さくらのクラウドでは、2026年5月21日から、セキュリティコントロールに「セキュリティ基準の準拠スコアUI表示」が追加されました。
準拠スコアを確認すると、想定より低い数値が表示されることがあります。しかし、スコアだけを見ても、どのリソースや設定に問題があるのかは分かりません。
準拠スコアが低い場合は、セキュリティ基準の詳細画面から非準拠の評価ルールを確認し、さらに評価結果から対象リソースと重大度を特定します。
この記事では、準拠スコアが低いときに確認する場所と、公開されている評価ルールに基づく改善チェックリストを紹介します。
✅ この記事のゴール
- 準拠スコアが低いときに確認する画面が分かる
- 非準拠になっている評価ルールと対象リソースを特定できる
- 重大度を基準に対応の優先順位を決められる
- 設定変更、代替対策、対応不要のいずれかを判断できる
💡 最初に結論
準拠スコアが低いときは、次の順番で確認します。
- ダッシュボードで準拠スコアを確認する
- 「セキュリティ基準」で非準拠の評価ルールを確認する
- 「評価結果」で対象リソースと重大度を確認する
- 重大度の高い項目から対応する
- 設定変更後、次回の評価結果を確認する
セキュリティ基準の準拠スコアとは
セキュリティ基準の準拠スコアは、利用環境が、さくらのクラウドのベストプラクティスや設計指針にどの程度準拠しているかを可視化する指標です。
セキュリティ基準には複数の「評価ルール」が含まれています。セキュリティコントロールが各評価ルールを実行し、その結果を集約して、基準ごとの準拠状況と準拠スコアを算出します。
現在利用できるセキュリティ基準は「さくらのクラウド セキュリティ基本原則 v1」です。
セキュリティ基本原則 v1は、次の5つの観点で構成されています。
- パブリックアクセスの制限
- ログの有効化と監視
- アクセス制御と認証
- 脅威検知と脆弱性管理
- データ保護と暗号化
⚠️ 準拠スコアは、システム全体の安全性を保証する点数ではありません
準拠スコアは、セキュリティ基本原則 v1に含まれる評価ルールへの準拠状況を示すものです。OSやアプリケーションの脆弱性、認証情報の管理、バックアップ、運用ミスなど、評価対象外のリスクも別途確認する必要があります。
準拠スコアを確認する前提
準拠スコアを確認するには、対象プロジェクトでセキュリティコントロールを有効化しておく必要があります。
すでにダッシュボードに準拠スコアが表示されている場合は、この手順を飛ばしてください。
セキュリティコントロールを有効化する
- さくらのクラウドのコントロールパネルにログインします。
- 対象のプロジェクトを選択します。
- 左側のメニューから「イベントログ」を開きます。
- 画面右上の「セキュリティコントロール」をクリックします。
- 「セキュリティコントロールの有効化」をクリックします。
- 評価に利用するサービスプリンシパルを選択します。
新しいサービスプリンシパルを作成して紐づけることもできます。
⚠️ 必要なIAMロール
セキュリティコントロールに紐づけるサービスプリンシパルには、IAMポリシーで「セキュリティコントロールエージェント」ロールを付与する必要があります。
準拠スコアが低いときに見る3つの場所
準拠スコアが想定より低い場合は、次の3つの画面を順番に確認します。
1．ダッシュボードで全体の状況を確認する
セキュリティコントロールのダッシュボードでは、次の情報を確認できます。
- 重大度別の異常件数
- ステータス別の対応チケット件数
- セキュリティ基準の準拠スコア
ここでは、準拠スコアだけでなく、重大度の高い異常が発生していないかも確認します。
2．「セキュリティ基準」で非準拠ルールを確認する
次に、準拠スコアの判定に使用された評価ルールを確認します。
- セキュリティコントロールのメニューから「セキュリティ基準」を選択します。
- 「セキュリティ基本原則 v1」をクリックします。
- 「非準拠」タブを開きます。
- 非準拠になっている評価ルールを確認します。
セキュリティ基準の詳細画面には、準拠状況と、準拠判定に使用される評価ルールの一覧が表示されます。
非準拠になっている評価ルールが無効の場合は、「非準拠」タブから一括で有効化できます。
💡 「無効」と「不合格」は分けて確認する
評価ルール自体が無効になっている場合と、評価ルールを実行した結果が不合格になっている場合では、必要な対応が異なります。まず、評価ルールの有効・無効と、実際の評価結果を分けて確認しましょう。
