セキュリティ制御リファレンス

備考

プレビュー

この機能は プライベート プレビュー段階です。ガバナンス ハブ セキュリティ体制管理の有効化を参照してください。

このページでは、Governance Hubの Security ページが評価するセキュリティコントロールを一覧表示します。各コントロール名は、修正方法に関するガイダンスにLinkしています。コントロールの整理方法とカスタマイズ方法については、セキュリティの概要をご覧ください。

注記

アカウントの プラットフォーム階層に関係なく、すべてのコントロールがスキャンされます。ただし、エンタープライズ コントロールを修正するには、アカウントがエンタープライズ階層である必要があります。ESC コントロールを修正するには、アカウントに強化セキュリティ、コンプライアンス（ESC）アドオンが必要です。

コントロールID	コントロール名	カテゴリとサブカテゴリ	defaultの重大度	プラットフォーム層
DP-01	レガシーの DBFS ルートとマウントは、ワークスペースで無効にする必要があります	データ保護 > UCの準備状況	M	すべて
DP-02	ワークスペースはメタストアに割り当てる必要があります	データ保護 > UCの準備状況	高	すべて
DP-03	UCメタストアのストレージ認証情報は、ワークスペース内で直接使用しないでください	データ保護 > UCの準備状況	M	すべて
DP-04	ワークスペースのマネージドサービス用の顧客管理キーを設定する必要があります	データ保護 > 暗号化	低	Enterprise
DP-05	ワークスペースのストレージ用の顧客管理キーを設定する必要があります	データ保護 > 暗号化	低	Enterprise
DP-06	すべてのワークスペースクラスターでローカルディスク暗号化を有効にする必要があります	データ保護 > 暗号化	低	すべて
DP-07	ワークスペースではSQL結果のdownloadを無効にする必要があります	データ保護 > データエクスポート	情報提供	すべて
DP-08	ワークスペースではノートブック結果のdownloadを無効にする必要があります	データ保護 > データエクスポート	情報提供	すべて
DP-09	ワークスペースではノートブックとファイルのエクスポートを無効にする必要があります	データ保護 > データエクスポート	情報提供	すべて
DP-10	結果テーブルをクリップボードにコピーする機能をワークスペースで無効にする必要があります	データ保護 > データエクスポート	情報提供	すべて
HYG-01	レガシー機能は新しいワークスペースで無効にする必要があります	プラットフォームの健全性 > プラットフォームのベースライン	高	すべて
HYG-02	ワークスペース内のクラスターでは、非推奨のDatabricks Runtimeを使用しないでください	プラットフォームの衛生状態 > コンピュートの強化	高	すべて
HYG-03	すべてのワークスペースクラスターでユーザー分離を有効にする必要があります	プラットフォームの衛生状態 > コンピュートの強化	高	すべて
HYG-04	ワークスペースでAWSインスタンスメタデータサービスv2を強制する必要があります	プラットフォームの衛生状態 > コンピュートの強化	低	すべて
HYG-05	ワークスペースでクラスターの自動更新を有効にする必要があります	プラットフォームの衛生状態 > コンピュートの強化	M	ESC
HYG-06	ワークスペースクラスターの実行時間は、設定されたthresholdを超えないようにする必要があります	プラットフォームの衛生状態 > コンピュートの強化	M	すべて
HYG-07	ワークスペースにグローバルinitスクリプトが存在していない必要があります	プラットフォームの衛生管理 > ソフトウェアサプライチェーン	M	すべて
HYG-08	ワークスペースにグローバルクラスターライブラリが存在していない必要があります	プラットフォームの衛生管理 > ソフトウェアサプライチェーン	M	すべて
HYG-09	ワークスペースでGitフォルダを有効にする必要があります	プラットフォームの衛生管理 > ソフトウェアサプライチェーン	M	すべて
HYG-10	ワークスペースでGitリポジトリの許可リストを有効化し、強制する必要があります	プラットフォームの衛生管理 > ソフトウェアサプライチェーン	M	すべて
HYG-11	コンプライアンスセキュリティプロファイルは、新しいワークスペースに自動的に適用される必要があります	プラットフォームの健全性 > プラットフォームのベースライン	高	ESC
HYG-12	ワークスペースでコンプライアンスセキュリティプロファイルを有効にする必要があります	プラットフォームの健全性 > プラットフォームのベースライン	高	ESC
HYG-13	ワークスペースで強化されたセキュリティモニタリングを有効にする必要があります	プラットフォームの健全性 > プラットフォームのベースライン	高	ESC
