3.1セキュリティポリシーとルールセット

セキュアな開発を組織に根付かせるには、個々の開発者任せにせず 組織横断のガードレール を管理者が敷くことが要です。GH-100 では、ポリシーとルールセット で「できること/守るべきこと」を定め、監査ログ で可視化・追跡し、Enterprise の セキュリティ態勢 を底上げする方法が問われます。

3.1.1組織と Enterprise のポリシー

ポリシー は「メンバーが何をできるか」を統制します——リポジトリの 作成可否や可視性（public/internal/private）、フォークの可否、Actions の利用範囲、外部コラボレーターの招待、GHAS 機能の有効化 などです。Enterprise レベル で定めた方針は配下の組織に 波及 し、下位では上位の制約の範囲で運用します。ルールセット は、コード変更に対する ブランチ保護・必須レビュー・必須ステータスチェック などを 強制 するガードレールで、ポリシー（できること）とは別レイヤーです。両者を組み合わせて、一貫したガバナンスを敷きます。

3.1.2セキュリティ態勢とデータ保護

管理者は、Enterprise 全体の セキュリティ態勢 を継続的に強化します——2FA/SAML SSO の必須化（第1章）、GHAS 機能の組織横断での有効化（第3章 s2）、最小権限のロール（第1章）、外部公開・フォーク・外部コラボレーターの制限などです。データ保護 の観点では、機密リポジトリの 可視性管理、シークレットの保護（Secret Protection）、データ所在地（GHEC Data Residency, 第2章）を考慮します。これらは「防御を多層に積む」ことで、単一の設定漏れが致命傷にならないようにします。

3.1.3監査ログとレポート

監査ログ（audit log） は、組織/Enterprise で「誰が・いつ・何を」行ったかを記録します——メンバーやロールの変更、ポリシー変更、リポジトリの作成/削除、アクセス付与などです。コンプライアンスやインシデント調査のため、監査ログを SIEM へストリーミング（audit log streaming）して長期保管・相関分析することもできます。レポート で利用やアクセスの傾向を把握し、過剰な権限や異常な操作を検知します。監査は「記録するだけ」でなく 定期的にレビュー して初めて意味を持ちます。

3.1.4この節のまとめ

• ポリシー＝メンバーができること（リポ作成/可視性/フォーク/Actions/GHAS）、Enterprise 方針は下位へ波及
• ルールセット＝コード変更のガードレール（ブランチ保護/必須レビュー/チェックを強制）
• 監査ログで誰が/いつ/何を追跡、SIEM へストリーミング可、定期レビューで活かす
• セキュリティ態勢は多層防御（2FA/SSO/GHAS/最小権限）、データ保護は可視性/シークレット/所在地の複合