ServiceNowは、パワフルでスケーラブルなNow Platformを提供しており、様々なデータを保存し、処理することができます。しかし、その大きな可能性には、データの安全性を常に確保するという責任が伴います。Now PlatformはSecure by Defaultの原則に基づき設計されていますが、クラウドサービスをセキュアに運用するためには、サービスプロバイダーである私たちに加えて、お客様もまた、保管しているデータを不正アクセスから守るために重要な役割を担っています。世界的スポーツ大会が間近に迫っており、サイバー攻撃の増加が想定される状況において、お客様が実施すべき重要なセキュリティ対策を紹介しますので、これを機にセキュリティ対策の見直しを検討してみてはいかがでしょうか？
セキュアなユーザー認証：
お客様は長いパスフレーズをはじめとする強力なパスワードを設定するパスワードポリシーを設定することに加えて、多要素認証を設定しましょう。パスワードセキュリティのベストプラクティスおよび認証強化（MFA）については、以下のブログを参考にしてください。また、お客様インスタンス内で利用されていないアカウントをロックアウトまたは削除する、ビルトインアカウントまたはデモデータで作成されたアカウントのデフォルトパスワードをお客様のセキュリティポリシーに則ったパスワードに変更するなどの対応もお客様インスタンスをセキュアに保つ重要な対応の一つです。以下のブログを参考に対応してください。
ServiceNowはQuebecから、アカウントごとに設定された認証ポリシーに基づいて、認証要求に対する検証を行い、アクセスを許可または拒否するAdaptive Authenticationを提供します。これを利用することでアカウントごとにソースIPアドレスの許可リストを設定し、認証要求に対する検証を実施することができます。
Security Top Tips Part 2: Are you giving attackers a free pass[word]? Best practices for password se...
Security Top Tips Part 3: Defending your realm… Strengthening authentication
Security Top Tips Part 5: Clearing the way - User account hygiene
リソースへのアクセス制御：
Now Platformは、インスタンスのユーザーインターフェース、機能、データへのアクセスを、アクセスコントロールリスト（ACL）やロールベースのアクセスコントロール（RBAC）で管理する機能を提供します。また、お客様はユーザーやロールに対して設定されているACLの確認を行いたいことがあるかと思います。その場合、お客様はContext Security Auditorプラグインを有効にすることにより、パーミッションがどのように設定されているか、調整の必要性があるかどうかを評価することができます。これらの情報は以下のブログにも記載がありますので参考にしてください。
Security Top Tips Part 4: Keeping to your lanes - Getting the most out of access controls
ログ、イベントのモニタリング：
お客様インスタンスへの不正アクセスなどを検知するために、ログのモニタリングは欠かせません。ServiceNowはお客様に様々なログを提供します。これらのログをお客様のログモニタリングポリシーに則って監視してください。もし、どのログを監視すべきかわからない、ポリシーが定まっていないなどがあれば、まずはイベントログの監視から始めることをお勧めします。イベントログはお客様インスタンス内で発生したイベントを記録するログであり、ログイン失敗のログやAdmin権限でのログインなどを記録します。これらをモニタリングすることで悪意のあるアクティビティを検知することができます。この他にも、悪意のあるアクティビティを検知するのに役立つセキュリティイベントがありますので、監視能力の更なる向上にお役立てください。また、これらのセキュリティイベントは、インスタンスセキュリティセンター（ISC）上のイベントリボンで確認できますので、ISCも併せて活用ください。
ServiceNowインスタンスのモニタリングについて、以下のブログでも情報提供していますので是非ご覧ください。
Security Top Tips Part 6: Keeping a watchful eye on things - Monitoring for suspicious activity
アップグレード、アップデートの実施：
ServiceNowは、年2回のメジャーバージョンリリースおよびサポートバージョンの月次パッチの提供を行っています。この中には、セキュリティ脆弱性のパッチも含まれています。常にセキュアな環境でサービスを利用いただくために、最新パッチがリリースされた際には速やかに適用してください。また、アップグレードを実施するにあたって、ServiceNowはお客様のアップグレードをサポートする様々な機能（Automated Test Framework, Upgrade Centerなど）を提供していますので、ご活用ください。
いかがだったでしょうか？これらのセキュリティ対策は数ある対策の中でも特にお客様に実施していただきたいものをピックアップしてみました。これらのセキュリティ対策について、お客様で再度確認いただき、セキュアな環境を維持しましょう。
今回、記載していないセキュリティのプラクティスについては、Security Best Practice Guideに記載していますので、こちらも是非ご覧ください。
