Okta セキュリティホワイトペーパー Okta Security Technical Whitepaper 1
目次 目次 Index イントロダクション Oktaとサービスセキュリティ Oktaについて Okta Identity Cloud Workforce Identity Customer Identity Oktaのセキュリティ アプローチセキュリティ責任共有モデル Oktaの責任 : クラウド セキュリティユーザの責任 Oktaのセキュリティ管理イントロダクションインフラ / 物理的セキュリティ物理的セキュリティ信頼性を高めるための障害分離データ セキュリティ ( Data-at-Rest Security) ネットワークセキュリティ ( Data-in-Transit Security) 可用性とパフォーマンス監視人的セキュリティソフトウェア開発におけるセキュリティサービスレベルのセキュリティサービスレベルの可用性とパフォーマンスの監視セキュリティとペネトレーションテスト Okta ThreatInsight コンプライアンスイントロダクション Oktaのコンプライアンスへの対応資料セキュリティに関するドキュメントソリューションの概要 Oktaのセキュリティと可用性ユニバーサルディレクトリとライフサイクルマネジメント多要素認証 (MFA) シングルサインオン (SSO) と統合コンプライアンスと規制出版物 刊行物サードパーティについておわりに 3 5 6 6 7 8 9 9 9 9 10 11 11 12 13 14 14 15 15 17 20 27 28 29 30 31 32 33 34 34 34 35 35 35 36 36 36 37 2
イントロダクション Introduction 今日 アイデンティティ中心のセキュリティへの大規模 David Bradbury Chief Security Officer, Okta な転換が起こっています テクノロジーの進化により 人はあらゆる環境でセキュアに働けるようになりつつあ ります しかし 企業が新しい働き方やユーザへのサービスに適応するにつれ アイデンティティを中心としたセキュリティ が加速しています Oktaを利用して 従業員にセキュアな就業環境を提供したり シームレスな顧客体験を実現したりするうえで お客様にとって Oktaのセキュリティ体制はより重要な関心事であるはずです 世界をリードする独立系アイデンティティ プラットフォームとして Oktaはセキュリティのベストプラクティスが どのようなものか深く理解しています 本ホワイトペーパーでは Oktaのセキュリティに関する方向性を導く原則や Oktaのテクノロジーや人材を網羅したセキュリティ体制について説明しています 皆様のお役に立てることを心から願い そして今後も強固なパートナーシップを築いていけますと幸いです 3
イントロダクション アイデンティティ アクセス管理 情報セキュリティは 現代の組織において必要不可欠であり お客様は Okta がテクノロジーへの安全なユーザアクセスを実現することに信頼を置いています この信頼は Okta の高い可用性と安全性がベースとなっています Okta は セキュリティに最も厳格な業界における機密性や安全性 可用性の要件を満たし 設計 構築 保守 監視が的確になされているサービスを提供しています 本ホワイトペーパーでは Okta のセキュリティに対するアプローチを以下の章で紹介します Okta とサービスセキュリティ Okta の概要 Okta Identity Cloud Platform Okta のセキュリティに対するアプローチ セキュリティの共有モデル について説明しています Okta のセキュリティコントロール お客様のデータを保護し サービスの機密性や完全性 可用性を維持するために Okta が実装し活用している主要 なセキュリティ管理の一部を説明しています コンプライアンス Okta Identity Cloud Platform が達成したセキュリティ認証と Okta がお客様のセキュリティ認証の実現や特定の業 界規制への準拠に対してどのように支援できるかについて説明しています 詳細情報 Okta Identity Cloud Platform を活用して Okta のセキュリティとセキュリティ体制をさらに強化する方法について サポート情報を提供しています 4
Okta とサービスセキュリティ Okta and Service Security Oktaは 当社だけでなく 業界のアナリストやセキュリティ専門家に対しても セキュリティに真剣に取り組んでいることを実証しており 信頼できるサービスだと言えます Den Jones, Senior Manager of IT Services Adobe https://www.okta.com/customers/adobe-systems/ 5
サービスセキュリティ Okta について Okta は業界をリードするアイデンティティ クラウド プロバイダーです Okta のプラットフォームは 適切な人を 適切なタイミングで 適切なテクノロジーへ 安全に接続します Okta Identity Cloud Okta Identity Cloud は Okta が構築 管理する Identity as a Service (IDaaS) プラットフォームです クラウドネイティブサー ビスとして構築された Okta は 以下のようなベネフィットを提供します グローバルに利用可能で 100% マルチテナント ステートレス 冗長性を備えています セキュリティ強化や新機能が定期的にアップデートされます その場でプラットフォームを更新でき メンテナンスのためのダウンタイムを設定する必要がないため 計画的 ダウンタイムはありません 運用タスクや設定 保守コストを大幅に削減できます サブスクリプションベースのため コストを柔軟に調整できます 上記のベネフィットは オンプレミスのソフトウェアやマネージドクラウドサービス またはオンプレミスのレガシーソフトウェ アをクラウドに移行したベンダーには ほとんど見られないポイントです また Okta の Identity Cloud Platform には Workforce Identity と Customer Identity の 2 つの機能が備わっています 6
サービスセキュリティ Workforce Identity OktaのWorkforce Identityは 企業の IT 部門や高いセキュリティ水準が必要な組織を対象としています 高いセキュリティ水準のもとで 組織がテクノロジーや IT 資産へのアクセスを簡素化し 効率を向上させることで IT 環境全体をセキュアに保つことができます Workforce Identityのソリューションには 次のようなものがあります ユニバーサルディレクトリ 柔軟なクラウドベースのユーザストアにより 複数のアイデンティティソースからユーザ属性をカスタマイズし 整理 管理することができます シングルサインオン (SSO) 1 つの認証情報で 企業のクラウドやオンプレミス モバイルデバイス上にあるアプリケーションにアクセスする ことができます 複数のパスワード管理による煩雑さから解放することができます ライフサイクル マネジメント Active Directoryや LDAPなどのディレクトリや Workday SuccessFactors Office 365 RingCentralなどのクラウドアプリケーションとのシームレスな連携を実現し ユーザのオンボーディングとオフボーディングを自動化します 適応型多要素認証 ( MFA) 信頼できる複数情報を要求することで認証強化を実現します 検証する堅牢なポリシーフレームワーク 最新版 を含む検証要素セット 適応性のあるリスクベースの認証により アプリケーションと VPN を保護します Workforce Identityによって IT 部門は ビジネスの中核を担うアプリケーションやデータにどのユーザがアクセスできるかといった ポリシーベースの管理を一元的に行うことができます また従業員は シングルサインオン (SSO) を利用することで 日常的な業務を簡素化し パスワード管理疲れ によるセキュリティリスクを軽減することができます Oktaを利用することで 従業員はわかりやすいパスワードの使い回しや パスワードを付箋紙に書き留めたり PC 内のエクセルファイルに保存したりといったリスクの高いパスワード管理方法に頼る必要がなくなります 7
