データのセキュリティーおよびプライバシーの原則 IBM クラウド サービス
2 データのセキュリティーおよびプライバシーの原則 : IBM クラウド サービス 目次 2 概要 2 ガバナンス 3 セキュリティー ポリシー 3 アクセス 介入 転送 および分離の管理 3 サービスの完全性および可用性管理 4 アクティビティーのロギングおよび入力管理 4 物理的セキュリティーおよび入場管理 4 指示の管理 4 遵守 4 第三者のサブプロセッサー 概要 IBM のクラウド サービスには インフラストラクチャー プラットフォームおよびソフトウェアの各オファリングが含まれています 各クラウド サービスには そのアーキテクチャー 使用目的 および提供されるサービスの種類に応じた IBM のポリシーに準拠した技術的および組織的なセキュリティーとプライバシーの対策が実装されています 図 1 は 各種サービスの一般的な責任の分担を図示しています IaaS IBM PaaS SaaS IBM 図 1: IBM クラウド サービスのオファリング種別 IBM の Infrastructure as a Service (IaaS) オファリングでは計算リソースが提供されます お客様はそのリソース上でオペレーティング システム ランタイム ミドルウェア および自ら選択したアプリケーションなどのソフトウェアを展開して実行できます IaaS のお客様は お客様が IaaS ソリューション上に展開するアプリケーション コンテンツ ランタイム ミドルウェアおよびオペレーティング システムについて責任を負います これには 物理的ではない データのセキュリティーおよびプライバシーに関する対策の実装ならびに管理が含まれます IBM の Platform as a Service (PaaS) オファリングにより お客様は サービスの一部として含まれる場合があるシステム ネットワーク 記憶装置 ランタイム フレームワーク ライブラリー ならびに統合ツールおよび管理ツールを使用して クラウド アプリケーションの作成 展開 管理ができます PaaS のお客様は 自身が PaaS ソリューション上に展開するアプリケーションおよびコンテンツを管理します これには お客様のアプリケーションおよびデータを対象としたデータのセキュリティーおよびプライバシーに関する対策を実装し 管理することが含まれます IBM の Software as a Service (SaaS) オファリングは 標準化アプリケーションをクラウド環境から提供しますが このクラウド環境のために IBM は アプリケーション ( 基盤となるミドルウェア プラットフォームおよびインフラストラクチャーを含みます ) の展開 管理 実行 保守およびセキュリティーを管理します SaaS のお客様は クラウド サービス契約の条件に従って エンド ユーザーのアカウント IBM SaaS オファリングの適切な使用 および自身が処理するデータの管理を引き続き行います 独自の要件がある場合 SaaS のお客様は IBM が実装している標準的なデータのセキュリティーおよびプライバシーに関する対策の適合性を評価する責任を負います 種類を問わず 各クラウド サービスに対する IBM の詳細な管理責任は 関連するオファリング契約に定められています とりわけ お客様のデータの偶発的な損失 不正アクセス および不正使用などのリスクから IBM クラウド サービスを防御するように設計された データのセキュリティーおよびプライバシーに関する対策 ( 利用できる 構成可能なオプションおよびサービスを含みます ) が 各サービス記述書に定められるか または盛り込まれています この データのセキュリティーおよびプライバシーの原則 文書には 参照により各サービス記述書に組み込まれる IBM の包括的なポリシーおよびプラクティスが記載されています ガバナンス IBM の IT セキュリティー ポリシーは 特別なコーポレート インストラクションを根拠としており IBM の CIO 組織によって制定および管理され IBM
