GitHub、データ所在地対応の公開監視を試験提供、認証情報の露出を通知

GitHubは2026年10月22日付の発表で、GitHub Enterprise Cloud with data residency(GHEC DR)向けに、公開監視のパブリックプレビューを提供すると案内しました。データを保持する地理的範囲を指定した環境でも、内部リポジトリに加えてgithub.com全体の公開コミットを監視し、露出した認証情報を企業に通知します。

公開コミットを監視し、検証済みドメインで通知先を判定

今回の公開監視は、公開されたコミット、つまりコードなどの変更記録から、露出した認証情報を企業にリアルタイムでひも付ける仕組みです。GitHubによると、GHEC DR環境で企業を特定する際は、検証済みドメインとの照合だけを使います。

通知の条件は、コミット作成者のメールアドレスが、企業の検証済みドメインに一致することです。企業のメンバー一覧を使って公開コミットを照合する方式ではありません。GitHubは、環境を厳密に分離し、企業のメンバー一覧をgithub.com側と共有しないと説明しています。

このため、導入時に確認したいのは、単に機能を有効にしたかどうかだけではありません。どのドメインが検証済みになっているかと、開発者がコミットに使うメールアドレスのドメインを照らし合わせる必要があります。所属する社員の投稿なら必ず通知される、と受け止めないことが重要です。

アラートは暗号化して配送、対象ライセンスに含む

GitHubによると、アラートは暗号化され、企業のダッシュボードへ直接届けられます。データは企業が指定した地理的範囲内に保持されます。公開コミットを監視する範囲と、通知に関するデータを保持する場所を分けて確認するのが、社内説明のポイントになります。

利用には、有効なGitHub Advanced SecurityまたはGitHub Secret Protectionのライセンスが必要です。公開監視は対象ライセンスに含まれ、追加料金はかかりません。企業管理者または企業セキュリティマネージャーが、企業のセキュリティ設定から有効化できます。正式提供ではなく、パブリックプレビューの段階です。

日本での提供は発表には書かれていません。日本語への対応や日本向けの価格についても、今回の資料には記載がありません。

影響する会社・しない会社

• 影響する: GHEC DRを利用し、有効なGitHub Advanced SecurityまたはGitHub Secret Protectionライセンスを持つ企業です。今回の公開監視を有効化する対象になります。
• 影響する: 上記の条件に当てはまり、公開コミット上の認証情報の露出を把握したい企業です。通知のひも付けに使う検証済みドメインの確認が、運用上の確認点になります。
• 影響しない: GHEC DRを利用していない企業は、今回発表された提供対象には含まれません。他の環境での提供状況は、今回の資料では判断できません。
• 影響しない: 必要な有効ライセンスを持たない企業は、今回の利用条件を満たしません。追加料金不要という説明は、対象ライセンスを持つことが前提です。

情シスが今日やること

1. 有効化の判断前に、利用環境とライセンスを確認します。 GitHubの契約を管理する担当者に、GHEC DRの利用有無と、対象ライセンスが有効かを確認してください。通常のGitHub利用と今回の対象環境を混同しないよう、確認結果を記録します。
2. 企業のセキュリティ設定で、公開監視の有効化を確認します。 企業管理者または企業セキュリティマネージャーに確認を依頼してください。発表には詳しい画面上の項目名は書かれていないため、管理画面で対象機能を確認してから操作します。
3. 有効化前に、検証済みドメインとコミット用メールを照合します。 管理者が把握する検証済みドメインを、開発責任者が把握するコミット作成者のメールのドメインと比較します。一致しないものは、今回の通知条件を満たさないものとして整理してください。
4. 運用開始前に、通知後の担当を決めます。 セキュリティ担当と開発責任者に、アラートが企業のダッシュボードへ届くことを共有します。誰が確認し、露出した認証情報への対応を誰に依頼するかを決めてください。データの保持範囲とプレビュー段階であることも、導入判断をする責任者へ併せて伝えます。