> ## Documentation Index
> Fetch the complete documentation index at: https://docs.proofline.jp/llms.txt
> Use this file to discover all available pages before exploring further.

# 通知の判断

> 取り込んだ通知ごとに、問題がないか・事故として対応するかを判断し、理由を記録する（スタンダード以上）

> [!NOTE]
>
> この機能は**スタンダード以上**で使えます。ベーシックでは、サイドバーに鍵の印が付き、開くと「いまのプランでは使えません」と案内が出ます（[プランと使える機能](https://docs.proofline.jp/plans.md)）。

サイドバーの「**インシデント → 通知の判断**」には、取り込んだ通知（Google のアラートセンター・CrowdStrike Falcon のアラート・Cloudflare のログ）が並びます。通知ごとに、問題がないか・事故として対応するかを判断し、理由を記録します。

> [!NOTE]
>
> 毎日 3:00 の取得で前日分の通知を読み、通知ごとに判断待ちの行を作ります。
>
> * Google のアラートセンター: Google Workspace の「[アラートセンターも読む](https://docs.proofline.jp/getting-started/google-workspace.md)」の設定が要ります
> * CrowdStrike Falcon: [Falcon をつなぐ](https://docs.proofline.jp/getting-started/connect-tools.md)と読みます（API クライアントに Alerts の Read が要ります）
> * Cloudflare Zero Trust: [Cloudflare をつなぐ](https://docs.proofline.jp/getting-started/connect-tools.md)と読みます（API トークンに Account Analytics と Access: Audit Logs の Read が要ります）

通知には、何が起きたか・やること・判断の目安を、通知の種類ごとに日本語で付けます。

* **Google**: 人の情報は、対象の利用者（と操作した管理者）のメールアドレスだけを出します。IP アドレス・差出人・端末などの詳しい中身は、Google の管理コンソールのアラートセンターで確かめてください
* **Falcon**: 重要度（Falcon の 1〜100）と、Falcon が止めたかどうかで種類を分けます（70 以上＝高、40〜69＝中、39 以下＝低）。出すのは端末名・検知の名前・攻撃の段階・Falcon が自動でしたことまでです。使っている人のアカウント名・IP アドレス・ファイル名は出さないので、Falcon のコンソールで確かめてください
* **Cloudflare**: Cloudflare には通知の仕組みがないため、ログから作ります。Gateway が止めた接続のうち、フィッシング・マルウェア・感染のしるし（指令サーバー・スパイウェアなど）の分類のものと、Access が拒否したログインです。会社の方針で止めた分類（ギャンブルなど）は通知にしません
  * Gateway の通知は、Cloudflare の API の都合で、1 回ずつではなく「同じ時刻・ドメイン・分類のまとまり」ごとに 1 行です。**誰の端末からかは API で取れない**ため、Cloudflare の管理画面の Logs → Gateway → DNS で、時刻とドメインから探してください
  * 出すのは、止めたドメイン名・分類・件数・ルール名（Gateway）と、ログインしようとした人のメールアドレス・アプリ・国（Access）までです。IP アドレスは出しません

## 期限

| 重要度 | 判断の期限 |
| - | - |
| 高 | 1 日 |
| 中・低 | 3 営業日 |

期限を過ぎて判断待ちのものがあると、統制目標の判定が不合格になります。期限を過ぎたものは、期限の日時が赤で出ます。

## 一覧の見方

| 列 | 内容 |
| - | - |
| 見出し | 通知の内容 |
| 重要度 | 高・中・低 |
| 状態 | 判断待ち・期限切れ・判断済み |
| 期限 | 判断の期限の日時 |
| 判断した人 | 判断を記録した人 |
| 事故 | 事故として対応したときは、その事故。押すと[インシデント対応](https://docs.proofline.jp/operations/incidents.md)のその事故を開きます |

上の「状態」で絞り込めます。見出しで検索もできます。

## 判断を記録する

**1. 「判断を記録」を押す**

通知の行の「**判断を記録**」を押します。通知の見出しと内容、「**やること**」が出ます。

**2. 判断の目安に答える**

「**判断の目安**」の問いに「はい」か「いいえ」で答えます。「はい」が 1 つでもあれば「事故の疑い」、すべて「いいえ」なら「問題なし」が目安として出ます。「**理由の下書きを入れる**」を押すと、目安に合った理由の下書きが入ります。目安は下書きで、判断は自分で確定します。

**3. 判断の理由を書く**

下書きを直すか、自分で書きます。例: 本人に確認し、出張先からのログインだった

**4. 事故として対応するかを選ぶ**

「事故として対応する場合は、その事故」で、対応する事故を選びます。事故でなければ「**事故にしない**」のままにします。

事故として対応するときは、先に[インシデント対応](https://docs.proofline.jp/operations/incidents.md)で事故を起票しておいてください。

**5. 「記録する」を押す**

状態が「判断済み」になり、「判断した人」に自分が出ます。

## 判断し直す

判断済みの通知の「**判断し直す**」を押し、理由を書いて「**判断待ちに戻す**」を押します。判断待ちに戻ります。期限を過ぎていれば、判定は不合格に戻ります。

## できる人

通知の判断を記録できるのは、**管理者**と**承認者**です。一般利用者は見ることだけができます。


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.