IAM-01	パーソナルアクセストークンの最大有効期間のワークスペース設定は、設定されたthreshold以下である必要があります	ID とアクセス > 認証	M	すべて
IAM-02	パーソナルアクセストークンの有効期間は、設定されたthresholdを超えてはいけません	ID とアクセス > 認証	M	すべて
IAM-03	パーソナルアクセストークンの有効期間は、ワークスペース設定の最大有効期間を超えないようにする必要があります	ID とアクセス > 認証	M	すべて
IAM-04	パーソナルアクセストークンの有効期限が、設定されたthreshold内に近づかないようにしてください	ID とアクセス > 認証	高	すべて
IAM-06	OpenSharing受信者トークンの最大有効期間のメタストア設定は、設定されたthreshold以下である必要があります	ID とアクセス > 認証	高	すべて
IAM-07	OpenSharing受信者トークンの有効期間は、設定されたthresholdを超えないようにする必要があります	ID とアクセス > 認証	M	すべて
IAM-08	Service Principalクライアントシークレットの有効期間は、設定されたthresholdを超えないようにする必要があります	ID とアクセス > 認証	M	すべて
IAM-09	アカウントおよびすべてのワークスペースでSingle Sign On（SSO）を有効にする必要があります	ID とアクセス > 認証	高	すべて
IAM-10	緊急アクセスは、設定されたthreshold以下の限られた数のユーザー向けに設定する必要があります	ID とアクセス > 認証	低	すべて
IAM-11	ユーザーとグループは、IDプロバイダーと同期する必要があります	IDとアクセス > IDガバナンス	高	すべて
IAM-12	アカウントで自動ID管理 (AIM) を有効にする必要があります	IDとアクセス > IDガバナンス	情報提供	すべて
IAM-13	ワークスペース管理者の数は、設定されたthreshold以下である必要があります	IDとアクセス > IDガバナンス	M	すべて
IAM-14	メタストア管理者の数は、設定されたthreshold以下である必要があります	IDとアクセス > IDガバナンス	M	すべて
IAM-15	アカウント管理者の数は、設定されたthreshold以下である必要があります	IDとアクセス > IDガバナンス	M	すべて
IAM-16	ワークスペースで [ワークスペース管理者の制限] 設定を有効にする必要があります	IDとアクセス > IDガバナンス	M	すべて
IAM-17	UCメタストア管理者は、アカウント管理者ではないグループにのみ付与されるべきです	IDとアクセス > IDガバナンス	高	すべて
NET-01	ワークスペースに対して、Serverlessエグレス制御を強制するか、ドライランモードで設定する必要があります	ネットワークセキュリティ > エグレス制御	M	Enterprise
NET-02	ワークスペースに対して、コンテキストベースのイングレスパブリックアクセスポリシーを強制するか、ドライランモードで設定する必要があります	ネットワーク セキュリティ > イングレス コントロール	情報提供	Enterprise
NET-03	アカウントレベルのリソースに対して、コンテキストベースのイングレスパブリックアクセスポリシーを強制するか、ドライランモードで設定する必要があります	ネットワーク セキュリティ > イングレス コントロール	情報提供	Enterprise
NET-04	ワークスペースに対して、インバウンドネットワークセキュリティを強制するか、ドライランモードで設定する必要があります	ネットワーク セキュリティ > イングレス コントロール	高	Enterprise
NET-05	アカウントレベルのリソースに対して、インバウンドネットワークセキュリティを強制するか、ドライランモードで設定する必要があります	ネットワーク セキュリティ > イングレス コントロール	高	Enterprise
NET-06	OpenSharingにはIPアクセスリストを強制する必要があります	ネットワーク セキュリティ > イングレス コントロール	低	すべて
NET-08	ワークスペースにフロントエンドのプライベート接続を設定する必要があります	ネットワーク セキュリティ > イングレス コントロール	低	Enterprise
NET-09	アカウントレベルのリソースに対して、フロントエンドのプライベート接続を設定する必要があります	ネットワーク セキュリティ > イングレス コントロール	低	Enterprise
NET-10	Serverlessのプライベート接続はクラウドリソースに設定する必要があります	ネットワークセキュリティ > エグレス制御	低	Enterprise