3．「評価結果」で対象リソースと重大度を確認する
非準拠になっている評価ルールが分かったら、評価結果から対象リソースを確認します。
- セキュリティコントロールのメニューから「評価結果」を選択します。
- 「検出」で「不合格」を選択します。
- 必要に応じて重大度で絞り込みます。
- 確認したい評価結果をクリックします。
- 評価ルール、対象リソース、重大度、検出内容を確認します。
評価結果は、次の条件で絞り込めます。
- 検出：不合格・合格・失敗
- 重大度：致命的・高・中・低・指定なし
スコアではなく重大度を見て優先順位を決める
対応の優先順位は、スコアを何点上げられるかではなく、評価結果の重大度を基準に決めます。
| 重大度 | 状態の目安 | 対応方針 |
|---|---|---|
| 高・致命的 | 任意コード実行やデータの引き出しにつながるおそれがある | 可及的速やかに調査・対応する |
| 中 | 悪用された場合、アクセス権の奪取などに至る可能性がある | 対応チケットで管理し、定期的に対応を検討する |
| 低 | 侵害へ直接つながる可能性は低い | 必要性と影響を確認して対応する |
✅ 優先順位の付け方
- 致命的・高の不合格を確認する
- インターネットへ直接公開されているリソースを確認する
- 保存データの暗号化状態を確認する
- ログや脅威検知が有効か確認する
- 中・低の項目を対応チケットで管理する
非準拠ルール別の改善チェックリスト
ここからは、「さくらのクラウド セキュリティ基本原則 v1」に含まれる評価ルールを、5つの観点に分けて確認します。
1．パブリックアクセスの制限
外部公開する必要がないサーバーやデータベースにパブリックIPアドレスが割り当てられていると、非準拠として検知される可能性があります。
| 評価ルール | 確認対象 | 確認内容 |
|---|---|---|
server-no-public-ip |
サーバー | サーバーにパブリックIPアドレスが付与されていないか |
dba-no-public-ip |
DBアプライアンス | DBアプライアンスにパブリックIPアドレスが付与されていないか |
addon-datalake-no-public-access |
データレイク | パブリックネットワークアクセスが有効になっていないか |
addon-dwh-no-public-access |
データウェアハウス | パブリックネットワークアクセスが有効になっていないか |
改善チェックリスト
- 外部公開する必要がないサーバーにパブリックIPが付いていないか
- DBアプライアンスにパブリックIPが付いていないか
- 共有セグメントへ直接接続する必要があるか
- 専用スイッチとルーターを使った構成へ変更できないか
- 外向き通信はNATゲートウェイ経由にできないか
- パケットフィルタで不要なポートを閉じているか
⚠️ パブリックIPがあるだけで、直ちに危険とは限りません
外部公開用のWebサーバーなど、設計上パブリックIPが必要な場合もあります。スコアを上げるためだけに削除せず、公開の必要性、パケットフィルタ、ロードバランサ、踏み台サーバーなどの代替策を確認してください。
2．ログの有効化と監視
| 評価ルール | 確認対象 | 確認内容 |
|---|---|---|
elb-logging-enabled |
エンハンスドロードバランサ | syslog転送機能が有効になっているか |
改善チェックリスト
- エンハンスドロードバランサのsyslog転送が有効か
- syslogの転送先が用意されているか
- 転送したログを確認できる状態になっているか
- 異常を検知したときの通知・対応手順が決まっているか
ログ転送を有効にするだけでなく、転送されたログを確認し、異常時に対応できる運用も準備しておきます。
3．アクセス制御と認証
| 評価ルール | 確認対象 | 確認内容 |
|---|---|---|
iam-member-operation-detected |
IAM | 会員権限による操作イベントを検知する |
objectstorage-bucket-acl-changed |
オブジェクトストレージ | バケットACLの変更を検知する |
改善チェックリスト
- 会員権限による操作が意図したものか