サービスセキュリティ Customer Identity Customer Identity は Okta をお客様のアプリケーションのアイデンティティレイヤーとして組み込んだり Okta をカスタマ イズしたりすることができます カスタマイズ可能なユーザ エクスペリエンスの提供 OktaのAPIやウィジェットを活用して フルブランド化されたログインフローや エンドユーザポータルを作成することができます また OktaのAPIを利用して 顧客や部門管理者がユーザを管理できるカスタム管理画面を構築することもできます あらゆるユースケースに Oktaを拡張利用が可能幅広いOktaのAPIを利用することで 複雑なアイデンティティ統合やデータに関する課題 自動化などの課題を解決することができます スクリプトを実行してユーザデータを変更したり アプリケーションを自動的に統合したり カスタムワークフローと統合したりすることができます 最高クラスの Customer IAM(CIAM) ソリューションを活用可能 Oktaを アイデンティティ API として活用することで 開発者はすべてのアプリ開発プロジェクトで Oktaに認可 承認 ユーザ管理を委ねることができます Oktaにアイデンティティを託し 開発者はカスタマー エクスペリエンスに専念することができるようになります Customer Identityは Okta Identity Cloudへのアクセスを提供するほか Oktaの柔軟な拡張機能によって 開発者が優れたユーザ エクスペリエンスを構築できるようなります Customer Identityを強化することで デジタルテクノロジーを駆使したお客様のビジネスにおいて お客様の最も複雑なエンタープライズ アーキテクチャーの課題を解決に導きます Oktaを活用する企業は クラウドサービスはもとより オンプレミスのアプリケーション VPN ファイアウォール カスタムアプリなどを利用して 従業員や契約社員 顧客など 自社のアプリケーションにアクセスするすべてのユーザに対するセキュリティの確保とカスタマー エクスペリエンスを 劇的に向上させることができます 8
サービスセキュリティ Okta のセキュリティ アプローチ Okta Identity Cloud は セキュリティを考慮した設計 構築 維持 監視 そして定期的な更新が行われています 業界や組織の規模や使用している製品などに関わらず すべてのお客様に一貫した機密性 完全性 可用性を持ったサービスを 提供するため Okta は セキュリティ責任共有モデル を採用しています セキュリティ責任共有モデルセキュリティ責任共有モデルとは Amazon AWS Microsoft Salesforceをはじめとする多くのクラウド事業者が採用しているフレームワークで お客様とクラウド事業者のセキュリティ責任を明確化し共有するものです このモデルでは Oktaはクラウド自体のセキュリティに責任を負い お客様は自社の情報セキュリティ要件に基づき クラウド上のテナントのセキュリティに責任を負います お客様のアプリケーションとコンテンツお客様がクラウド上のテナントのセキュリティを確保テナントとサービスの設定 サービスのセキュリティ Okta がクラウドのセキュリティを 担当 インフラと物理的セキュリティ レスポンシビリティの詳細情報については 00p 以降にも掲載しています Oktaの責任 : クラウド セキュリティ Oktaは Okta Identity Cloud Platformにおけるインフラのセキュリティに責任を負います また Oktaには お客様が Oktaに配置するアプリケーションなどを保護するために必要な機能を提供する責任もあります 以下のOktaセキュリティ管理のセクションでは クラウドのセキュリティを確保するためにOktaが実装し 活用している主要な管理機能の一部を示しています ユーザの責任お客様には Oktaの 中に 配置するアプリケーションなどを保護する責任があります これには 例えば ユーザに適切な権限を与えること 従業員が解雇されたときにアカウントを無効にすること 多要素認証を実施すること データを保護するために必要な認証ポリシーを適切に設定 監視すること ユーザがポリシーに従っていることを確認するためにシステムログを確認すること Oktaのテナントがパスワードスプレーやフィッシングなどの攻撃を受けていないか監視することなどが含まれます 責任の詳細情報については 42p 以降にも掲載しています 9
Okta のセキュリティ管理 Okta Security Controls Oktaは サイバーセキュリティ ビジネスの生産性 ベスト オブ ブリード という 我が社にとって重要な3つ要件を満たしており まさに望み通りの製品と言えます CIO Gus Shahin フレックス社 10
セキュリティ管理 イントロダクション Okta はクラウドプロバイダーとして 自身のサービスに内在するインフラを含む Okta Identity Cloud Platform そのもの に対するセキュリティに責任を負っています Okta はクラウドサービスのインフラを保護するために 主に以下のようなセキュリティ管理を行っています インフラ/ 物理的セキュリティ 人的セキュリティ ソフトウェア開発のセキュリティ サービス レベル セキュリティ セキュリティ診断とペネトレーションテスト インフラ / 物理的セキュリティ Oktaの技術チームは クラウドサービスの開発 運用に豊富な経験を有しています その経験を活かして Oktaはセキュリティと可用性の要件を拡張し 両立できるインフラストラクチャ プロバイダーとして Amazon AWS を選択しました Amazonは 最大級のクラウドプラットフォームサービスを運営しており インフラの構築 運用 保守に関する重要な専門知識を有しています 2006 年初頭からAmazon AWS は あらゆる規模の企業にプラットフォームを提供し ビジネスを強力にサポートしてきました 11
セキュリティ管理 Okta は Amazon AWS のインフラを活用するだけでなく 以下のようなセキュリティ制御を付加しています Identity Cloud Amazon AWS Resources Okta は Identity as a service を中心に自社のサービスレイヤに対するセキュリティ制御を実装 Amazon AWS インフラのセキュリティを細やかに調整し その上に追加のセキュリティを実装 Amazon AWS は サービス基盤にセキュリティ管理 制御を実装 Okta は Identity as a service と AWS 上に拡張したセキュリティ機能を提供 Oktaは IaaSと AWS 上に拡張したセキュリティ機能を提供します ワークロードをAmazon AWS 上で実行 Amazon AWSのインフラとネイティブ セキュリティを活用 Amazon AWSのセキュリティを考慮した上で 追加のセキュリティ制御を調整 設定 IDaaSの要求に合わせて サービスレイヤーにも追加のセキュリティを実装し 安全で信頼性の高いサービスを提供 Okta と Amazon AWS が共同で運営しているインフラのセキュリティは 物理的セキュリティから コンピュータ ネッ トワーク ストレージの各レイヤーに及び さらには明確に定義されたセキュリティポリシーとアクセスポリシー そし て第三者による継続的な監査と認証によって補完されています 物理的セキュリティ Okta は 物理サーバへのアクセスに Amazon AWS の物理的セキュリティを利用しているほか Okta のオフィスでも物理 的セキュリティ管理を導入しています こうしたセキュリティ戦略では 物理的な脅威から保護するために サービスの 機密性や完全性 可用性を維持することを目的としています データセンター Amazon AWSのデータセンターは 外観上からはそれと分からない一般的な施設に収容されています その内部では専門のセキュリティスタッフが ビデオによる監視 最新の侵入検知システム その他のデジタル技術などを用いて アクセスを厳格に管理しています データセンターへのアクセスには多要素認証を使用しており 入場が許可されたスタッフのアクセスに関する情報は 記録され 定期的に監査されます データセンターおよび情報へのアクセスは 業務での取り扱いが必要で かつ正当な権限を持つ従業員および請負業者にのみ提供されます また 従業員の権限が不要になった場合は 仮にその従業員が引き続き Amazonの従業員であったとしても 迅速に権限が取り消されます さらに すべての訪問者や契約者は 入場する前に身分証明書を提示する必要があるほか 施設の内部では常にスタッフが付き添うなど 厳重なセキュリティ体制が敷かれています 12
