Hnoss
「みんなの翻訳」は情報通信研究機構言語翻訳グループと東京大学図書館情報学研究室による共同プロジェクトであり、三省堂と国立情報学研究所連想情報学研究開発センターが開発に協力しています。三省堂には「グランドコンサイス英和辞典（36万項目収録）」の使用を許可していただきました。
連携研究グループはこちらをご覧ください。
「みんなの翻訳」を使っている翻訳グループについてはこちらをご覧ください。
バナー
ポスター
フライヤー
|
現在の位置：チームハンドブック 目次>推奨セキュリティ対策 推奨対策
２．パスワードを使いまわさない。会社のアカウントや、GitLab以外に個人的に加入しているサービスのパスワードを使用するな。 ３．「1Password」を使い始めたら、これから作成するアカウントのパスワードは、全てこれに管理させろ。あとはソフトウェアが適切なパスワードを設定してくれる。 ４．加入する際に、サインアップを求められるサービスについては、日頃からアクセスを共にしているチームメンバーのことを第一に考えて、慎重に考えろ。この手のサービスには、３つの認証形態がある。個別方式（Individual）、OAuth方式、シングルサインオン方式である。IndividualとOauth方式のアカウントサービスについては、チーム共同のセキュアノートを設けるとよい。このノートには、プロジェクトの管理者が日頃どのようなサービスにアクセスしているかを報告する。ここには基本的に、チームメンバーが関連している全ての個別認証サービスを記述することが求められる。
５．二元認証をユーザーに義務付けろ。ログインの際にリカバリーコードを設けるようにする。そして1Passwordの TOTPコードを使え。 ６．信任状は必要に応じて、チームのメンバーがアクセス可能な場所に移しておくとよい。信任状は決して複製したり、出力してはならない。そのかわり、チームの信任状を、社員全体がアクセスできるように、「1Password 共有フォルダ」をグーグルシートに作成しておくことをおすすめする。各個人に与えられ、「1Password」で一括管理されているパスワードを、決して公開・シェアしてはならない。これは信用を守るために、重要な責務である。 ７．「1Passwprd」内で保管されているパスワードをコピーするな。同様に、コピーしたパスワードを個人的なパスワードとして流用したり、他のパスワード管理ソフトに貼り付けることを禁ずる。「1Password」にて管理するパスワードは、あくまでチームのパスワードを管理するために使うべし。開発チームで用いるパスワードは、どこかにコピーするべきではない。まして、個人のパスワードとして転用することは、それだけパスワード流出の確立が高まるということだ。 ８．合言葉として使われる質問（『好きな食べ物は？』など）には、本当のことを書いてはいけない。そんなことは容易に調べがついてしまう。チーム内でどのような質問を作り、回答を作ったかについては、「1Password」に記録しておけ。なおかつ、回答はでたらめであるほどよいので、ここで「1Password」のパスワード生成機能を使うと、なおよろしい。 ９．信用証明書をemailやイシューコメント、あるいはチャットなどで公開・共有してはいけない。証明書には、ログインやAPIキーとして使われるEmailアドレスが記されている。こういうものには、「1Password」の資格情報コンテナーを使え。会社組織に所属した人間には、そこに招待することによって、証明書を見せることができる。 １０．自分のパスワード管理フォルダを見たくなったり、新しい場所が欲しくなった場合は、Google Docの「1Password Shared Folders」に一言報告を入れろ。パスワード管理コンテナにアクセスできるグループを追加したり、それぞれのコンテナにディレクトリを加えることもできる。アクセスを許可したグループが、自分たちのグループに相応しいと考えた時には、我々の側に所属させるとよい。数百人分ものアクセス設定をそれぞれの個別にやっていくよりも、12～3個くらいのグループで管理させた方がはるかに効率的だ。 １１．「1Password」の管理者は、リクエストを受け付けることができる。：（グループにパスワードコンテナにアクセスさせる代わりに）資格情報コンテナを個別に設けると、このとき、メンバーの権限はある程度抑制されているので、彼らが「出力可能なアイテム」としては扱われない。この方法は、デフォルトでは取られないようになっているので、管理者の手動設定が必要だ。