- 日常的な操作をユーザーやサービスプリンシパルへ移行できないか
- サービスプリンシパルへ必要以上の権限を付与していないか
- バケットACLを変更した担当者と目的を確認したか
- ACL変更によって意図せず公開範囲が広がっていないか
これらは、単純に設定を有効化すれば解消するルールではありません。誰が、いつ、どのような操作を行ったのかを確認します。
4．脅威検知と脆弱性管理
| 評価ルール | 確認内容 |
|---|---|
addon-threat-detection-enabled |
対象サーバーに脅威検知・脆弱性検知エージェントが導入されているか |
addon-threat-detections |
Add-onによるセキュリティインシデントアラートが発生していないか |
addon-vulnerability-detections |
Add-onによる脆弱性の推奨事項が検出されていないか |
改善チェックリスト
- Add-onの対象サーバーへ必要なエージェントが導入されているか
- エージェントが正常に稼働しているか
- 脅威検知アラートの内容を確認したか
- 脆弱性に関する推奨事項を確認したか
- 修正、緩和策、対応不要の判断を記録したか
💡 Add-on関連ルールの扱い
Add-onサービスに関連する評価ルールは、対象のAdd-onサービスが開通している場合のみ準拠スコアの算出対象になります。Add-onを契約していないことだけを理由に、必ずスコアが下がるわけではありません。
5．データ保護と暗号化
| 評価ルール | 確認対象 | 確認内容 |
|---|---|---|
disk-encryption-enabled |
ディスク | ディスク暗号化機能が有効になっているか |
dba-encryption-enabled |
DBアプライアンス | DBアプライアンスのディスク暗号化が有効か |
nosql-encryption-enabled |
NoSQL | 暗号化されていないNoSQLが存在しないか |
objectstorage-bucket-encryption-enabled |
オブジェクトストレージ | 評価対象サイトのすべてのバケットで暗号化が有効か |
改善チェックリスト
- サーバーに接続されたディスクが暗号化されているか
- DBアプライアンスのディスク暗号化が有効か
- NoSQLの暗号化が有効か
- オブジェクトストレージのすべてのバケットで暗号化が有効か
- 暗号化に使用しているKMSキーを適切に管理しているか
- 暗号化前に保存した既存データが残っていないか
⚠️ 既存ディスクは、あとから暗号化を有効化できません
さくらのクラウドのディスク暗号化は、ディスクの新規作成時に有効化します。作成済みディスクへあとから暗号化を有効化したり、利用途中で無効化したりすることはできません。
既存ディスクを暗号化したい場合は、KMSキーを用意し、暗号化を有効にした新しいディスクへのコピーやデータ移行を検討します。
⚠️ バケット暗号化を有効化しても、既存オブジェクトは自動で暗号化されません
オブジェクトストレージで暗号化を有効化した場合、暗号化されるのは有効化後に新しく保存したオブジェクトです。すでに保存されているオブジェクトは、COPY操作または再アップロードによって現在の暗号化設定で保存し直す必要があります。
非準拠でも、すぐに設定を変更しない方がよい場合
セキュリティコントロールの評価結果は、リスクの可能性を示すものです。すべての環境に同じ構成を強制するものではありません。
例えば、外部公開用サーバーへパブリックIPを割り当てている場合、その構成がシステム要件上必要なことがあります。
すぐに設定を変更できない場合は、次の内容を整理します。
- なぜ、その構成が必要なのか
- 設定変更によるシステムへの影響はあるか
- 代替構成へ変更できるか
- パケットフィルタやアクセス制限などの代替対策があるか
- 誰が対応不要またはリスク受容と判断したか
- いつ再確認するか
対応しないと判断した項目は、対応チケットのステータスを「対応不要」に変更し、判断理由を運用記録へ残しておくと管理しやすくなります。
✅ 非準拠を見つけたときの判断フロー
- 対象リソースと重大度を確認する
- 意図した構成か確認する
- 設定変更が可能か確認する
- 変更できない場合は代替対策を検討する
- 対応する、計画対応する、対応不要のいずれかを決める