セキュリティ管理 Okta のオフィスにおけるセキュリティ Okta では 自社のオフィスでも以下のようなセキュリティ管理を実施しています 従業員および訪問者の入場管理と監査証跡 すべての出入口のビデオ監視 倉庫 電源室 AC 室 搬入口などのセキュリティを強化するための境界線の設定 施設内に24 時間 365 日体制の警備員を配置 従業員のセキュリティに関する意識向上トレーニング 物理的セキュリティ対策の定期的なテストを実施 コンピュータ セキュリティ Okta は Amazon AWS の EC2(Elastic Cloud Compute) インスタンスと VPC(Virtual Private Cloud) インフラを組み合わ せることで 複合的な対策でセキュリティを確保しています 仮想インスタンスの OS またはゲスト OS ファイアウォールと署名付き API コール また インスタンスレベルで安全な隔離を行い Amazon AWS のアベイラビリティーゾーンを活用して サービスの可用性を高 めています インスタンスレベルのセキュリティ管理者が インスタンス管理用のホスト OSにアクセスするには 多要素認証が必要になります この管理ホストのシステムは クラウドのマネジメントプレーンを保護するために 特別な設計や構築 構成によって強化されています また すべてのアクセスが Oktaによって記録 監査されているほか Oktaの管理者によってロックダウンされ Oktaの管理者の完全な管理下にあるゲスト OS 環境に対して Amazon AWS はアクセス権を有していません さらに Oktaは アプリケーションに必要なポートのみを有効にするようファイアウォールを設定し それ以外のポートはすべて無効化します フロントエンドのアプリケーションコンポーネントのみがインターネットにアクセス可能です その他の Okta プロダクションインフラへのアクセスには VPN 接続が必要になります 信頼性を高めるための障害分離 Okta は Amazon の強みを生かし 複数の地域や複数のアベイラビリティーゾーンにインスタンスを配置することで 信頼性を向上させています それぞれのアベイラビリティゾーンは障害分離および 大都市圏 ( それぞれ異なる氾濫原と地震の安定した地域 ) に物理的分離されるよう設計されています Amazon Data Center controls のページでは AWS のアベイラビリティーゾーンに実装されているいくつかの障害分離制御について説明しています 13
セキュリティ管理 データ セキュリティ (Data-at-Rest Security) Oktaは お客様のデータが安全に利用できることを保証するために 複数の取り組みを行っています 下記の サービスレベル セキュリティ のセクションで詳述するように 顧客データとそのアクセスは Oktaのデータレイヤーにおいて顧客レベルで隔離されています 物理的にはデータは Amazon AWS のEBS(Elastic Block Storage) サービスを使って保存されており Oktaの回復ポイント目標 ( RPO) である 1 時間を達成するために EBS ボリュームのデータベーススナップショットが定期的にとられ Amazon AWS のS3ストレージサービスに保存されます S3へのアクセスは たとえ Amazon AWS 内であっても暗号化が必要であり データの安全な転送が保証されています AWS S3では バケットとオブジェクトの両方のレベルでアクセスを制限し Okta によって認可されたアクセスのみを許可しています 認可されたユーザの読み取り / 書き込み権限は バケットとオブジェクトのアクセス制御リスト (ACL) バケットポリシー およびIAM 由来のアクセス許可を組み合わせて管理されます その制御 監査は すべてのバケットレベルのアクセスと すべてのデータ検索オブジェクトレベルのアクセスを対象にしています さらにOkta は S3と VPCのトラフィックに疑わしい動きがないか ターゲットに着目した監視を行っており リアルタイムでOktaセキュリティチームにアラートが送られます ネットワークセキュリティ (Data-in-Transit Security) Amazon AWS のネットワークは 以下のようなネットワークセキュリティに関する課題に対応しています DDoS(Distributed Denial of Service) 攻撃 Amazon AWS のネットワークインフラには 世界最大級のオンライン小売業者を運営する中で培った 独自の DDoS 対策技術を活用しています さらに Amazon AWS のネットワークは インターネットアクセスの多様性を実現するために 複数のプロバイダーを横断してマルチホーミングされています MITM( マン イン ザ ミドル ) 攻撃 Amazon EC2の仮想マシン (VM) は 初回起動時に自動的に新しい SSHホスト証明書を生成し インスタンスのコンソールに記録します また Okta は安全なAPI を活用しており インスタンスに初めてログインする前には 必ずホスト証明書にアクセスします IP スプーフィング Oktaのサービスを実行するAmazon EC2 VMでは 偽装されたネットワークトラフィックを送信することができません Amazon AWSが制御するホストベースのファイアウォールインフラは インスタンスが自身以外のソース IPまたはMAC アドレスでトラフィックを送信することを許可せず 偽装されたネットワークトラフィックを遮断します ポートスキャン EC2の利用者に対する無許可のポートスキャンは Amazon EC2 Acceptable Use Policy (AUP) の違反となります AUPの違反は深刻に受け止められ 報告された違反はすべて調査されます 不正なポートスキャンは 検出され次第 即座に停止され ブロックされます また Amazon EC2インスタンスのポートスキャンは デフォルトですべてのインバウンドポートが閉じられているため 効果がありません 14
セキュリティ管理 外部テナントによるパケットスニッフィングプロミスキャスモードで動作している仮想インスタンスが 別の仮想インスタンスを対象としたトラフィックを受信したり スニッフィング したりすることはできません また 同じ物理ホスト上にある 2つの仮想インスタンスであっても 互いのトラフィックを閲覧することはできません ARP(Address Resolution Protocol) キャッシュポイズニングのような攻撃は Amazon EC2では機能しません Okta は Amazon AWS のネットワークセキュリティを このサービスのための独自なセキュリティ管理で補完します このセキュリティ管理 制御の内容については サービスレベル セキュリティ のセクションで詳細に説明しています 可用性とパフォーマンス監視 Oktaは各サーバのマシンヘルスメトリックを1 分間に2 回監視し 可用性を把握しています メトリックには ネットワーク接続性 CPU 使用率 メモリ使用率 ストレージ使用率 サービスステータス キーファイルの整合性などの項目が含まれます 障害が発生するとアラートが発生し 優先順位づけされたチャネルを通じてオペレーションスタッフに通知されます また Okta は ネットワークの遅延や データベースのクエリの遅延 ストレージの応答性など サーバやサービスごとのパフォーマンス指標の傾向データを収集しているほか アプリケーション全体のエンドツーエンドのシナリオについても追跡しています こうしたメトリックそれぞれに Oktaはしきい値を割り当て マシンヘルスの可用性監視と同じアラートメカニズムを使用しています そのほかOkta は アプリケーション内部のメトリックを収集するために ランタイム環境で計測機能を追加し運用しています さらに 内部のモニタリングを行うだけでなく リアルタイムおよび履歴データをtrust.okta.com の公開モニタリングおよびアラートシステムにおいて公開しています これについては サービスレベル セキュリティ のセクションで詳しく説明しています 人的セキュリティ セキュリティの原点は 人 にあります Okta では 採用前 採用後 在職中 退職後の従業員などに対して 厳密なセキュ リティ管理を実施し 機密保持に取り組んでいます 人的セキュリティへの取り組み 採用前 バックグラウンドチェック 在職中 意識向上トレーニング アクセスレビュー ソーシャルエンジニアリングテスト 採用後 機密情報および発明に関する契約 オンボード トレーニング 退職後 アクセス権の削除 契約義務の再確認 Okta の継続的な人的セキュリティへの取り組み 15
セキュリティ管理 Oktaの採用前採用前 すべての従業員や請負業者には 法律で認められている限りのバッグラウンドチェックを行っています バッグラウンドチェックでは 犯罪歴と財務歴の両方を調査し 上級財務職の場合は信用調査も行います 新入社員の推薦状については すべて慎重に精査しています 従業員と契約社員には それぞれの職務上の責任に加えて 運用ポリシーとセキュリティポリシー およびそれらを遵守しなかった場合の対応について周知徹底しています Okta のバックグラウンドチェックの手順とポリシーの有効性は SOC 2 Type II 保証報告書で第三者から保証されています その内容については NDA を締結したお客様のみ閲覧することができます Oktaの採用後 入社時すべての従業員と契約者は 採用時に以下のようなオンボーディングプロセスを遂行します 機密情報および発明に関する契約(PIIA) への署名 PIIAには Oktaの従業員または契約者としての守秘義務が記載されています 入社時のトレーニングとセキュリティ意識向上のためのトレーニング新入社員がOktaの従業員または請負業者としてのセキュリティ責任を理解するためのトレーニングを実施しています Oktaに所属している期間中 Okta では 従業員や契約者がデータ保護に関する責任を学ぶことを目的に 継続的なセキュリティ意識向上トレーニングを実施しています また Okta のセキュリティチームは 定期的なソーシャルエンジニアリングテストや啓蒙活動を通じて セキュリティに関する取り組みを企業文化として定着させています Okta を退職する場合 すべての従業員および契約者の退職時には 守秘義務に関する規則などを再度通知します ユーザアカウント パスワード ハードウェア バッジを期間内に失効させます 最小権限のアクセス ポリシー Okta では インフラ アプリケーションやデータなど すべてのアクセスを ビジネスや運用上の要件に基づいて制御する必要があります その制御では 職務の分離と最小権限の原則に従って コードの変更やメンテナンスを複数のチームに分けて行っています 具体的には オペレーションチームはコードのデプロイを含む本番環境のメンテナンスを担当し エンジニアリングチームは開発環境やテスト環境のみで機能やコードの開発を行います そのため コードを本番環境に実装するためには 複数のチームが必要となります いずれの場合も 管理者のアクセスは最小権限の概念に基づいており ユーザが職務を遂行するために必要な最小限の特権に制限されます 16
