ポリシー定義書
文書バージョン: v0.1
対象製品: SHIELD Gate
範囲: 業務システム制御(最上位) · アプリ条件付きポリシー · URL入力欄条件付きポリシー
SHIELD_Gate_ポリシー定義書_業務システム条件付きポリシー_v0.1.xlsx
0. ドキュメントの概要
- この文書は SHIELD Gate業務システム 条件付きポリシーで管理者が設定できるポリシー項目を、項目ごとに何をするか / ユーザーにどのように表示されるかまたはブロックされるか / 製品推奨値政策協議シートです。
- 導入過程で顧客担当者は各項目の
적용 정책列に採択値を記入して最終政策を確定します。
基本提供 vs オプション（別途導入）区分
次の項目は**基本提供機能ではなく、別途導入（オプション）**시에만使用可能です。表で[옵션]として表記します。
| オプション項目 | 内容 |
|---|---|
[옵션] SHIELD Viewer | ファイルをダウンロードせずに読み取り専用でプレビューするビューア |
[옵션]SHIELDGate ファイルボックス (SHIELDrive) | 隔離環境ダウンロードファイルを保管する隔離ストレージ |
[옵션]CDR 無害化 | ファイル無害化エンジン。CDRダウンロード使用時に必要 |
オプション未導入時は、該当のストレージ・検査オプションはポリシー画面に表示されず、選択できません。導入範囲は営業/構築担当と確定してください。
1. 条件付き政策の概要と適用原理
1.1 ポリシー 3階層構造
| 区分 | 説明 | 適用時のユーザー画面・動作 | 備考 |
|---|---|---|---|
| 業務システム制御条件付きポリシー (最上位) | アプリ·URL入力欄メニュー自体のアクセス許可の有無、同時画面数制限 | メニューがブロックされると、下位ポリシーに関係なくアクセス不可 | |
| アプリの条件付きポリシー | 登録したアプリごとのアクセス・隔離セキュリティポリシー | アプリをクリックすると、ポリシーに従って接続・ブロック・認証されます | 対象 = アプリ / アプリグループ |
| URL入力欄 条件付きポリシー | URL入力欄でアクセスするサイト別アクセス・隔離セキュリティポリシー | 住所入力・移動時のポリシーに従って接続・ブロック・認証 | 対象 = すべてのサイト / 登録サイト・グループ / ウェブカテゴリ / AI・SaaS分類束・サービス |
⚠️ 最優先原則: 最上位制御ポリシーで許可されていないメニュー（アプリ/URL入力欄）は、下位条件付きポリシーをどれだけ設定してもユーザーがアクセスできません。
1.2 優先順位の原則
| 項目 | 説明 | 備考 |
|---|---|---|
| 優先順位番号 | 数字が小さいほど高い優先順位 (1 > 2 > 3 …) | ドラッグアンドドロップ・クイック移動で調整 |
| 衝突処理 | 同じ条件に複数のポリシーが適用される場合、最も制限的なポリシーが優先的に適用されます。 | 例外ポリシーは高い優先度で配置されます |
| 検索フィルターの状態 | 検索フィルター適用中には優先順位変更不可 | 変更時にフィルター全解 除が必要 |
1.3 政策評価の流れ
- ユーザー接続 (アプリクリックまたはURL入力)
- 最上位制御ポリシー判定 → メニューアクセス許可の有無・画面数確認
- 構成員・条件（位置・時間・デバイス）判定 → 適用ポリシー確定
- アクセス ポリシーの実行 (許可 / ブロック / 追加認証)
- 使用ポリシー（隔離セキュリティポリシー）実行（キーボード・ファイル・クリップボードなど）
- 執行結果の反映とログ記録
2. 業務システム制御条件付きポリシー (最上位)
構成員ごとにアクセス可能な業務システム（アプリ・URL入力欄）と同時に開くことができる画面数を制限する最優先制御ポリシー。
| 区分 | 設定オプション | 説明 | 適用時のユーザー画面・動作 | 推奨ポリシー | 備考 |
|---|---|---|---|---|---|
| ポリシー名 | テキスト | ポリシー識別用のユニークな名前 (重複不可) | — | 対象を識別可能に命名 | 必須 |
| 構成 員 | すべてのユーザー / ユーザー·グループ (割り当て·除外) | ポリシー適用対象指定 | 割り当てられたメンバーにのみ適用、除外者は未適用 | グループ単位 | 'すべてのユーザー'は除外不可 |
| 対象業務システム — アプリ | 許可 / 不許可 | 登録されたアプリのリストへのアクセス権限 | 未許可の場合、アプリメニューに入れません | 業務必要グループ許可 | 未許可の場合、アプリの条件ポリシーは無効になります |
