エンタープライズ向けリソース
セキュアデプロイメント チェックリスト
セキュアエンクレーブ、オンプレミス、プライベートクラウドのデプロイメントパターンに関するチェックリストです。
チェックリスト
- 保護されたネットワークへのインバウンドアクセスが不要であること
- バージョン管理された署名済みテストカプセル
- エンクレーブゲートウェイが署名とポリシーを検証する
- ローカルのエッジランナーのデプロイメントを文書化する
- 外部モデル呼び出しを行わないランタイム実行
- ローカル専用のエビデンスモードが利用可能であること
- サニタイズ済みの送出（エグレス）はオプションかつ承認制であること
- PAM 互換の認証情報ブローカリング
- カプセルの昇格と実行に関する監査証跡
- 修復経路における人による承認
- エアギャップ環境へのインポート手順を文書化する
- プライベートクラウドのリージョンと分離を確認する
- オンプレミス型コントロールプレーンの選択肢を評価する
- スクリーンショットとフィールドに対するマスキングポリシー
- ランナーの許可リストとバイナリ署名
- コントロールプレーン利用者向けの SSO／RBAC
- ランナーが侵害された場合のインシデント対応
- セキュリティ部門によるデータフロー図のレビュー
- 保守的なパイロットの範囲を定義する
- 規制対象ワークフローの代表的なシナリオを文書化する
- 送出（エグレス）のデフォルト拒否を検証する
- アップグレードの頻度を変更ウィンドウと整合させる