セキュリティ管理 ソフトウェア開発におけるセキュリティ Okta のソフトウェア開発ライフサイクルは ソフトウェアの機能を提供するとともに コード開発時のセキュリティリ スクの軽減にも配慮して設計されています Okta のアプリケーション開発は厳格なプロセスに従っており ソフトウェアのセキュリティ向上を担う非営利組織 Open Web Application Security Project が掲げるセキュリティ要求分析手法のCLASP(Comprehensive, Lightweight Application Security Process) のコンセプトに多くが準拠しています 機能要求 バグ コード強化は脅威モデルとリスク分析の処理に基づいて優先付けされます 開発されたコードは 最終的なコミットと品質保証 (QA) の検証の前に ピアレビューとセキュリティレビューが行われます また テストリリースには ユニットテストコードも必要になります そのほか Okta の品質保証チームは すべてのユニットテスト 回帰テスト パフォーマンステスト ストレステストなどの自動テスト およびWeb やモバイルアプリケーションのペネトレーションテストを実施しています なお 最適な結果を得るため ソフトウェア開発のセキュリティ管理は ソフトウェア開発前と開発中に実施されます 開発手法 Okta は継続的に開発者に安全な開発方法のトレーニングを行っています 標準的なセキュリティ人材向けのトレーニン グに加えて 以下のような取り組みを実施しています 新人エンジニアには オンボーディング トレーニングを義務付けています オンボーディング トレーニングでは アプリケーションセキュリティにおける知識の習得や実践方法について学びます 四半期ごとに セキュリティチームが技術トレーニングを実施します 技術トレーニングでは セキュリティの脆弱性について学習するほか アプリケーションの脆弱性に対する悪用の防止について学習します また トレーニングは録画され 参加できないエンジニアも後から視聴することができます Okta は エンジニアの継続的なトレーニングを通じて 以下のような潜在的攻撃に対して 適切なセキュリティ保護を 提供できるようになります 不正な入力 SQL インジェクション クロスサイトスクリプティング(XSS) クロスサイト リクエスト フォージェリ(CSRF) 認証およびセッション管理の不備 安全でない直接オブジェクト参照 セキュリティの設定不備 機密データの漏えい 上記以外のOpen Web Application Security Project Top が挙げる10 大脅威 (OWASP's Top 10) 17
セキュリティ管理 ソフトウェア開発のライフサイクル Okta のソフトウェア開発におけるライフサイクルは アジャイル / スクラム開発のフレームワークを活用した反復的な アプローチで開発を行っています 開発開始 開発開始 開発開始 スプリントプランニング スプリントプランニング スプリントプランニング デモ 1 2 3 開発デモ開発デモ 開発 テスト テスト テスト 次の開発 次の開発 次の開発 反復型のソフトウェア開発ライフサイクル 反復型のアプローチでは ソフトウェアの新しいバージョンを頻繁に かつ短いサイクルで作成します このプロセスでは 各段階を小さな反復で何度も実行しながらループしていきます ( アジャイル開発では このプロセスを スプリント と呼びます ) これにより 各リリースはそれまでの機能をもとにした増分となり ソフトウェアの品質を維持するため徹底的にテストを重ねます またアジャイル開発では 開発テストはプログラミングと同じイテレーションで行われ 一連の工程を短期間で繰り返していきます そのため ユーザはその新しいソフトウェアを頻繁に使用でき その価値を検証することができます Oktaはソフトウェア開発ライフサイクルのさまざまな段階にセキュリティ対策を組み込んでいます ビジネスの優先順位付けと計画 この段階では 製品管理者と技術管理者が新しいサービスの機能やコンポーネント 機能性について計画して優先順位を つけていきます ビジネス要件には 一般的に以下のようなことが定められます 関連する情報の価値 新たなサービスや そのサービスが保持する情報の重要性 システムが運用されるうえで 要求される法律 規制 および契約上の環境 セキュリティへの潜在的な影響があると判断した場合 製品管理およびエンジニアリング部門は セキュリティチームと協力して 新機能やコンポーネント サービスなどが情報を保持 処理するために遵守すべきセキュリティ要件やコンプライアンス要件を定めます このセキュリティ要件は 機能の設計 開発 テスト 展開 およびメンテナンスを通じて遵守され 実行されます 18
セキュリティ管理 システム設計 設計段階では 計画段階で設定されたセキュリティおよびコンプライアスの要件に対応する適切なセキュリティ制御 を提示する必要があります 開発開発段階では それぞれのエンジニアに安全な開発環境が提供されます そのなかには IT 部門が提供するノートPC の設定や 開発用のコーディング環境も含まれます 選定されたコーディング環境 言語 データベース ツール その他のコンポーネントに応じて 安全なコーディングとシステム構成のためのガイドラインが採用されます また エンジニアが統合ブランチにコードをマージする際には 他のエンジニアから必ずコードレビューを受けることが義務付けられており コードのコンプライアンスやセキュリティ パフォーマンス コーディングが論理的に正しいかが評価されます さらに セキュリティに影響がある場合には セキュリティチームも単体テストに参加し検証を行います さらにセキュリティチームは 今後リリースされるコードについて独自の評価を行い どの機能に重点的なレビューが必要かを決定します レビューの範囲は 自動コード解析から詳細な手動コードレビュー 侵入テストまで リスクに応じて多岐にわたります テスト ソフトウェアアプリケーションのライフサイクルでは ユニットテスト 機能テスト セキュリティテストなど さまざ まな形式のテストが行われます テストプロセスでは 以下をはじめとした 60,000 以上のテストを実施しています CI( 新しいコードを構築 テスト 実装するための継続的インテグレーション ) 複数の環境やブラウザでの計測テスト 単体テスト 機能テスト すべての変更に対するピアレビュー 四半期ごとのセキュリティレビュー この一連のテストには 保護されたテストデータのみが使用され お客様のデータは使用されません リリースコードフリーズした開発後には 毎週 次にリリースされるコードがコンパイルされるジョブが プレ本番環境で実行されます プロモーションされる各リリースの候補は プロキシ スキャナーを使って自動テストされます スキャナのプロファイルは OWASP 特有の攻撃など 特定の脅威をテストします この際 あらゆるアーティファクト ( 開発副産物 ) に対してもアンチウイルス スキャンが実行されます 自動テストの結果はレポートにまとめられ セキュリティチームのレビューを受けます また 自動テストで問題が見つかった際には 問題が解決されるまで セキュリティチームがリリースを保留にします 19
セキュリティ管理 サービスレベルのセキュリティ この項目では プラットフォームを保護するために Okta がサービスレベルで実装している制御の一部を紹介します サー ビスレベルのセキュリティは 以下に分類されます Oktaの暗号化アーキテクチャー テナントデータのセキュリティ テナントネットワークの分離とセキュリティ テナントパフォーマンスの分離 テナント機能の分離 Web アプリケーションのセキュリティ対策 サービスレベルの可用性とパフォーマンスの監視 Okta の暗号化アーキテクチャー Okta は マルチレイヤーの暗号化アーキテクチャーを使用して 静止状態および通信中のデータを保護します 2 テナント専用の非対称鍵で暗号化 / 署名されたアプリへのSSOとAPI 認可 サードパーティとカスタムアプリ 1 テナント.okta.com 3 機密データはテナント専用の対称型暗号で暗号化 ユーザデータベース 非対称鍵による 暗号化アクセス カスタムドメインと証明書のサポート 4 テナント専用のキーストアに格納されたSSOおよびデータキー キーストアデータベース テナント キーストアシンメトリックス 256-bit AES アンシンメトリックス 2048-bit RSA 5 キーストアとシークレットを別々のデータベースに格納 6 セレクトデータベース キーストアシークレットは高い可用性のために 複数の地域のKMSで安全に保管されると共に オフラインキーは非公開の施設で保管される サードパーティとカスタムアプリ Okta Identity Cloud Okta の暗号化アーキテクチャーとレイヤー 20