| 対象業務システム — URL入力欄 | 許可 / 不許可 | 直接URL入力機能アクセス権限 | 未許可の場合、URL入力欄は使用できません | 政策に従って決定 | 未許可時 URL 条件付きポリシー無効 |
| 条件 — 位置 | 制限なし / 登録位置 | 接続IP基準ポリシー適用範囲 | 条件外位置は未適用 | 社内・在宅分離検討 | 管理センター [条件項目] 登録 |
| 条件 — 時間 | 制限なし / 登録時間 | 接続時間帯基準ポリシー適用範囲 | 条件外の時間帯は適用されません | 業務時間帯の指定 | 同一 |
| 条件 — デバイス | 制限なし / Desktop·Tablet·Mobile | 接続端末基準ポリシー適用範囲 | 条件外デバイスは未適用 | 業務端末限定検討 | 同一 |
| 同時使用画面数 | 制限なし / 最大 N 個（1 以上） | 同時閲覧可能な隔離ブラウザ画面数 | 制限到達後、新しい画面を試みると「画面を開く制限案内」モーダルを表示（既存の画面を閉じて再試行） | 職群別の差異（下記の備考） | リソース保護 |
| 使用の有無 | 使用する / 使用しない | ポリシーの有効化状況 | 未使用時は動作しません | 使用する |
3. 政策基本情報 (アプリ / URL入力欄共通)
| 区分 | 設定オプション | 説明 | 適用時のユーザー画面・動作 | 推奨ポリシー | 備考 |
|---|---|---|---|---|---|
| ポリシー名 | テキスト (最大 20文字) | ポリシー識別用のユニークな名前 | — | 対象・グレードを識別可能に命名 | 必須 |
| 説明 | テキスト (最大 200文字) | ポリシーの補足説明 | — | 運営意図記載 | 選択 |
| 構成員 — 割り当て | すべてのユーザー / ユーザー・グループの選択 | 対象にポリシーを適用する | 割り当てられたユーザーにのみポリシーが動作します | 対象範囲の最小化 | グループ単位推奨 |
| 構成員 — 除外 | ユーザー・グループ選択 | 割り当てに関係なくポリシーが適用されない対象 | 除外構成員は政策影響なし | 例外者のみ指定 | 'すべてのユーザー'は除外不可 |
| 対象 (アプリ) | アプリ / アプリグループ (複数) | アプリにポリシーを適用する | 選択アプリにのみポリシーを適用 | 業務アプリを単位で分離 | アプリポリシ ー専用 |
| 対象 (URL) | すべてのサイト / 登録サイト·グループ / ウェブカテゴリ / AI·SaaS分類束·サービス | サイトにポリシーを適用する指定 | 選択対象にのみポリシーを適用 | 基本ブロック（すべてのサイト）+ 選択的許可 | URL ポリシー専用 |
対象設定戦略(URL): "すべてのサイト = アクセス禁止"を低い優先順位に置き、許可するサイト・カテゴリを高い優先順位の別ポリシーで許可。
4. 条件 (接続環境)
| 区分 | 設定オプション | 説明 | 適用時のユーザー画面・動作 | 推奨ポリシー | 備考 |
|---|---|---|---|---|---|
| 位置 | すべての位置 / 登録された位置 (例外選択) | 接続IP基準でポリシー適用範囲を限定 | 条件外の位置では、該当政策は適用されません。 | 社内・在宅などの位置別分離 | 管理センター [条件項目] で位置登録 |
| 時間 | すべての時間 / 登録された時間 (例外選択) | 接続時間帯基準でポリシー適用範囲を限定 | 条件外の時間帯には該当政策未適用 | 業務時間帯の指定 | 管理センター [条件項目] で時間登録 |
| デバイス | すべてのデバイス / Desktop / Tablet / Mobile | 接続端末の種類に基づくポリシーの適用 | 条件外デバイスには該当ポリシー未適用 | 業務端末(Desktop) 限定検討 |
5. 実行ポリシー — アクセスポリシー
| 区分 | 設定オプション | 説明 | 適用時のユーザー画面・動作 | 推奨ポリシー | 備考 |
|---|---|---|---|---|---|
| アクセス許可の有無 | アクセス許可 / アクセス拒否 | 対象接続可能かどうかの決定 | 接続不可、案内ページ表示 | 業務対象許可 / 非業務遮断 | 最上位制御 |
| 追加認証 | 使用しない / メール認証 / OTP認証 | アクセス許可時に追加本人確認要求 | 認証画面表示 → 認証後接続。失敗時「認証が失敗しました。」ポップアップ、接続不可 | 一般対象使用しない / 敏感対象OTP | アクセス許可ポリシーにのみ設定可能 |