コントロールID	コントロール名	カテゴリとサブカテゴリ	defaultの重大度	プラットフォーム層
DP-01	レガシーの DBFS ルートとマウントは、ワークスペースで無効にする必要があります	データ保護 > UCの準備状況	M	すべて
DP-02	ワークスペースはメタストアに割り当てる必要があります	データ保護 > UCの準備状況	高	すべて
DP-03	UCメタストアのストレージ認証情報は、ワークスペース内で直接使用しないでください	データ保護 > UCの準備状況	M	すべて
DP-04	ワークスペースのマネージドサービス用の顧客管理キーを設定する必要があります	データ保護 > 暗号化	低	Enterprise
DP-05	ワークスペースのストレージ用の顧客管理キーを設定する必要があります	データ保護 > 暗号化	低	Enterprise
DP-06	すべてのワークスペースクラスターでローカルディスク暗号化を有効にする必要があります	データ保護 > 暗号化	低	すべて
DP-07	ワークスペースではSQL結果のdownloadを無効にする必要があります	データ保護 > データエクスポート	情報提供	すべて
DP-08	ワークスペースではノートブック結果のdownloadを無効にする必要があります	データ保護 > データエクスポート	情報提供	すべて
DP-09	ワークスペースではノートブックとファイルのエクスポートを無効にする必要があります	データ保護 > データエクスポート	情報提供	すべて
DP-10	結果テーブルをクリップボードにコピーする機能をワークスペースで無効にする必要があります	データ保護 > データエクスポート	情報提供	すべて
HYG-01	レガシー機能は新しいワークスペースで無効にする必要があります	プラットフォームの健全性 > プラットフォームのベースライン	高	すべて
HYG-02	ワークスペース内のクラスターでは、非推奨のDatabricks Runtimeを使用しないでください	プラットフォームの衛生状態 > コンピュートの強化	高	すべて
HYG-03	すべてのワークスペースクラスターでユーザー分離を有効にする必要があります	プラットフォームの衛生状態 > コンピュートの強化	高	すべて
HYG-04	ワークスペースでAWSインスタンスメタデータサービスv2を強制する必要があります	プラットフォームの衛生状態 > コンピュートの強化	低	すべて
HYG-05	ワークスペースでクラスターの自動更新を有効にする必要があります	プラットフォームの衛生状態 > コンピュートの強化	M	ESC
HYG-06	ワークスペースクラスターの実行時間は、設定されたthresholdを超えないようにする必要があります	プラットフォームの衛生状態 > コンピュートの強化	M	すべて
HYG-07	ワークスペースにグローバルinitスクリプトが存在していない必要があります	プラットフォームの衛生管理 > ソフトウェアサプライチェーン	M	すべて
HYG-08	ワークスペースにグローバルクラスターライブラリが存在していない必要があります	プラットフォームの衛生管理 > ソフトウェアサプライチェーン	M	すべて
HYG-09	ワークスペースでGitフォルダを有効にする必要があります	プラットフォームの衛生管理 > ソフトウェアサプライチェーン	M	すべて
HYG-10	ワークスペースでGitリポジトリの許可リストを有効化し、強制する必要があります	プラットフォームの衛生管理 > ソフトウェアサプライチェーン	M	すべて
HYG-11	コンプライアンスセキュリティプロファイルは、新しいワークスペースに自動的に適用される必要があります	プラットフォームの健全性 > プラットフォームのベースライン	高	ESC
HYG-12	ワークスペースでコンプライアンスセキュリティプロファイルを有効にする必要があります	プラットフォームの健全性 > プラットフォームのベースライン	高	ESC
HYG-13	ワークスペースで強化されたセキュリティモニタリングを有効にする必要があります	プラットフォームの健全性 > プラットフォームのベースライン	高	ESC
IAM-01	パーソナルアクセストークンの最大有効期間のワークスペース設定は、設定されたthreshold以下である必要があります	ID とアクセス > 認証	M	すべて
IAM-02	パーソナルアクセストークンの有効期間は、設定されたthresholdを超えてはいけません	ID とアクセス > 認証	M	すべて