セキュリティ管理 複数のレイヤーで暗号化を行うアーキテクチャー 1 Okta へのアクセス Okta は サービスとユーザ間の通信を 強力なアルゴリズムと暗号鍵 (2048-bit RSA) を用いて HTTPS で暗号化しま す また テナントが独自のドメインや証明書を持ち込んでカスタマイズできるようにしています セキュリティ上のメリット 機密データを通信中に暗号化 接続にTLSv1.2などの強力な暗号化アルゴリズムを使用 お客様独自の証明書を持ち込むことが可能 2 アプリへのシングルサインオン (SSO) と API 認可 Oktaは SAML WS-Fedシングルサインオンのアサーションの署名および暗号化 OpenID Connect OAuth API トークンの署名に非対称暗号を使用しています SSOとAPI 認可で使用される鍵は 各テナント専用の2048ビット RSAです また Oktaでは SAMLアサーションやOAuthトークンの署名に利用する独自の鍵をインポートすることができます セキュリティ上のメリット シングルサインオン(SSO) のアサーションの署名と暗号化に対応 暗号化と署名には テナント専用の2048ビットRSA 鍵を使用 テナント専用の非対称鍵により 他のテナントの鍵が漏えいしてもSSOを安全に保つ テナントは サードパーティ製のアプリへのSSOやAPI 認可で使用する非対称鍵を独自のものに変更可能 3 テナントデータの保存 Okta は テナントの機密データをデータベース内で暗号化します 暗号化には テナントごとに専用の鍵を用い た対称型の 256 ビット AES を使用しています セキュリティ上のメリット 機密データの暗号化 強力な鍵を使用したSAMLおよびWS-Federationアサーションに署名と暗号化 テナント専用の対称鍵により データの分離を実現 4 テナントキーの格納 テナント専用の鍵はすべてテナント専用のキーストアに保存されます このキーストアには テナント専用の マスターキーがないとアクセスできません これにより テナント 1 つが侵害された際の被害が軽減されます 21
セキュリティ管理 セキュリティ上のメリット データやアサーションとともに テナントが使用する鍵も分離 複数のテナント専用鍵の保存に対応しており 用途に応じて使い分けることができ 目的に応じて使い分けが可能 テナントが使用する鍵は 一時的にメモリにキャッシュされ ディスクには保存されない 5 キースストアの保存と分離 テナント専用キーストアとそのマスターキーは それぞれ別のデータベースに保管されます セキュリティ上のメリット 保管場所を分離することで キーストアの機密性を向上 6 マスターキーの暗号化最高レベルの可用性と事業継続性を実現するため テナント専用のマスターキーは 3つの方法で暗号化されています 第一に テナント専用マスターキーの暗号化には KMS サービス ( Federal Information Processing Standards( FIPS)140-2 Level 2 ハードウェア暗号モジュール ) が用いられます KMSは テナント専用マスターキーの暗号化と復号化を 常に KMS 内に維持される強力な鍵 ( 4096ビットの RSA) を用いて行います 第二に テナント専用のマスターキーは 高い可用性を実現するために 2つ目の KMSサービスを使用して暗号化されます 2つの KMSへのアクセスは 最小限のサービスとユーザに限定して厳格に管理され 変更や削除ができないログとして記録されます 第三に テナント専用のマスターキーは 事業継続性を目的として 最も安全なリカバリーメカニズムを提供するために公開鍵で暗号化されます バックアップキーは すべての KMSサービスが停止した場合にのみ使用されるほか Oktaの従業員 2 名以上でなければアクセスできない安全な場所に保管されます そのため 一人の人物が証跡を残すことなく 顧客データにアクセスしたり 解読したりすることはできません セキュリティ上のメリット あらゆる人物は 詳細な監査証跡と厳格なセキュリティ対応をともなわずに顧客データの解読を行うことは不可能 マスターキーのローテーションが容易 鍵の使用状況についての記録は改変不可能 高可用性の維持 事業継続性の確保 このようなセキュリティに加えて Oktaはさらなる対策を講じています Oktaへのユーザアクセス およびサードパーティ アプリへの SSOやAPI 認証用の非対称鍵をお客様が変更できます テナントキーは一時的にメモリにキャッシュされ ディスクには保存されません 22
間セキュリティ管理 テナントデータのセキュリティ 暗号化アーキテクチャーのほか Okta は顧客のデータを保護するために以下のセキュリティコントロールを実装しています テナントデータの分離 Oktaは暗号化を利用して 顧客データを分離しています データストレージには対象暗号を用いて 転送データには非対称暗号 そしてキーストレージには分離されたデータベースと KMSを使用して論理的なデータ分割を行っています 機密性の高いデータの暗号化下流のアプリケーションへのプロビジョニングを実施するため 個人を特定できる機密性の高いデータをユニバーサル ディレクトリ内に保存するケースがあります Oktaの管理者は ユニバーサル ディレクトリを通じて暗号化したい特定の属性を選択することができます このデータはテナント専用の対称鍵で暗号化され Oktaの管理コンソールでは検索できません このように データの暗号化に加えて Oktaではアクセス時にテナントのデータを隔離するセキュリティフレームワークを使用しています パスワードの暗号化 Oktaは ユーザのパスワードを保護するために特別な制御を行っています ユーザは 次の2つの方法のいず れかでパスワードによる認証を行うことができます Okta のローカルパスワード 委任認証 ユーザが Oktaのローカルパスワードで認証する場合は 認証情報はOktaクラウドに保存されています Oktaはパスワードを保護するために 多いラウンド数で ソルトを付与した bcryptを使用しています レインボーテーブル攻撃やブルートフォース攻撃を受けやすい スピードを重視した他のハッシュアルゴリズムとは異なり bcryptは適応型関数であるため 計算能力の向上に応じてハッシュ関数を高め 低速にすることができます つまり bcryptはムーアの法則に簡単に対応することができるのです 暗号強度は ラウンド数 / 反復回数を増やすことで向上します MD5 一般的なハッシュアルゴリズムの暗号強度時RIPMD-160 SHA-256 SHA-512 SHA-3 WHIRLPOOL SCRIPT BCRYPT 23
セキュリティ管理 ユーザがActiveDirectory や LDAP サーバの認証情報を使ってOkta を認証する場合 認証情報は顧客のディレクトリ内に保持されています この認証モデルは委任認証と呼ばれます ユーザがサインインページでActiveDirectory または LDAP サーバの認証情報を入力すると Okta は認証をActiveDirectory またはLDAP に委任して検証します 委任認証が設定されると Okta のパスワードポリシーではなく ActiveDirectory またはLDAP からのパスワードポリシーが適用されることになります ユーザ TLS/HTTPS 認証成功 LDAP/ AD エージェント LDAP バインド 認証成功 LDAP/ ActiveDirectory サーバ Okta はエージェントを介してディレクトリに認証を委任 自社のサーバが認証を実施 クラウド 自社内 外部ディレクトリに対する委任認証の方法 Okta は ログインをさらに強化するために 多要素認証 (MFA) の設定と実施を推奨しており さまざまな MFA 要素 と適応型ポリシーをサポートしています Okta が提供する MFA 機能については サービスリソースのセクションで詳細 情報を掲載しています テナントネットワークの分離とセキュリティ Okta は お客様のトラフィックを保護するために 以下のような制御を行っています ネットワークの分離 アクセスや管理作業のための専用のサブドメインが付与されます アクセスサブドメイン https://{ 顧客名 }.okta.com システム管理サブドメイン https://{ 顧客名 }-admin.okta.com 独立したサブドメインを使用することで 以下のことが可能になります ログインページやエラーページのカスタマイズができるため 一貫したルック アンド フィールを与えられるとともに フィッ シング攻撃の軽減が可能です ネットワークルール ( ホワイトリスト / ブラックリスト ) CORS/ リダイレクトルール SSO アサーションの発行者 およびレー 24