ただし、グループに入っただけの人間が、簡単に弄れてしまうような部分を、こんな大切なところに設ける必要性は低い。やはり単なるアクセス権を与えることの方が、安全性は高い。 １２．任意の情報コンテナが探しても見つからない場合は、状況説明をグーグルシート「1Password 共有フォルダ」の適当なセルに記述しろ。 １３．アイテムの状態をという合わせるには、「VAULT_NAME」というコンテナの、「NAME_OF_SITE」という証明書を確認する旨を伝えろ。 １４．パスワードをウェブブラウザ（Chrome や Safari）に保管するな。「1Password」だけでパスワードを管理することを念頭にしているので、こういった行為は思わぬリスクを呼ぶし、何かあったときに原因究明に時間がかかる。 １５．変更が必要となったパスワードは、「Watchtower」という機能を使って検出しろ。 １６．「Security Audit（セキュリティ評価）」機能を使うと、使いまわしているパスワードや、弱いパスワードなどを検出して、修正することができる。 １７．1Password TOTP を使うことで、Google、Slack、GitLab.com、またはdev.gitlab.orgアカウントに、2元認証（2FA）を設けられる。 １８．旅行・出張の際には、1Passwordを「Travel Mode（トラベルモード）」にして出かけるとよい。詳しくは後で説明する。 １９．GitLabの認証では、Yubikeyも併用することを推奨する。 ２０．作業に使うコンピューターと電話は、全ディスク暗号化しろ。 ２１．お前のラップトップのスクリーンセーバーには、パスワードロックをつけろ。時間が来たら、ラップトップを誰かにいじられづらくした方が良い。 ２２．コンピューターに何のロックも仕掛けないまま、席を立たないこと。ロック付きのスクリーンセーバーに切り替えたり、デスクトップをロックしてしまうとか、フタを閉じるとか、応急的なことくらいはしておけ。 ２３．コンピューターのバックアップを取ったら、そのバックアップ・ドライブごと暗号化し、強固なパスワードを設けよ。 ２４．macOS (OSX) のバックアップの取り方については、こちらの説明が詳しい：How to use Time Machine ２５．社内があまりにおかしな事態に直面したら、そのことを実況するか、パニックボタン（後述）を使うとよい。 ２６．セキュリティ上の話題について提議する際には、セキュリティ・イシュートラッカーにイシューを提出しろ。対応をセキュリティチームに依頼するのだ。事案に対する最良の対処・処理を、チーム招集会議で議論すべし。 ２７．どのような方法（イシュー、カスタマーチケット、その他）であれ、部署であれ、セキュリティについての報告を受け取ったら、決して、放置したり、なかったことにしてはならない。必ずセキュリティ・チームに相談しろ。セキュリティ・チームは、チームのハンドブックに書いてある作業手順に従って、然るべき対処を下せ。 ２８．組織のEmailアドレス(@gitlab.com) を使って、社外のEmailアドレスに、メールを送信してはならない。 ２９．Emailに貼ってあるリンクをクリックするな。 ３０．個人的にもおかしなメールが届いたり、セキュリティ面で気になることが起こったら、すぐさま社内のセキュリティ担当に相談を仰げ。もうすでに会社に攻撃が来た時の備えが必要だ。社員の話に重要な手がかりが入っている可能性がある。 ３１．GitLabのCEOは、Emailを使ってお金を請求することがない。CEOが金銭を要求したり、業務には直接関係しないことを無理強いしてきた場合は、すぐさまテレビ電話をつないでくれ。 ３２．ログインしてまでサービスを使うのは、信用の置けるデバイスを使っているときだけにしろ。公共施設に置いてあるコンピューターなどは、何が仕掛けてあるかわからないし、そもそも相当無防備な状態で放られている可能性が高い。自分のコンピューターを持つことだ。 ３３．開発チームを脱退するときには、お前の「1Password」のアカウントを処分する。それと同時にGitLabチームアカウントにあてがわれた情報コンテナ(Personal vault)も削除される。 ３４．わが社の「1Password」で管理しているパスワードは、定期的に変更したりはしないように設定してある。 ３５．セキュリティの脆弱性が明らかに多すぎるソフトウェアは、インストールするな。（ハンドブックにリストがあるので参考に。）怪しい点があるソフトウェアについては、まずイシューを出してチームで議論・審査してからインストールの是非を決定しろ。出した結論やその理由については、ハンドブックに記述すること。 「1Password」ガイド 「1Password」とは、パスワードマネージャーだ。どこのサービスも、「強いパスワードを作って暗記せよ」と口先では言ってくれるものの、現実的ではない。そこで、このパスワードマネージャーが、外部からばれづらいパスワードを作成・管理する。どのパスワードも類似点ができないように設計されており、ログイン毎に違うパスワードが使える点が安心である。 用語解説 以下のガイドでは、主に次の用語を使っていく。