データのセキュリティーおよびプライバシーの原則 : IBM クラウド サービス 3 の事業の不可欠の部分となっています 社内の IT ポリシーを遵守することは必須であり 監査の対象となっています セキュリティー ポリシー IBM の情報セキュリティー ポリシーは 少なくとも年 1 回見直され 最新の脅威に対応し 広く受け入れられた国際標準 (ISO/IEC 27001 および 27002 など ) の更新に合致させるために必要な改良が加えられます IBM は 随時採用する追加の従業員を含む新規採用者全員について 一連の雇用認証必須要件に従います これらの標準は 完全所有子会社および合弁会社にも適用されます この必須要件には 犯罪歴の照合 身元確認の証明 および応募者が以前に政府機関に勤めていた場合はその他の確認が含まれますが これらに限定されません またこれらは変更される場合があります IBM の各法人は 現地の法律に基づいて許容され かつ適用可能な範囲で 適宜 その採用プロセスに上記の要件を組み込む責任を負います IBM の従業員は 毎年セキュリティーとプライバシーに関する教育を修了し IBM の ビジネス コンダクト ガイドライン に規定された倫理的な行動基準 守秘義務 およびセキュリティーの要件の遵守について毎年宣誓することが求められています セキュリティーに関する事故は 適用法に基づくデータ侵害の通知要件を考慮に入れて IBM の事故の管理および対応ポリシーに従って処理されます IBM のグローバル サイバーセキュリティー事故管理プラクティスの中核機能は IBM の Computer Security Incident Response Team (CSIRT) によって実施されます CSIRT は IBM の Chief Information Security Office によって管理され グローバル事故管理者およびフォレンジック アナリストが配属されています アメリカ合衆国商務省の国立標準技術研究所 (NIST) のコンピューターのセキュリティー事故対応に関するガイドラインは その進展を報告しており 常に IBM のグローバル事故管理手順の基礎となっています CSIRT は IBM 内のその他の職務部門と連携して疑わしい事故を調査し 必要な場合には 適切な対応計画を策定して 実行します セキュリティー事故 が発生したことが確認されれば IBM は 必要に応じて 速やかに影響を受けるクラウド サービスのお客様に通知します アクセス 介入 転送 および分離の管理 IBM クラウド サービスのアーキテクチャーは お客様データの論理的分離を保持します 社内の規則および手段により データの挿入 修正 削除および転送などのデータの処理を 契約された目的に従って分離します お客様データ ( 個人データを含みます ) に対するアクセスは 職務分離の原則に従って権限のある要員のみに許可され ID およびアクセス管理ポリシーに基づいて厳正に管理され IBM 社内の特権ユーザーの監視および監査プログラムに従って監視が行われます IBM の特権的アクセスの承認は 個人用の 役割ベースのもので 定期的に確認が行われます お客様データに対するアクセスは お客様にサービスやサポートを提供するために必要な程度に制限されます ( 最小限の特権 ) IBM のネットワーク内でのデータ転送は 無線ネットワークを使用せず ファイアウォール内の有線のインフラストラクチャー上で実行されます 要求に応じて またはクラウド サービス契約の条件に従ったサービスの解約により お客様データは メディア サニタイズに関する NIST のガイドラインに従って 復旧が不可能な状態にされます サービスの完全性および可用性管理 IBM クラウド サービスは 実稼働リリースの前に 侵入テストおよび脆弱性スキャンを受けます さらに IBM および認定された独立的な第三者により 侵入テスト 脆弱性スキャンおよび倫理的ハッキングが定期的に実施されます オペレーティング システム リソースおよびアプリケーション ソフトウェアの変更には IBM の変更管理ポリシーが適用されます また ネットワーク機器およびファイアウォールの規則の変更についても変更管理ポリシーが適用され 実装前にセキュリティー スタッフが個別に審査します IBM のデータセンター サービスは HTTPS SFTP および FTPS などの 公共ネットワーク上のデータ伝送に関するさまざまな情報伝送プロトコルをサポートします IBM は 実稼働データセンターのリソースを 1 日 24 時間週 7 日 系統的に監視し