セキュリティ管理 ト制限の分離が可能です クッキーの一意性を実現し 各テナントのサブドメインに そのサブドメインへのアクセスを制限する一意のクッキー を発行することができます カスタムドメインと証明書 さらに Okta ではお客様の契約内容に応じて 独自の URL ドメイン 電子メール送信者 HTTPS 証明書の導入が可能です これ らの機能を利用すれば ドメイン名を完全に分離できるほか 任意の認証局が発行した証明書の使用も可能になります セッションコンテキストの検証 Oktaは ユーザの コンテキスト に基づいてリクエストを検証するロジックを実装しています コンテキストとは 2 種類の一意の識別子およびセッションクッキーの機能を指します これにより クッキーによるセッション ハイジャックやリプレイ攻撃を防ぐことができます テナントパフォーマンスの分離テナントのパフォーマンス問題を解決するため Oktaではレートリミットを実装しています 各テナントには お客様の使用量を十分に満たすAPI コールのレート制限が設けられています API 制限は1 分ごとにリセットされます テナントがAPI 制限に達すると Okta はレート制限がリセットされるまで ( 最大 1 分 ) HTTP エラー 429-Too Many Requests を返します Oktaには APIエンドポイントごとに異なる API 制限が設けられているため ある APIが制限に達しても サービス内の他の機能が損なわれることはありません さらに Okta のサポートにリクエストすることで 一時的にAPI 制限を引き上げることも可能です レート制限に関する文書や手順へのリンクは サービスリソースの項目に記載しています テナント機能の分離 Oktaは ビジネスニーズの異なるさまざまなお客様にサービスをご提供しています そのため 個々のお客様が セキュリティ要件や期待するビジネス上の価値に基づいて機能が利用できなければなりません Oktaは お客様それぞれが最適な時期に機能を利用できるようにするために テナント機能の分離を行っています テナント機能の分離により お客様はテナント内で各機能を有効化することができます Okta には 3 種類の機能フラグが備わっています ベータフラグはOkta Preview([orgname].oktapreview.com) でのみ利用可能です ベータフラグの付いた機能が利用できるのは Okta ベータプログラムに加入しているお客様が対象です アーリーアクセスフラグ(EAフラグ) は Oktaプレビューと本番環境の両方で利用できます EAフラグの付いた機能は サポート経由またはFeature Manager を使用して有効化することができます 一般提供フラグ(GAフラグ) は Oktaのプレビュー環境と本番環境の両方で利用可能で デフォルトで有効化されています お客様のテナントに関する質問や 特定のフラグの有効化に関するご要望は サポート担当者にお問い合わせください 25
セキュリティ管理 Web アプリケーションのセキュリティ対策 Okta は ソフトウェアのライフサイクル全体 実行時の運用 およびモニタリングを制御するセキュリティ管理を実装 しています ユーザ DDoS 防御とサービスレベルの ブラックリスト化 <code> アプリケーション XSS XSRF および インジェクション攻撃の防御 XSS XSRF インジェクション 攻撃に対するコードの 開発とテスト ネットワークセキュリティ データ ネットワークセキュリティ データベースの堅牢化と 内部統制 Okta セキュリティチーム Okta セキュリティチームは 開発ライフサイクルとインフラを監視し 最新の状態でセキュリティ対策を行います Okta のセキュリティ責任共有モデル コード ソフトウェアの設計 開発 テスト 実装時に Okta がどのような Web アプリケーションのセキュリティの実装をするかについ ては ソフトウェア開発におけるセキュリティ セクションをご覧ください Okta へのアクセス Okta は IP ブラックリストやその他のセキュリティ制御を実装し グローバルレベルで DDoS 攻撃のリスクを軽減しています ま た Okta では お客様独自の IP ブラックリストルールも実施することができます 実行中のアプリケーションとデータベースの制御 Oktaは クロスサイトスクリプティング ( XSS) クロスサイトリクエストフォージェリ ( XSRF) インジェクション攻撃など アプリケーション攻撃のリスクを軽減するため 実行中におけるアプリケーションレベルでの制御を行います 具体的には クロスオリジンリソース共有 (CORS) やトラステッドオリジン セッションコンテキストなどの検証を実施しています XSSのリスクを軽減するため Oktaはユーザからの入力が適切なデータ型フォーマットに準拠しているか ( 例 : 日付の場合 日付フォーマットに準拠しているか ) スクリプト可能な HTMLタグを含まれていないか レンダリング前に潜在的なタグが取り除かれているかを検証します さらに すべての HTML 出力について ブラウザがスクリプトを処理しないようにエンコードされています また XSRFのリスクを軽減するため Oktaは最適かつ標準的な手法に基づいて POSTされたすべてのリクエストが Oktaに 26
セキュリティ管理 よって生成されたページから来ているかどうかを検証しています 具体的には サーバが生成したセキュアートークンがページに埋め込まれ そのページからの POSTのパラメータとして含まれる手法が採用されています このトークンは ユーザのセッションに固有のものであり サーバだけが解読できる形にハッシュ化されています サーバ側のインターセプターは 受信した POSTに このトークンが含まれていることが分かるリクエストパラメータがあるかどうかをチェックし 投稿先のセッションと一致していることを確認します さらにOktaは インジェクション攻撃のリスクを軽減させるため データの入力の制限と検証 および SQLクエリにバインド変数を使用してデータベースの正当性を保つフレームワークも実装されています バインド変数とは 実行時にアプリケーションから提供される値を挿入するための SQLコマンド内のプレースホルダーです パラメータやパラメータマーカーを使用して値を保持するため 値を文字列に連結してからクエリの一部として実行するよりも データベースを安全に守ることができます Oktaのセキュリティ担当者 Oktaのセキュリティ担当者は 開発ライフサイクルとインフラを積極的に監視し セキュリティ管理を最新の状態に保ちます 各段階でのセキュリティ担当者の作業については ソフトウェア開発におけるセキュリティ と セキュリティとペネトレーションテスト の項目で解説しています サービスレベルの可用性とパフォーマンスの監視 Okta は信頼性と透明性を重視しています そのため インフラレベルでの監視に加えて Okta Trust Site(trust.okta. com) による 透明性の高い監視 報告 インシデント対応システムを実装しています Okta Trust Site Okta Trust Site では Oktaおよびサードパーティのサービスの可用性に関するリアルタイムの情報を公開しており インシデント発生時には更新情報を提供しています ステータス情報は 見やすいダッシュボードデザインで提供されており インシデントのカテゴリーが明確であることに加えて インシデントの詳細情報が発生時に更新され 根本原因を分析したレポートにも素早くたどり着くことができます 27
セキュリティ管理 セキュリティとペネトレーションテスト セキュリティ戦略の一環として Okta は 4 つの異なるセキュリティおよびペネトレーションテストプログラムをサポー トしています 内部セキュリティと ペネトレーションテストテスト 第三者によるセキュリティと ペネトレーションテスト 4 お客様による ペネトレーションテスト バグバウンティ プログラム Okta のセキュリティとペネトレーションテストプログラム Okta のセキュリティとペネトレーションテストプログラム 社内のセキュリティとペネトレーションテスト Okta のセキュリティチーム Red Team が 最新の脅威に対するセキュリティを 継続的かつ定期的にテストしています 第三者によるセキュリティとペネトレーションテスト第三者のセキュリティ調査会社に依頼し 少なくとも年に一度 Okta サービスのグレーボックスペネトレーションテストを実施します このテストでは 調査会社が Okta のソースコードや専用の Okta インスタンスに完全にアクセスし テスト分析や脆弱性攻撃の作成を行うように構成されています バグバウンティプログラム( 公的なバグ報奨金制度 ) Okta は 主要なパブリックプラットフォームで 継続的に公的なバグ報奨金制度 ( バグバウンティプログラム ) を実施しています バグバウンティプログラムでは Oktaに対する外部からのペネトレーションテストが行われ セキュリティの脆弱性がトリアージされ 検証されます 脆弱性を発見した場合 プログラムの参加者はその重大性に比例した報酬を受け取ることができます プログラムの詳細には 以下のURLから確認することができます https://www.okta.com/bugbounty お客様によるペネトレーションテスト お客様は Okta と連携することで プレビュー インスタンス上で独自のペネトレーションテストを実施することが できます これらのプログラムは相互に補完し合い Okta はセキュリティテストのあり方を改善し続けます 28