- 対応チケットと運用記録へ残す
設定を変更しても、スコアはすぐに変わらない
セキュリティコントロールの評価は1日1回実行されます。
実行時刻は固定されておらず、特定の時間帯に評価されることは保証されていません。そのため、設定を変更して画面を再読み込みしても、準拠スコアや評価結果がすぐに更新されるとは限りません。
設定変更後は、次回の評価実行後に結果を確認してください。
💡 設定変更後の確認手順
- 設定変更の日時と内容を記録する
- 次回の評価実行を待つ
- 評価結果が合格になったか確認する
- 準拠状況と準拠スコアを確認する
- 対応チケットを解決済みに更新する
準拠スコアを見るときの注意点
スコアの履歴は保存されない
準拠スコアの算出結果は履歴として保持されません。画面に表示されるのは、最新の評価結果に基づくスコアのみです。
過去のスコアとの比較や推移を確認したい場合は、定期的に画面を保存するなど、利用者側で記録する必要があります。
運用記録の例
- 確認日
- 準拠スコア
- 非準拠ルール数
- 高・致命的の件数
- 未対応チケット数
- 前回から変更した設定
評価ルールごとの点数や重みは公開されていない
公式マニュアルでは、評価ルールの実行結果を集約して準拠スコアを算出すると説明されています。
一方で、各評価ルールが何点に相当するのか、重大度によって重みが変わるのか、同じ非準拠リソースが複数ある場合にどう計算されるのかといった詳細な算出式は公開されていません。
そのため、次のような判断はできません。
- この設定を変更すれば必ず10点上がる
- 重大度が高い項目ほど減点が大きい
- 非準拠のリソースが1台増えるごとに一定点数が下がる
また、準拠スコアの算出ロジックは将来的に変更される可能性があります。
スコア100％だけを目的にしない
準拠スコアを上げること自体が目的になると、システム要件上必要な設定まで変更してしまう可能性があります。
準拠スコアは、問題を見つけるための入口として利用し、最終的には対象リソース、構成理由、重大度、代替対策を確認して対応を判断します。
最終確認チェックリスト
- □ ダッシュボードで準拠スコアを確認した
- □ セキュリティ基準の「非準拠」タブを確認した
- □ 非準拠になっている評価ルール名を確認した
- □ 評価結果から対象リソースを確認した
- □ 不合格・失敗のどちらなのか確認した
- □ 重大度が高・致命的の項目を優先した
- □ パブリックIPの必要性を確認した
- □ ディスクやバケットの暗号化状態を確認した
- □ ログ転送と監視の設定を確認した
- □ IAMやACLの変更内容を確認した
- □ Add-on利用時はエージェントと検知結果を確認した
- □ 対応できない項目は代替対策を検討した
- □ 対応内容または対応不要の理由を記録した
- □ 次回評価後に準拠状況を再確認した
まとめ
さくらのクラウドの準拠スコアが低い場合は、スコアの数値だけを見て設定を変更するのではなく、非準拠になっている評価ルールと対象リソースを確認します。
確認する順番は次のとおりです。
- ダッシュボードで準拠スコアと重大度別の件数を確認する
- セキュリティ基準の「非準拠」タブを開く
- 評価結果で対象リソースと重大度を確認する
- 高・致命的の項目から優先的に対応する
- 設定変更後、次回の評価結果を確認する
準拠スコアは、システム全体の安全性を保証する点数ではありません。セキュリティ上の確認漏れを見つけ、日々の運用改善につなげるための指標として活用しましょう。
次に読む
- セキュリティコントロールを有効化する手順
- さくらのクラウドでパケットフィルタを設定する方法
- KMSキーを作成してディスクを暗号化する方法
- 高・致命的な評価結果をシンプル通知で受け取る方法
参考資料
- さくらのクラウドニュース：セキュリティコントロール「セキュリティ基準の準拠スコアUI表示」提供開始のお知らせ
- さくらのクラウド マニュアル：セキュリティコントロール
- さくらのクラウド マニュアル：さくらのクラウド セキュリティ基本原則 v1
- さくらのクラウド マニュアル：ディスク暗号化機能
- さくらのクラウド マニュアル：オブジェクト暗号化
※本記事の内容は2026年7月30日時点の公式情報を基にしています。サービスの画面、評価ルール、準拠スコアの算出方法は変更される可能性があります。最新情報は公式マニュアルをご確認ください。
