セキュリティーポリシー
アプリケーションセキュリティーを検討する時期は、プロジェクトのPrepareフェーズなど、アプリケーションの開発や設定を始める前の早い段階です。 アプリケーションをハッカーから守り、不正なアクセスや使用を防ぐためには、アプリケーションレベルのセキュリティーと機能のセキュリティーという2種類のセキュリティーを管理する必要があります。
アプリケーションレベルのセキュリティー
アプリケーションレベルのセキュリティーは、外部の人間や承認されていないユーザーからアプリケーションを保護することに重点を置きます。 たとえば、アプリケーションレベルのセキュリティーでは次のことを行います。
- 承認されていないユーザーがアプリケーションに侵入したり、アプリケーションからデータを盗んだりするリスクを低減する
- アプリケーションへのアクセスを必要とする承認済みユーザーを特定する
- パスワードと認証ポリシーを作成する
アプリケーションレベルのセキュリティーでは、サードパーティ製のセキュリティーツールの使用や多要素認証の設定など、アプリケーションを保護するためのあらゆる方法を検討します。 アプリケーションレベルのセキュリティーの目標は、許可されていないユーザーがアプリケーションに侵入したり、アプリケーションを読み取ったり、その他の方法でアプリケーションにアクセスしたりできないようにすることです。
機能のセキュリティー
機能のセキュリティーはアプリケーション内に焦点を当て、許可されたユーザーがアクセスできる、またはアクセスできないケースタイプ、機能、データを決定します。 たとえば、機能のセキュリティーでは次のことを行います。
- 各ケースタイプで特定されたペルソナにセキュリティーロールを設定し、許可されたユーザーが必要なアプリケーション機能にアクセスできるようにする
- ユーザーがアクセスすべきでない機能の表示やデータへのアクセスを防ぐ
- ロールベースのアクセス制御（RBAC）、属性ベースのアクセス制御（ABAC）、クライアントベースのアクセス制御（CBAC）を設計します。
たとえば、給与計算アプリケーションで、ビジネスオーナーは、各マネージャーが直属の従業員の給与履歴を表示できるが同僚や他のスタッフの給与履歴は表示できないようにする場合を考えます。 さらに、どのマネージャーも従業員の給与額を手動で変更することはできないとします。 しかし、給与計算マネージャーやCFOは、全従業員の給与履歴を確認したり、給与額を更新したりできます。 マネージャーのユーザーストーリーを文書化する際に、マネージャーがアクセスできる給与機能とできない給与機能を検討します。
以下のインタラクションで理解度をチェックしてください。
Pega Platformでのアプリケーションセキュリティーの設定
アプリケーションへの不正アクセスを制限する方法のひとつとして、App Studioの「Authentication」ランディングページの「Security Policies」タブで設定を行う方法があります。 Dev Studioでメニューを開き、「Org & Security」>「Authentication」>「Security Policies」を選択して、Pega Platform™のサーバー全体のセキュリティーポリシーを表示して更新します。
設定を更新したら、ページ下部のをクリックして、更新内容を記録します。 セキュリティーポリシーに対する変更は、フォームを送信するとすぐに有効になります。
セキュリティーポリシータブは、Frequently required policies セクション、およびOther policiesセクションに分かれています。 パスワード、CAPTCHA、ロックアウト、および監査はよく必要とされるポリシーであり、多要素認証とオペレーターの無効化はその他のポリシーです。
| 保険契約名 | 説明 | ポリシー設定オプション |
|---|---|---|
| パスワード | ユーザーパスワードの強さを制御します。 | Password policies セクションを使用して、パスワードの強さ、複雑さ、予測のしやすさに関する要件をカスタマイズします。 |
| CAPTCHA | パスワードが人間によって入力されたかどうかを検査します。
|
「CAPTCHA policies」セクションを使用してCAPTCHAを設定すると、ログイン時にチャレンジが実行されます。 有効にすると、以下のことができます。
|
| ロックアウト | ユーザーが間違ったパスワードを入力した場合のシステムの動作を定義します。
|
「Lockout policies 」セクションでは、ユーザーがログインに何回失敗した後にロックアウトするか、またどのくらいの時間待機しなければならないかをカスタマイズします。 表示されるオプションは、ロックアウトポリシーを有効と無効のどちらに設定したかによって異なります。 ロックアウトペナルティを有効にすると、以下のことができます。
ロックアウトポリシーを無効にすると、以下のことができます。
|
| 監査 | セキュリティーの問題に関してシステムログに書き込む情報量を決めます。 | 「Audit policies」セクションでは、ログイン操作について取得する情報の詳細レベルをカスタマイズします。 |
| 多要素認証 | 本人であることを証明するため提供する必要のある複数の要素、つまり複数の証拠を定義します。 | このメールまたはSMSテキストメッセージでユーザーに提供されるワンタイムパスワードの設定は、「Multi-factor authentication policies (using one-time password)」セクションで指定します。 ログインプロセスを完了するには、ユーザーは制限時間内にワンタイムパスワードを入力する必要があります。 |
| オペレーターの無効化 | 一定時間アクティブでない状態が続いた場合にユーザーアクセスを無効にする時間を定義します。 | 「Operator disablement policy」セクションでは、非アクティブの状態が所定の期間（日数）続いているユーザーのアクセスを自動的に無効にします。 アクセスを必要とするユーザーのアクセスが無効にならないようにするには、ユーザーのオペレーターIDレコードを「Exclusion list of operator ID」リストに追加します。 |
多要素認証ポリシー
パスワードは、ユーザーを認証する1つの方法です。 セキュリティーを強化するには、「multi-factor authentication」を有効にしてユーザーを認証します。 多要素認証では、ユーザーは、本人であることを証明するため複数の要素（つまり、複数の証拠）を提示して、アクセス権を取得します。
次の画像で「+」アイコンをクリックすると、さまざまな多要素認証要素の詳細が表示されます。
以下のインタラクションで理解度をチェックしてください。