セキュリティ管理 Okta ThreatInsight 前述のとおり OktaはDDoS 攻撃のリスクを軽減するために IPブラックリストやその他のセキュリティ管理を実装しています その1つが Okta ThreatInsightです Okta ThreatInsightは 1つ以上の組織でアカウントロックアウト攻撃 ブルートフォース攻撃 パスワードスプレー攻撃を引き起こした IPアドレスを集約します これにより Okta が悪意のある IPアドレスとして特定したもの以外の 疑わしいとは思われるものの 継続的に悪意のある活動をしていない IPアドレスからのアクセスを 監査 ブロックすることができます Okta ThreatInsightによって特定された IPからのログイン試行に対して 管理者は 何もしない アクセスを完全にブロックする IPアドレスの監査を行う を選択できます さらに Okta ThreatInsightは すべてのログインイベントの前に事前認証を行うため アカウントロックアウトの問題にも対応することができます アカウントロックアウトされる IP の例 以下に関与のある IP 金銭的な動機 による攻撃 フィッシング攻撃 インテリジェンスの取り込みと 脅威の発生源の特定 海外からの攻撃 クレデンシャルスタッフィング 攻撃 ブルートフォース攻撃 Identity Cloud ThreatInsight ソーシャル エンジニアリング 攻撃 スクリプトキディ パスワードスプレー攻撃 Okta ThreatInsight は サービスレベルで認証前に評価されます 29
コンプライアンス Compliance Okta のおかげで お客様のアイデンティティ管理 維 持をする必要がなくなり HIPAA への準拠が可能にな りました Rishu Tandon, Chief Technology Officer heal 社 CTO リッシュ タンドン氏 https://www.okta.com/customers/heal/ 30
コンプライアンス イントロダクション アイデンティティは業務の遂行に必要不可欠な要素であり Okta はアプリケーションやデータへのアクセス管理 保護 に大きな責任を負っています その責任を果たすために 私たちは以下の 2 点を順守しています 最も認知度の高い認証や規制への準拠を保証する お客様それぞれの業界におけるセキュリティ認証や規制への対応をサポートする Oktaが取得している認証 Okta のコンプライアンスプログラムは 業界標準の認証や認可に基づいて構築されています 最新のプログラムリストは以下の URLから確認できます https://trust.okta.com/compliance ISO 27001 : 2013 Okta は 2015 年 10 月から ISO 27001 : 2013 認証 ISO 27018 : 2019 準拠 2020 年 7 月から ISO 27017:2015 準拠を取得しており 情報技術システムを安全に管理する専門性を証明しています SOC 2 Type II 認証 Oktaは2012 年から毎年 AICPA SOC 2 Type IIの認証を受けており Oktaのサービスと会社の運用およびセキュリティプロセスの監査に成功しています お客様である Oktaの管理者は support.okta.com でSOC 2 Type II 監査報告書をご覧いただけます Cloud Security Alliance Security, Trust, & Assurance Registry (CSA STAR) クラウド上の機密データを保護する Oktaは 2017 年 6 月から認定されている Cloud Security Alliance (CSA) Security, Trust, & Assurance Registry (STAR) Level 2 Attestationによってさらに検証されています FedRAMP-Authority to Operate (ATO) Okta は 2017 年 4 月から FedRAMP(Federal Risk and Authorization Management Program ) の準 運用認定機関 ( ATO) で正式に認可されています FIPS Validated 140-2 Okta Verify は 2018 年 12 月以降 NISTの要件に基づき FIPS 140-2 Validated であり FedRAMP の使用と EPCS(Electronic Prescription of Controlled Substances) システムのために FIPS Validated MFAを必要とするHealthcare orgsに承認されています 31
コンプライアンス APEC PRP Okta のアジア太平洋経済協力 (APEC)PRP(Privacy Recognition for Processors) 認証は 2020 年 7 月から有効で アジア オーストラリア アメリカのデータ管理者のために国境を越えたデータ転送をサポートする能力を実証した少数の組織の中にOktaが入れられています Okta のコンプライアンスへの対応 上記の認証に加えて Okta Identity Cloud は以下の規制や認証の順守をサポートしています HIPAA Okta の HIPAA Compliant Service インスタンスは 規制が厳しく セキュリティ意識の高いヘルスケ ア業界のお客様にご利用いただいています PCI-DSS 3.2 OktaはPCI Attestation of Complianceを取得しており Okta MFA は現行のPCI-DSS 要件に準拠した多要素ソリューションとして認定されています これにより お客様は OktaをPCIコンプライアンスのサポートシステムとして使用することができます SOX 法対応 Oktaのツールは SOX 管理が確実に行われ 監査のための証跡管理が行えます Oktaにより IT 部門はすべてのアプリケーションのプロビジョニングとデプロビジョニングを単一の場所で行うことができます また パスワードの複雑さを要求したり シングルサインオンを提供することで 下流の監査を効率化することができます GDPR Okta のアイデンティティ アクセス管理は GDPR を順守のための強固な基盤を提供し リスクの軽減に貢献します Okta の GDPR に準拠したデータ保護規則 (DPA) の詳細は以下のサイトでご覧いただけます https://www.okta.com/gdpr NYDFS Okta のアイデンティティ アクセス管理は 常に進化し続けるニューヨーク金融サービス局のセキュ リティ規制で規定されているアクセス要件への対応に役立っています 32
資料 Resources Oktaの優れたサポートには本当に感心しています リクエストに対する返信は 1~2 時間以内に必ず返ってきます また 難しい問題であっても エンジニアはその問題を自分事として受け止め 解決にあたってくれます これは私たちにとって 非常に重要な要素です アフターフォローも申し分ありません Grant Holton Picard, Entaerprise Architect OXFAM 社エンタープライズ アーキテクトグラント ホルトン ピカール氏 https://www.okta.com/customers/oxfam/ 33