1Password 「1Password」には、2通りの使い方がある。 「1Password」をGitLabで働いているときだけでなく、個人的にも使いたいという方には、いくつかのオプションがある。（後述） 1Password for Teams 「1Password for Teams」は1Password サーバー上にある、全てのvault（ヴォルト）を、「同じチーム同士の人間」というくくりで複数人と共有するサービスだ。 GitLabに所属している人物なら、すでに我々のチームアカウントにサインアップを果たしているはずだ。ウェブインターフェイスから、それぞれにあてがわれたvault（ヴォルト）にアクセスして、内容を確認してみるとよい。 チームでパスワードの内訳を共有する「Team vault」。さらに、チームの各メンバーには「Personal」と呼ばれる、他のユーザーが閲覧できないvaultが用意されている。このvaultもチームのアカウントに所属しているには違いないが、ここに個人のパスワードを入れるとよい。 1Passwordの大まかな使い方がわかったところで、次はチームのアカウントとネイティブappとを関連付けるところから始めよう。 1Password app に GitLabチームを追加する このガイドでは、OSX用 appでセッティングする方法を説明していく。推奨とされるプラットフォームは、公式サイトで提示されている最新版である。この説明は、Windows版appでも応用できる部分があるかもしれない。
チームアカウントに登録する際に、１passwardから「緊急対策用PDF（Emergency Kit PDF）」が渡される。これをどこかに保存しておく必要がある。Emergency Kit は、なるべく確実に保管しなくてはならない。Emergency Kit のコピーをUSBフラッシュドライブに移したり、紙に印刷して自宅のどこかに保管する。少なくとも、オンラインではなく、他の誰かがアクセス可能なところでないことが重要だ。 デジタルなPDFファイルを保存するには：
PDFを印刷するには：
チームに加わったら、1Passwordヴォルトについての説明書きを、きちんと見ること。デフォルトでは、各メンバーは「Team」と「Personal」のヴォルトに出入りができる。だが、業務の関係上、その他のヴォルトにもアクセスすることになるだろう。 チーム機能が見当たらなかった場合は、1Passwordをアップデートする 前章「1Password app に GitLabチームを追加する」にて、
お前が現在所持している「1Password」のバージョンでは、チーム機能に対応していないというのだから、この際にappを最新版にアップデートしてしまえ。
Vaults（ヴォルト管理） ウィンドウ左上の角に、「Vault Selector」というコーナーがある。 Teamヴォルトは、GitLabチームのアカウントに登録されている人物なら誰でもアクセスすることができ、閲覧と編集が可能だ。 Personalヴォルトは、自分でホストしているプライベートヴォルトのことである。このヴォルトはGitLabの 1Passwordアカウントの一部として扱われている。「Personal」と言われても、このヴォルトはGitLabチームアカウントの一端として処理されるので、あくまで「GitLab社の持ち物」という分類だ。これは「@gitlab.com」で終わるEmailアドレスと同様だ。しかし、このヴォルトは、これを使っているメンバー個人以外から覗き見られないようになっている。なので、同じチームに在籍しているメンバーや、GitLab社のアカウントを管理している人物でさえ、各個人のPersonalヴォルトを見ることはできない。 ブラウザ拡張機能 各ブラウザの拡張機能に移動して、「1Password」のエクステンションをインストールするとよい。ここでインストールするのは、ベータ版ではない方が良い。 ブラウザ拡張機能をインストールできたら、我々の開発チームの証明書が保管されているサイトに行ってみろ。