていない", "status": "machine-draft" }, "remediationSteps": { "value": "管理コンソール > ディレクトリ > ユーザー。生徒の組織部門でフィルタリングし、最終サインインで並べ替えます。退学または卒業した生徒に属するアカウントを停止またはアーカイブします。停止したアカウントを削除する前に、Drive の所有権を移行する (管理コンソール > ディレクトリ > ユーザー > ユーザーを選択 > 削除 > コンテンツを移行) か、保持ポリシーに応じて Takeout/Vault を通じてエクスポートします。", "status": "machine-draft" } }, "GWS-K12-010": { "name": { "value": "生徒アカウントのセキュリティの下限", "status": "machine-draft" }, "description": { "value": "誠実な生徒セキュリティの下限は年齢層に応じたものです。すべての場所で強力なパスワードポリシーと学区が管理する復元を適用し、第 2 要素を保持できる年齢の生徒を対象とする組織部門では 2 段階認証プロセスを強制します。生徒が管理するアカウントの自己復元は、どの年齢であってもアカウント乗っ取りの経路であり、このチェックで失敗と判定されます。2SV の強制が欠けている場合は、学区の年齢層に関する判断のための背景情報として報告され、小学生向けの組織部門の一律の失敗として扱われることは決してありません。", "status": "machine-draft" }, "recommendedValue": { "value": "生徒の組織部門で自己復元が無効になっており、最小長 12 文字以上の STRONG なパスワードポリシーが適用され、年齢層が対応できる場合には 2SV が強制され、それ以外の場所では文書化された例外がある", "status": "machine-draft" }, "remediationSteps": { "value": "管理コンソール > セキュリティ > 認証。生徒の組織部門を選択します。アカウントの復元で、生徒の組織部門についてユーザーアカウントの自己復元を OFF にします (復元は学区のヘルプデスクを通じて行います)。パスワード管理で、最小長 12 文字以上の強力なパスワードを強制します。2 段階認証プロセスで、第 2 要素を保持できる年齢層に対して 2SV を強制し、より年少の組織部門については例外を文書化します。", "status": "machine-draft" } }, "GWS-K12-011": { "name": { "value": "生徒の自動転送を無効化", "status": "machine-draft" }, "description": { "value": "単一の Gmail 自動転送ルールは、今後のすべてのメッセージを外部アドレスへひそかにコピーし、セッションではなく設定であるため、パスワードのリセットを経ても残存します。職員には正当な必要が時折ありますが、生徒の組織部門にはなく、この機能を有効なままにしておくことは、恒常的な情報流出とアカウント永続化の経路になります。この検査は、各生徒の組織部門について Gmail の自動転送のエンドユーザー設定を解決します。", "status": "machine-draft" }, "recommendedValue": { "value": "生徒の組織部門で自動メール転送が無効になっている", "status": "machine-draft" }, "remediationSteps": { "value": "管理コンソール > アプリ > Google Workspace > Gmail > エンドユーザー アクセス。生徒の組織部門を選択し、'Automatic forwarding' をオフにして、その組織部門のユーザーが転送ルールを構成できないようにします。業務上の必要がない職員の組織部門にも同じ設定を適用します。", "status": "machine-draft" } }, "GWS-K12-015": { "name": { "value": "監査ログのライセンス カバレッジ", "status": "machine-draft" }, "description": { "value": "Workspace の監査ログは、あらゆるアカウント インシデントが提起する疑問に答えますが、研究者は、ユーザーに有料ライセンスが割り当てられていないと、そのユーザーの非公開 Drive での操作がログ記録をまったく生成しないことがあり、組織が情報流出に対して盲目になると発見しました。Google はこれを意図された動作と呼び、それによりライセンスの割り当てはセキュリティ制御になります。評価には各ユーザーの Workspace のエディション/SKU が必要ですが、コレクターはまだこれを取得していないため、この制御は文書化された手動確認項目です。検査は Not Assessed を報告し、手動確認へ誘導します。", "status": "machine-draft" }, "recommendedValue": { "value": "すべてのアクティブ ユーザーが有料ライセンスを保持し、非公開 Drive での操作がログに記録される (手動で確認してください。エディション/SKU はまだ収集されていません)", "status": "machine-draft" }, "remediationSteps": { "value": "管理コンソール > お支払い > ライセンス。すべてのアクティブ ユーザーに有料 Workspace ライセンスが割り当てられており、非公開 Drive での操作が監査記録を生成することを確認します。