IAM-03	パーソナルアクセストークンの有効期間は、ワークスペース設定の最大有効期間を超えないようにする必要があります	ID とアクセス > 認証	M	すべて
IAM-04	パーソナルアクセストークンの有効期限が、設定されたthreshold内に近づかないようにしてください	ID とアクセス > 認証	高	すべて
IAM-06	OpenSharing受信者トークンの最大有効期間のメタストア設定は、設定されたthreshold以下である必要があります	ID とアクセス > 認証	高	すべて
IAM-07	OpenSharing受信者トークンの有効期間は、設定されたthresholdを超えないようにする必要があります	ID とアクセス > 認証	M	すべて
IAM-08	Service Principalクライアントシークレットの有効期間は、設定されたthresholdを超えないようにする必要があります	ID とアクセス > 認証	M	すべて
IAM-09	アカウントおよびすべてのワークスペースでSingle Sign On（SSO）を有効にする必要があります	ID とアクセス > 認証	高	すべて
IAM-10	緊急アクセスは、設定されたthreshold以下の限られた数のユーザー向けに設定する必要があります	ID とアクセス > 認証	低	すべて
IAM-11	ユーザーとグループは、IDプロバイダーと同期する必要があります	IDとアクセス > IDガバナンス	高	すべて
IAM-12	アカウントで自動ID管理 (AIM) を有効にする必要があります	IDとアクセス > IDガバナンス	情報提供	すべて
IAM-13	ワークスペース管理者の数は、設定されたthreshold以下である必要があります	IDとアクセス > IDガバナンス	M	すべて
IAM-14	メタストア管理者の数は、設定されたthreshold以下である必要があります	IDとアクセス > IDガバナンス	M	すべて
IAM-15	アカウント管理者の数は、設定されたthreshold以下である必要があります	IDとアクセス > IDガバナンス	M	すべて
IAM-16	ワークスペースで [ワークスペース管理者の制限] 設定を有効にする必要があります	IDとアクセス > IDガバナンス	M	すべて
IAM-17	UCメタストア管理者は、アカウント管理者ではないグループにのみ付与されるべきです	IDとアクセス > IDガバナンス	高	すべて
NET-01	ワークスペースに対して、Serverlessエグレス制御を強制するか、ドライランモードで設定する必要があります	ネットワークセキュリティ > エグレス制御	M	Enterprise
NET-02	ワークスペースに対して、コンテキストベースのイングレスパブリックアクセスポリシーを強制するか、ドライランモードで設定する必要があります	ネットワーク セキュリティ > イングレス コントロール	情報提供	Enterprise
NET-03	アカウントレベルのリソースに対して、コンテキストベースのイングレスパブリックアクセスポリシーを強制するか、ドライランモードで設定する必要があります	ネットワーク セキュリティ > イングレス コントロール	情報提供	Enterprise
NET-04	ワークスペースに対して、インバウンドネットワークセキュリティを強制するか、ドライランモードで設定する必要があります	ネットワーク セキュリティ > イングレス コントロール	高	Enterprise
NET-05	アカウントレベルのリソースに対して、インバウンドネットワークセキュリティを強制するか、ドライランモードで設定する必要があります	ネットワーク セキュリティ > イングレス コントロール	高	Enterprise
NET-06	OpenSharingにはIPアクセスリストを強制する必要があります	ネットワーク セキュリティ > イングレス コントロール	低	すべて
NET-08	ワークスペースにフロントエンドのプライベート接続を設定する必要があります	ネットワーク セキュリティ > イングレス コントロール	低	Enterprise
NET-09	アカウントレベルのリソースに対して、フロントエンドのプライベート接続を設定する必要があります	ネットワーク セキュリティ > イングレス コントロール	低	Enterprise
NET-10	Serverlessのプライベート接続はクラウドリソースに設定する必要があります	ネットワークセキュリティ > エグレス制御	低	Enterprise