ログインができるはずだ。 結果ウィンドウのリスト内に、その証明書サイトが出現しなかったら、正しいヴォルトを使えている証拠である。 ログインを保存する １Passwordがログインフォームを検出すると、つぎのようなダイアログが表示される。 保存する場合は、最初の欄から当てはまるヴォルト（Vault）を選択することだ。 複数アカウントと、appのロック解除について これについては一度、 1Password FAQをご覧いただきたい。 GitLabチームの１Passwordアカウントと、自分個人の１Passwordを使い分けたいときに、まずはappでアカウント設定を実施する必要がある。「Preferences > Accounts」に移動しよう。次に、1Password appを私用アカウントのマスターパスワードで解除する。 GitLabチームに属する前に、既に１Passwordを使っていたという人は、「Migrate To Account」から「I'll move later」を選択しよう。この方法なら、vaultsの共有が簡単で、アイテムの引き継ぎに困らない。 私用パスワードの保管 個人的な用で使うパスワードについては、GitLabで働くときのアカウントではなく、きちんと個人のアカウントを使用することをおすすめしていた。その方がセキュリティ上の問題が少なくなりそうだからだ。 ここはどうか、そんなつまらないところでけちらずに、ライセンスを購入するか、完全私的なローカルヴォルトを作成するかして、皆さんのデータを自分のコンピューターで保管してほしい。 AgileBits（1Password運営）が紹介しているところによると、１Passwordにサインアップしてから次のような手順を踏むとよいらしい。 個人でローカルヴォルトを作る方法：
２元認証と、時間ベースのワンタイム パスワード ２元認証（2FA）コードを1Passwordで利用するには、いくつかの方法が存在する。 このアプリに保存しているアカウントに、TOTPを導入する方法：
TOTPの詳しい使い方や、仕様については公式ブログで紹介されている。 QRコードの読み取りに「透明窓」を使うというのは、最近のMac OSではできない操作らしい。代わりに1Password iOS appを使うとよい。QRコードの読み取りができる上に、Touch ID（指紋認証）ログインにも対応している。 1Password 使用例 ここでは我が開発メンバーである、ロバートの1Password使用例を紹介する。
トラベルモード 旅行・出張などに行く際には、普段からGitLabの1Passwordヴォルトにアクセスするときに使っている1Passwordをトラベルモードに設定すべし。 ほぼすべてのヴォルトが削除されることで、旅行中は専用タグが付いているヴォルト以外は使用不可能になる。 Travel Mode の詳しい使い方については、AgileBits blogを参考にしてほしい。 セキュリティ警戒度テストの実施 GitLab社では2週に1回、社員のセキュリティ警戒度を測る目的で、リンクが仕掛けてあるEmailを送付している。フィッシング攻撃を見分ける練習と、公共無線ネットワークの安全な使い方、その他セキュリティ知識、ヒント、行動原則などの確認を呼びかけている。 フィッシング・テスト GitLabでは、サードパーティープラットフォームを使って、定期的にフィッシングテストを実施している。チームのメンバー全員に対して、一風普通のメールが送られてくる。ぱっと見た感じ、「ビジネス関連の連絡」といったところだが、これが罠だ。実際に起こったフィッシング事例を基にしているので、「こういうものがやって来る」という参考になるだろう。 これらのサイトが目的としていることは、誰しもが凶悪なリンクをクリックしないようになることと、これらの攻撃犯を罰することにある。しかし、まずは一般のユーザーたちにセキュリティに対する意識を持ってもらうことと、攻撃犯から身を守るテクニックを身につけてもらうことを目標としている。その中でも、Emailを使って誰かを欺き、悪意のあるソフトウェアを実行させ、ウェブパスワードを乗っ取る攻撃が典型的だ。 フィッシング攻撃の見分け方（基礎） Emailについていたリンクを慌てて押してしまうのが良くない。まずは、リンクの上にマウスカーソルをそっと重ねてみろ。 それでも誤ってクリックしてしまうことが怖い場合は、ブラウザを使ってリンクを確認するとよい。 Safariでリンク先を確認する場合は、ステータスバーを有効にする必要がある。「View -> Show Status Bar」に移動して設定しよう。 ここでURLが途中で見切れてしまっている場合は要注意だ。