評価には各ユーザーのエディション/SKU が必要ですが、コレクターはまだこれを取得していないため、カバレッジを手動で確認してください。", "status": "machine-draft" } }, "GWS-K12-013": { "name": { "value": "生徒のレガシー認証を無効化", "status": "machine-draft" }, "description": { "value": "POP と IMAP は OAuth 以前のメール アクセス プロトコルであり、最新のログイン チャレンジと第 2 要素を回避します。有効なユーザー名とパスワードがあれば十分です。これらは、生徒の組織部門には必要のない従来のデスクトップ メール クライアントのために存在し、有効なままにしておくと、学区が 2SV で強化した正面扉の横に、認証情報のみに基づく扉を開いたままにします。この検査は、各生徒の組織部門について Gmail の IMAP と POP のエンドユーザー アクセス設定を解決します。関連するレガシー経路であるアプリ パスワードは、このポリシー面では公開されず、手動確認項目のままです。", "status": "machine-draft" }, "recommendedValue": { "value": "生徒の組織部門で IMAP と POP のエンドユーザー アクセスが無効になっている", "status": "machine-draft" }, "remediationSteps": { "value": "管理コンソール > アプリ > Google Workspace > Gmail > エンドユーザー アクセス。生徒の組織部門を選択し、IMAP と POP のアクセスの両方をオフにします。アプリ パスワードは、この検査が読み取れない関連するレガシー アクセス経路です。別途確認してください。", "status": "machine-draft" } }, "GWS-K12-012": { "name": { "value": "生徒のデータ エクスポート (Takeout) を無効化", "status": "machine-draft" }, "description": { "value": "Google Takeout は、ユーザーの Drive と Gmail 全体をワンクリックでエクスポートできるサポート対象の機能です。退出時や、侵害されたアカウントの手に渡った場合には、大量の情報流出ツールになります。Takeout は管理コンソールで組織部門ごとに構成できますが、現在その状態を自動読み取り用に公開する Cloud Identity のポリシー面はないため、この制御は文書化された手動確認項目です。検査は読み取れない値を推測するのではなく、Not Assessed を報告し、手動確認へ誘導します。", "status": "machine-draft" }, "recommendedValue": { "value": "生徒の組織部門で Google Takeout がオフになっている (手動で確認してください。現在これを公開する構成 API はありません)", "status": "machine-draft" }, "remediationSteps": { "value": "管理コンソール > アカウント > アカウント設定 > Takeout。生徒の組織部門を選択し、Takeout をオフにして、Drive と Gmail のワンクリック大量エクスポートを生徒が利用できないようにします。この状態を公開する Cloud Identity のポリシー面はないため、手動で確認してください。", "status": "machine-draft" } }, "GWS-K12-014": { "name": { "value": "Vault のエクスポートと保持の権限を制限", "status": "machine-draft" }, "description": { "value": "Google Vault はテナント全体に及ぶ管理上の到達範囲です。'Manage Exports' はいつでも任意のユーザーのメールボックスと Drive をダウンロードでき、'Manage Retention Rules' は誤って構成されたルールが巻き込んだ記録を完全に削除できます。これらの権限は管理者ロールに乗っており、委任された管理者ロールと同じように蓄積します。この検査は、その権限が Vault のエクスポート、保持、ホールド、案件、または eDiscovery の管理に一致する管理者ロールの割り当てを表面化します。各保有者が正当かどうかは学区の判断であるため、ハードな失敗ではなく確認リストを報告します。保持ルール自体は Vault で直接確認します。", "status": "machine-draft" }, "recommendedValue": { "value": "すべての Vault のエクスポートまたは保持の権限が、それを必要とする既知の現行管理者に対応している", "status": "machine-draft" }, "remediationSteps": { "value": "管理コンソール > アカウント > 管理者ロール。Vault のエクスポート、保持、ホールド、案件、または eDiscovery の権限を持つとしてフラグが付いた各ロールについて、保有者がそれを必要としていることを確認します。必要でない場合は、その権限または割り当てを削除します。現在の保持ルールは Vault で直接確認してください (vault.google.com > Retention)。", "status": "machine-draft" } } } |