| メール認証 (詳細) | — | 認証コード入力欄表示、制限時間5分 | 5分以内にコードを入力してください。未受信の場合は「認証コード再送信」。 | — | メール受信可能環境必要 |
| OTP認証 (詳細) | — | 最初のQRコード・復旧キー登録後に認証コードを入力 | 最初の登録画面 → その後 OTP コード入力 | 高セキュリティ対象推奨 | 認証アプリが必要 |
6. 隔離セキュリティポリシー (使用ポリシー)
アクセスが許可された後、隔離ブラウザ内でのユーザー行為を制御します。すべての項目は許可/ブロック（または使用/未使用）に設定します。
| 区分 | 設定オプション | 説明 | 適用時のユーザー画面・動作 | 推奨ポリシー | 備考 |
|---|---|---|---|---|---|
| キーボード入力 | 許可 / ブロック | 隔離ブラウザ内キーボード入力制御 | ブロック時に入力不可、中央下部に「ポリシー上、キー入力が禁止されています。」と表示 | 照会専用対象はブロックされています | |
| サイト移動 | 許可 / ブロック | 対象ドメイン外サイト移動制御 | 許可: 自由移動 / ブロック: 代表・関連URLのみ移動、外部移動時に「ポリシーにより禁止された行為です。」案内ページ | 業務システムのブロック / 検索・ポータルの許可 | URL ポリシーで効果 大きい |
| ファイルアップロード | 許可 / ブロック (+拡張子制限, ストレージ) | 隔離環境へのファイルアップロード制御 | ブロック時はアップロード不可 / 許可時は指定された拡張子・ストレージのみ可能 | 業務必要時のみ許可 | 保存先: 私のPCファイルフォルダー /[옵션]SHIELDGate ファイルボックス |
| ファイルダウン ロード | 許可 / ブロック (+拡張子制限, ストレージ) | 隔離環境でのファイルダウンロード制御 | ブロック時 "ポリシーにより禁止された行為です。ポリシー上ダウンロードが禁止されています。" ガイダンスページ（閉じると戻る） | 対象グレードに応じて差別化 | 保存所の詳細は以下です |
| └ リポジトリ: 私のPCファイルフォルダ | 選択 | ユーザーのローカルPCにダウンロード | ローカルにファイルを保存 | 低リスク対象のみ | 基本提供。漏洩リスクが最も高い |
| └ 保存庫: SHIELDGate ファイルボックス | 選択 (SHIELDrive 指定) | SHIELDrive ストレージに保存 | ローカルの代わりに隔離ストレージに保管 | セキュリティ対象の推奨 | [옵션] **別途導入。**構成員はSHIELDriveストレージに割り当てられている必要があります。 |
| └ リポジトリ: SHIELD Viewer | 選択 | ダウンロードの代わりに読み取り専用プレビュー | 原本ファイルを受け取らずにビューアで閲覧 | 閲覧のみが必要な対象推奨 | [옵션] **別途導入。**下位3オプションに細分化 |
| └─ PDF ダウンロード | 許可 / ブロック | 原本をPDFに変換後ダウンロード | 許可した場合、PDFでのみ受け取ることが可能です。 | 許可 | 基本値: 許可 (SHIELD Viewer オプション内) |
| └─ オリジナルダウンロード | 許可 / ブロック | 原本の文書をそのままダウンロード | ブロック時にオリジナルを受け取ることができません | ブロック | 基本値: ブロック |
| └─ CDR ダウンロー ド | 許可 / ブロック | CDR 無害化処理後ダウンロード | 許可時に無害化本を受け取ることが可能 | ブロック | 基本値: ブロック。[옵션] CDRエンジン必要 |
| クリップボード — 隔離→PC | 許可 / ブロック | 隔離ブラウザからPCにコピー | コピー不可、中央下部に「ポリシーによりクリップボードの使用が禁止されています。」と表示 | ブロック | データの持ち出し経路 |
| クリップボード — PC→隔離 | 許可 / ブロック | PCで隔離ブラウザに貼り付ける | ブロック時に貼り付け不可 | 許可 | 入力の便宜 |
| 入力敏感情報検査 | 許可(検査) / 未使用 (+正規表現選択) | 入力テキストを正規表現で検査・ブロック | パターンマッチング時の入力ブロック・監査ログ記録 | 敏感情報入力対象に使用 | [옵션] **マスターページオーバーレイ（会社単位）導入時。**正規表現・対象ドメインは[入力敏感情報管理]で管理 |