資料 セキュリティに関するドキュメント 最も認知度の高い認証や規制への準拠 https://help.okta.com/en/prod/content/topics/security/security_at_okta.htm ソリューションの概要 データ侵害を防ぐために https://www.okta.com/resources/whitepaper/protect-against-data-breaches セキュアでシームレスなカスタマーエクスペリエンスの実現 https://www.okta.com/resources/whitepaper/secure-customer-experience/ サプライヤーとパートナーのための AWS へのセキュアなアクセス https://www.okta.com/resources/whitepaper/solution-brief-secure-access-to-aws-for-suppliers-andpartners/ IT の煩雑さの軽減 アイデンティティ ライフサイクルの自動化による IT 運用の効率化 https://www.okta.com/resources/whitepaper/okta-solution-briefs-reduce-it-friction/ エンタープライズ IT のモダン化 https://www.okta.com/resources/whitepaper/modernize-enterprise-it/ クラウドおよびモバイル IT によるインフラの構築 https://www.okta.com/resources/whitepaper/solution-brief-build-100-cloud-mobile-infrastructure/ M&A のためのアジリティの向上 https://www.okta.com/resources/whitepaper/increasing-ma-agility/ Okta のセキュリティと可用性 Okta でゼロトラストを実現 どこからでも安全にアクセスできる最新のアプローチ https://www.okta.com/resources/whitepaper/zero-trust-with-okta-modern-approach-tosecure-access クラウドサービスはすべて同じ ではないー Okta の高可用性アーキテクチャ https://www.okta.com/resources/whitepaper/not-all-cloud-services-are-built-alike Okta の 500 億ユーザまでの拡張性 https://www.okta.com/resources/whitepaper/scaling-okta-to-50-billion-users プライバシーポリシー https://customer.okta.com/privacy 34
資料 ユニバーサルディレクトリとライフサイクルマネジメント ライフサイクルマネジメントのビジョンと概要 https://www.okta.com/resources/whitepaper/okta-lifecycle-management-vision-and-overview/ ディレクトリの統合 アーキテクチャの概要 https://www.okta.com/resources/whitepaper/ad-architecture/ HR ドリブンな IT プロビジョニング https://www.okta.com/resources/whitepaper/olm-technical-whitepaper-hr-driven-it-provisioning アイデンティティオーケストレーションによるサービスデリバリーと自動化の実現 https://www.okta.com/resources/whitepaper/how-identity-orchestration-transforms-servicedelivery-and-automation/ 多要素認証 ( MFA) ユーザ名とパスワードからの脱却 -Okta Adaptive MFA White Paper https://www.okta.com/resources/whitepaper/adaptive-mfa/ 境界の外 で働くためのセキュリティ https://www.okta.com/resources/whitepaper/security-built-to-work-outside-the-perimeter MFA への切り替えを行う前に考慮すべき 7 つのこと https://www.okta.com/resources/whitepaper/7-things-to-consider-mfa 多要素認証導入ガイド https://www.okta.com/resources/whitepaper/multi-factor-authentication-deployment-guide 多要素認証による VPN の保護 https://www.okta.com/resources/whitepaper/securing-vpn-with-multi-factor-authentication シングルサインオン ( SSO) と統合 Okta はどのようにアプリケーションを統合するか - アーキテクチャの概要 https://www.okta.com/resources/whitepaper/how-okta-integrates-applications-architectural-overview ユーザアイデンティティとアクセス管理 政府の IT 近代化への架け橋 https://www.okta.com/resources/whitepaper/user-identity-and-access-management-government-it-modernization/ マイクロソフトのお客様が Okta のアイデンティティを選ぶ 6 つの理由 https://www.okta.com/resources/whitepaper/six-reasons-microsoft-customers-choose-okta-for-identity 35
資料 セキュリティ インシデント レスポンスの自動化 https://www.okta.com/resources/whitepaper/okta-security-infrastructure-to-automate-incident-response クレデンシャル フィッシングに関する 4 つの神話 https://www.okta.com/resources/whitepaper/four-myths-about-credential-phishing-you-cant-ignore コンプライアンスと規制 NNYDFS のサイバーセキュリティ規制について金融機関が知っておくべきこと https://www.okta.com/resources/whitepaper/need-to-know-nydfs 最新の NIST ガイドラインへの対応 https://www.okta.com/resources/whitepaper/meeting-the-latest-nist-guidelines-with-okta アイデンティティ & アクセス管理で NYDFS の要件を満たすには https://www.okta.com/resources/whitepaper/how-to-meet-nydfs-mandates-with-iam GDPR への準備するときに知っておくべきこと https://www.okta.com/resources/whitepaper/preparing-for-gdpr 出版物 刊行物 API セキュリティ開発者チームによる API の構築とセキュリティ確保のためのガイド https://developer.okta.com/books/api-security/ OAuth 2.0 Simplified OAuth 2.0 サーバ構築のためのガイド https://www.amazon.com/dp/1387130102/ref=cm_sw_r_cp_ep_dp_wosgbbeg187v4 https://www.oauth.com サードパーティについて AWS セキュリティ入門 https://d1.awsstatic.com/whitepapers/security/intro_to_aws_security.pdf AWS データセンターの制御とグローバルインフラ https://aws.amazon.com/compliance/data-center/controls/ https://aws.amazon.com/about-aws/global-infrastructure/ AWS KMS ホワイトペーパー Okta が採用している暗号化セキュリティ詳細 https://d0.awsstatic.com/whitepapers/kms-cryptographic-details.pdf AWS Artifact: AWS のコンプライアンス (SOC 2 レポート ) のための資料 https://aws.amazon.com/artifact 36
おわりに おわりに Conclusion アイデンティティには 最高レベルの機密性や完全性 可用性が求められおり 最新のテクノロジーサービスにおいても必要不可欠な要素となっています さらに現在の環境では 誰もがあらゆる技術に安全に接続する必要があるため 多層的で継続的に進化するセキュリティモデルにおけるアイデンティティの役割が ますます重要になっています お客様の成功こそがOkta のビジネスにおける核心です そのために Okta は脅威となる人物の一歩先を行くためのたゆまぬ努力を続け 常にセキュリティ機能の向上を目指しています このホワイトペーパーは セキュリティ責任共有モデルや Okta が提供するコントロールについての見解を示すとともに お客様のセキュリティ責任についての認識を高めるものです 当社はお客様のパートナーであることを誇りに思うとともに この専門知識が価値あるものになることを心から願っています Okta CSO デビッド ブラッドベリー 37