4 データのセキュリティーおよびプライバシーの原則 : IBM クラウド サービス ます 潜在的な危険度の検出および解決を支援するために 内部および外部の脆弱性スキャニングを権限のある管理者が定期的に実施します IBM の各クラウド サービスには ISO 27002 Code of Practice for Information Security Controls に準拠して展開され 維持管理され 検証され テストされた事業継続計画および災害復旧計画が備えられています 各クラウド サービスの復元のポイントおよび目標時間は それぞれのアーキテクチャーおよび使用目的に従って制定され サービス記述書またはその他の取引文書に規定されています オフサイトで保管されるバックアップ データがある場合は 転送前に暗号化されます セキュリティー構成およびパッチ管理のアクティビティーが実行され 定期的に審査されます IBM のインフラストラクチャーには 災害復旧 ソリッド ディスク ミラーリングなどの 緊急計画のコンセプトが適用されます IBM のインフラストラクチャーに関する事業継続計画が文書化され 定期的に再確認されます アクティビティーのロギングおよび入力管理 IBM のポリシーは クラウド サービスのコンピューティング環境に対する管理を目的としたアクセスおよびこの環境内のアクティビティーについて 記録および監視すること ならびに IBM の世界的な記録管理計画に従って ログをアーカイブに保存および保持することを義務付けています 実稼働のクラウド サービスに対する変更は IBM の変更管理ポリシーに従って記録および管理されます 物理的セキュリティーおよび入場管理 IBM は データセンター リソースに対する許可されていない物理的アクセスを制限するように設計された物理的セキュリティー基準を保持します IBM のデータセンターへの入口は制限され アクセス リーダーによって管理され 監視カメラによって監視されています アクセスは 権限のある要員のみに許可されます 雇用が終了した従業員は アクセス リストから削除され アクセス バッジの返却を求められます アクセス バッジの使用については 記録されます 指示の管理 データの処理は オファリングの契約に従って実行されますが この契約に IBM は クラウド サービス オファリングの条件 機能 サポートおよび保守 ならびにお客様データの機密性 完全性 可用性を維持するためにとられる手段を記載します 遵守 IBM のクラウド サービスに関する情報セキュリティーの標準および管理プラクティスは 情報セキュリティーの管理に関する ISO/IEC 27001 標準に合致し ISO/IEC 27002 Code of Practice for Information Security Controls に準拠しています 情報セキュリティー標準の遵守を追跡するために IBM は評価および監査を定期的に実施します さらに IBM のすべての実稼働データセンターでは 毎年 独立的な第三者による業界標準の監査が行われます 第三者のサブプロセッサー IBM のクラウド サービスでは 第三者のサブプロセッサーが 契約上の義務の通常の履行においてお客様データにアクセスすることが必要になる場合があります かかる第三者のサブプロセッサーがクラウド サービスの提供に関与する場合は 要求に応じて 当該サブプロセッサーおよびその役割を通知します IBM は すべてのかかるサブプロセッサーが IBM が提供するセキュリティーおよびプライバシーの全体的なレベルが保たれた標準 プラクティスおよびポリシーを維持することを義務付けています 権限のない個人が施設に入場できる搬入 搬出場所については 厳格に管理されます 搬入 搬出は事前に計画され 権限を有する担当者の承認が必要です 運用スタッフ 施設スタッフおよびセキュリティー スタッフ以外の人は 施設に入場する際に登録され 施設内にいる間は権限のある要員が同行します
データのセキュリティーおよびプライバシーの原則 : IBM クラウド サービス 5 Copyright IBM Corporation 2016 日本アイ ビー エム株式会社 103-8510 東京都中央区日本橋箱崎町 19-21 Produced in Japan 2016 年 4 月 IBM IBM ロゴおよび ibm.com は 世界の多くの国で登録された International Business Machines Corporation の商標です 他の製品名およびサービス名等は それぞれ IBM または各社の商標である場合があります 現時点での IBM の商標リストについては Web サイト "Copyright and trademark information" (ibm.com/legal/copytrade.shtml) をご覧ください 本書の情報は最初の発行日の時点で得られるものであり 予告なしに変更される場合があります IBM 製品は IBM 所定の契約書の条項に基づき保証されます Please Recycle