| セッション維持 | 使用 / 未使用 (+アイドル時間分) | アイドル時の画面ロックによるデータ保護 | アイドル時間経過時画面ロック、'リフレッシュ'で復帰 | 使用 (アイドル時間ポリシーに従って) | 分単位設定 |
| スクリーンマーキング | 使用 / 未使用 | 画面にユーザー識別ウォーターマークを表示 | ユーザー名·メールアドレスのウォーターマークが画面に表示 | 使用 | 表示方式は [セキュリティ画面設定] でカスタム |
| 印刷ウォーターマーク | 使用 / 未使用 | 印刷物にユーザー識別ウォーターマークを挿入 | 印刷時にウォーターマークを含めて出力 | 使用 | 表示方式は [セキュリティ画面設定] でカスタム |
| ビデオ会議モード | 使用 / 未使用 | ビデオ会議パフォーマンス最適化モード | 活性時右上隅SHIELDGateショートカットアイコン未提供 | ウェブ会議対象のみ使用 | 性能最適化目的 |
| コンテキストメニュー | 使用 / 未使用 (+領域別 ON/OFF) | 右クリックメニューをエリアごとに個別制御 | OFF領域は右クリックメニュー非表示、連携ショートカットキーをブロック（例：印刷OFF → Ctrl+Pブロック） | 使用 (敏感項目 OFF) | 領域の詳細は以下です |
6.1 コンテキストメニュー領域
| 領域 | 代表メニュー | 適用時のユーザー画面・動作 | 推奨ポリシー | 備考 |
|---|---|---|---|---|
| ページ背景領域 | 戻る, 進む, 更新, 印刷, ページソースを表示, 検査 | 項目 ON の場合は右クリックメニューを表示 / OFF の場合は非表示·連携ショートカットをブロック | ページソース表示·検査 OFF | 上部ナビボタンのクリックはブロックされません（ショートカットキーのみブロック） |
| テキスト選択領域 | コピー、印刷 | テキストをドラッグした後、右クリックで表示 / OFF の場合は 非表示 | 敏感対象 コピー・印刷 OFF | |
| リンク | 新しいタブで開く、リンクアドレスをコピー | リンク上で右クリックすると表示 / OFFの時は非表示 | デフォルト値を維持（ON） | |
| 画像 | 画像の保存、画像のコピー | 画像上で右クリックすると表示 / OFF の場合は非表示 | ダウンロードブロック対象は保存OFF | |
| ビデオ | 再生/一時停止、動画保存 | 動画の上で右クリックすると表示 / OFF の場合は非表示 | デフォルト値を維持（ON） | |
| オーディオ | 再生/一時停止、オーディオ保存 | オーディオの上で右クリックすると表示 / OFF の場合は非表示 | デフォルト値を維持（ON） | |
| 入力フィールド | 切り取り、コピー、貼り付け | 入力欄を右クリックすると表示 / OFF の場合は非表示 | クリップボードポリシーと一致設定 |
領域内のすべての項目がOFFの場合、その領域の右クリックメニューは表示されません。
전체 ON / 전체 OFF / 초기화提供。
7. ポリシーの設定
| 区分 | 設定オプション | 説明 | 適用時のユーザー画面・動作 | 推奨ポリシー | 備考 |
|---|---|---|---|---|---|
| 使用の有無 | 使用する / 使用しない | ポリシーの有効化状況 | 使用しない場合、ポリシーが動作しません | 使用する | |
| 有効期限 | 未設定 / 期間設定 | ポリシーが動作する期間 | 期間外には動作しません | 未設定（無期限） | 期間限定ポリシーのみ設定 |
8. 政策運営·管理 (参考)
| 区分 | 説明 | 備考 |
|---|---|---|
| 優先順位管理 | ドラッグアンドドロップ、最上部/最下部へ、番号を直接移動 | 検索フィルター解除状態でのみ可能 |
| 執行政策基本値管理 | 新しいポリシーを登録する際に、実行・隔離セキュリティポリシーのデフォルト値が自動的に適用されます | アプリ·URLの基本設定は独立管理 |
| ポリシー検索 | 政策名·構成員·対象·条件·執行政策·使用有無で検索 | フィルター間 AND、フィルター内 OR |
| ポリシー適用状況の確認 | 期間別 適用/未適用 ポリシー 조회·Excel ダウンロード | 未適用ポリシー整理による複雑度管理 |
| インポート・エクスポート | JSON(バックアップ・復元) / Excel(現状・レポーティング) | 複数選択時 ZIP |