EmailのHTMLソースを確認するのも、怪しいURLを検出するのには有効だ。 <a href="http://evilsite.example.org">Google Login!</a> この場合、「Google Login!」クリックしたとたん「evilsite.example.org」に転送されるように、リンクが組まれている。 リンクをクリックしたときには、緑色の錠前アイコンがあるかどうかを確かめるようにしろ。ここできちんとSSLサービスに対応しているかどうかが見分けられる。このアイコンがないのなら、「このウェブサイトの認証は正しくない」と言っているようなものだから、重要なデータを絶対に入力してはいけない。 フィッシング攻撃ではないか？ と感じたら まず、最も有効な策は、怪しいと思ったメールは消してしまうことだ。
「他のメールサービスでも同じようなことができるじゃないか」と思う者もいるだろうが、他のメールサービスでこの操作をしても安全かどうかの確認がとれないので、やめてもらいたい。たとえば、危険なメールとプライベートメッセージと見分けがつかなくなる可能性がある。それから、Emailのリンクは決してクリックしてはならない。 panic email アドレスを使う GitLabには「panic@gitlab.com」アドレスというものが存在する。チームメンバーがこのアドレスを使うのは、一刻も早くセキュリティ対策を取らなくてはならない事態になったときだ。 パニック宣言後の対応 開発メンバー個人がとれる、緊急事態への対策は以下の通りと想定する。 パニック時 対応チェックリスト（コピーして保管すること） - [ ] パスワードにアクセスして、変更する - [ ]1Passwordアカウントを一旦停止する（『panic@』は、1Password 『Panic@ Responders』グループメンバーと紐づけられているので、ユーザーアカウント凍結したり、解除したりする機能がある） - [ ] 自分がアクセスできる範囲のグループや、パスワード・ヴォルトのスクリーンショットを撮影する。後から事態の収拾に役立つ。 - [ ] 重要な共有パスワードを用意するか、事態収拾までちょくちょく変更する。特に、GitLab.comのシステム管理部にアクセスするためのパスワードは、重要である。GitLabのインフラを支える要素（ssh, chef user/key, discussなど）のパスワードもこれに当てはまる。 - [ ] Google アカウントを停止する - [ ] Slack アカウントを停止する - [ ] [dev.GitLab.org account](https://dev.gitlab.org/admin/users)を停止する - [ ] [gitlab-org group](https://gitlab.com/groups/gitlab-org/group_members)から、GitLab.comアカウントを削除する - [ ] hackerone.comへのアクセスを停止する - [ ] Tweetdeckへのアクセスを停止する |
|
原文：https://about.gitlab.com/handbook/security/  この作品は、クリエイティブ・コモンズ・ライセンスの下でライセンスされています。 クリエイティブ・コモンズ・ライセンス  |
10タグまで登録可能。各タグ30文字まで
| 履歴 | |
|---|---|
| 状態 | 作業中 作業予定あり 作業予定なし 作業完了 |
| テーマ | 社会 政治 法律 経済 文化 芸能 科学技術 ＩＴ 健康／医療 スポーツ メディア 植物 動物 菌類 地方 国際 |
| 地域 | 日本 東アジア アフリカ 南アジア 東南アジア 西アジア／中東 太平洋 北米 中南米 欧州 |
| ジャンル | ニュース 解説記事 論文 日記 百科事典 |
編集ができるのはあなただけです。
このファイルを自由に閲覧・編集できます。
一般公開する場合は、編集ページの書誌情報で「公開」設定に変更して下さい。
※メニュー「翻訳者管理」で翻訳者、グループを追加することができます。
RSS
Content on this site created by Minna no Hon'yaku Project is licensed under the Creative Commons Attribution 3.0 License.