【ServiceNow】インスタンスセキュリティダッシュボードで自己診断

# １．インスタンスセキュリティダッシュボードとは？
インスタンスセキュリティダッシュボードは、ServiceNow自身のWebサービスとしてのセキュリティ(安全性)を確認する機能です。クラウド型のサービスだとセキュリティ面を心配する方もおられると思いますので、この「インスタンスセキュリティダッシュボード」でまずチェックしてみるのがよいかと思います。

# ２．インスタンスセキュリティダッシュボードの確認

①インスタンスセキュリティダッシュボードへは[システムセキュリティ]＞[インスタンスセキュリティダッシュボード]で遷移します。全体的な状態はここで確認します。
![001.png](https://qiita-image-store.s3.amazonaws.com/0/340027/ab9b134b-735e-42ed-fd39-48b50654fa99.png)

②インスタンスセキュリティダッシュボードの右上にある[続行]ボタンをクリックすると、下図の画面の「入力妥当性確認」ように中項目毎にチェック項目の対応状況が表示されます。各項目の右側に "*" が付いている項目は必須チェック項目です。
![002.png](https://qiita-image-store.s3.amazonaws.com/0/340027/a4900a2e-850f-c226-b2e8-019eb959d98f.png)

なお、下図のように英語だと "*" がついていない項目で、日本語だとついているものがありますが、恐らく翻訳ミスです(笑)。迷ったときは英語を信用しましょう。

![003-1.png](https://qiita-image-store.s3.amazonaws.com/0/340027/166ce423-2a24-f176-1a6f-fc5bde090f43.png)
![003-2.png](https://qiita-image-store.s3.amazonaws.com/0/340027/3e7a1100-f451-2a8e-a618-1550fc5b5733.png)

# ３．設定変更
インスタンスセキュリティダッシュボードの"*"が付いている項目の設定変更を例に、実際に設定変更してみます。

設定変更には、設定変更した後で自分で完了ボタンを押す手動完了パターンと設定変更を自動で検知してくれる自動検知パターンの2通りがあります。

## 3-1.手動完了パターン

では、「認証」の「デフォルトの認証情報の変更」を例に、実際に"*"のついている項目を修正してみましょう。

①「デフォルトの認証情報の変更」をダブルクリックします。
![004.png](https://qiita-image-store.s3.amazonaws.com/0/340027/b5852a51-e8c2-c047-6624-5e91d3f40453.png)

②該当項目の説明や「必要なアクション」が表示されます。この項目の場合、「必要なアクション」に記載されているように管理者アカウントのパスワードを強力なものに変更せよと言われています。

③「設定」ボタンを押すと対象アカウントのリストが表示されます。パスワード変更の手順は割愛しますが、各管理者アカウントのパスワードを修正します。
![005.png](https://qiita-image-store.s3.amazonaws.com/0/340027/8d1dfcb4-0cd8-d6d0-e2a4-fa333306556e.png)
![005-2.png](https://qiita-image-store.s3.amazonaws.com/0/340027/9fb2a75b-3209-e85f-ce82-3fa43cd35bdd.png)

④各管理者アカウントのパスワードを変更後、「自分で」完了ボタンをクリックします。(システム側が「強力なパスワードに変更してくれたね！」とは判断してくれません。あくまで自己申告)　
![005-3.png](https://qiita-image-store.s3.amazonaws.com/0/340027/2b67cd01-44b6-16be-5f93-aa536d9513f1.png)


⑤「完了」ボタンをクリックすると左上のパーセンテージが更新されます。インスタンスセキュリティダッシュボード画面でもその項目にチェックが付きます。
![006.png](https://qiita-image-store.s3.amazonaws.com/0/340027/5116792b-6746-e7f9-0a39-fd81d41a3e0c.png)

## 3-2.自動検知パターン
次に、「入力妥当性確認」の「埋め込みHTMLコードを許可」も修正してみましょう。今回は設定変更をServiceNow側で自動検知してくれます。

①「埋め込みHTMLコードを許可」をダブルクリックします。
![010.png](https://qiita-image-store.s3.amazonaws.com/0/340027/7cfbcc54-7c5b-1a28-77ab-34fd991f4b07.png)

②該当項目の説明や「必要なアクション」が表示されます。(自動検知パターンの場合、手動完了パターンとは異なり、「設定」ボタンのみ表示されており、「完了」ボタンは表示されていません)　必要なアクションに「アクティブステータスを true から false に変更します」としか書かれていないことを確認し、[設定]ボタンをクリックします。
![011.png](https://qiita-image-store.s3.amazonaws.com/0/340027/e732ca3b-a92d-7103-2fbd-0521c587485d.png)

③「システムのプロパティ(glide.ui.security.allow_codeta)」画面が開きます。「値」が「false」であることを確認します。「値」を「true」から「false」に変更し、「更新」ボタンをクリックします。
![012.png](https://qiita-image-store.s3.amazonaws.com/0/340027/7dadc992-ba73-93d9-0d1e-5ec653cd3add.png)

④反映に少し時間がかかりますが、しばらくすると「埋め込みHTMLコードを許可」の項目にチェックがつき、ステータスのパーセント表示も更新されます。今回は「入力妥当性確認」はめでたく(?)100%になりました。
![013.png](https://qiita-image-store.s3.amazonaws.com/0/340027/6c47f532-2389-a95d-72d8-d8fda6e701b5.png)


# ４．まとめ
本投稿をまとめますと

・ServiceNowはクラウドサービスですが、「インスタンスセキュリティダッシュボード」というServiceNow自身のセキュリティ診断機能がある。
・必須項目には"*"が付いている
・設定変更対応については手動で完了にする手動完了パターンと、自動検知パターンの2通りがある。

となります。ペネトレ診断が必要な案件などでは、診断前のセルフチェックに活用できそうですね。

# ５．参考
■セキュリティダッシュボード
https://www.servicenow.co.jp/products/instance-security-dashboard.html

■Product Documentation の Instance Security Dashboard
https://docs.servicenow.com/bundle/london-platform-administration/page/administer/security/concept/instance-sec-dashboard.html