Azure のデータ セキュリティと暗号化のベスト プラクティス

この記事では、データ セキュリティと暗号化のベスト プラクティスについて説明します。

ベストプラクティスは合意に基づいており、現在のAzureプラットフォームの機能や機能セットに対応しています。 意見やテクノロジは時間の経過と同時に変化します。 Microsoftはこれらの変更を反映するためにこの記事を定期的に更新しています。

この記事は、すべての段階で保護を必要とする重要な柱の 1 つとしてデータを扱う Microsoft の ゼロ トラスト セキュリティ モデルに合わせて説明します。 Azure Policy の適用に関する規範的なセキュリティ制御については、「 Microsoft Cloud Security Benchmark v2 - Data Protection」を参照してください。

データの保護

クラウド上のデータを保護するために、データが発生する可能性のある状態や、その状態に対して利用可能なコントロールを考慮しましょう。 Azure のデータ セキュリティと暗号化のベスト プラクティスは、次のデータの状態に関連しています。

  • 保存時: ストレージ オブジェクト、コンテナー、データなど、物理メディア (磁気ディスクまたは光学ディスク) に静的な状態で存在しているすべての情報が含まれます。
  • 転送中: コンポーネント、場所、またはプログラムの間でデータが転送されるとき、データは転送中になります。 例としては、ネットワーク上での転送、サービスバス(オンプレミスからクラウドへの転送、ExpressRouteのようなハイブリッド接続を含む)や、入出力プロセス中の転送などがあります。
  • 利用例:データ処理時には、AMDやIntelのチップセットベースの機密コンピューティングVMがハードウェア管理キーを用いてデータをメモリ上で暗号化します。

キー管理ソリューションを選択する

キーの保護は、クラウドでのデータ保護に不可欠です。

AzureはHSMを使って暗号鍵を保護するための複数のサービスを提供しています。 これらのオファリングは、クラウドのスケーラビリティと可用性を提供しながら、キーを完全に制御できます。 これらのキー管理オファリングの中から選択する方法の詳細とガイダンスについては、「 適切な Azure キー管理ソリューションを選択する方法」を参照してください。 保存中のデータの暗号化用キーの管理には、Azure Key Vault Premium または Azure Key Vault Managed HSM を使用します。

セキュリティ保護されたワークステーションを利用して管理する

Note

サブスクリプション管理者または所有者にはセキュアアクセスワークステーションまたは特権アクセスワークステーションを使用してください。

ほとんどの攻撃はエンド ユーザーを標的としているため、エンドポイントが主要な攻撃目標の 1 つとなっています。 エンドポイントをセキュリティ侵害する攻撃者は、ユーザーの資格情報を悪用して組織のデータにアクセスする可能性があります。 ほとんどのエンドポイント攻撃は、ユーザーがローカル ワークステーションの管理者であるという事実を悪用しています。

  • セキュリティで保護された管理ワークステーションを使用して機密性の高いアカウント、タスク、データを保護する: 特権アクセス ワークステーション を使用して、ワークステーションの攻撃対象領域を減らします。 このようなセキュリティで保護された管理ワークステーションを使用することで、攻撃を受ける可能性を減らし、データの安全性を高めることができます。

  • エンドポイント保護の確保:データの場所(クラウドかオンプレミスか)に関わらず、データを消費するすべてのデバイスに対してセキュリティポリシーを強制します。

保存データの保護

データ プライバシー、コンプライアンス、データ主権を確保するうえで、保存データの暗号化は欠かせません。

  • ホストで暗号化を適用してデータを保護する: ホストでの暗号化の使用 - VM のエンドツーエンドの暗号化。 ホストでの暗号化は、Azure Disk Storageのサーバー側暗号化を強化する仮想マシンオプションで、すべての一時ディスクやディスクキャッシュがレスト時に暗号化され、ストレージクラスターにフロー暗号化されることを保証します。

Azure Storage や Azure SQL Database などのほとんどの Azure サービスでは、既定で保存データが暗号化されます。 Azure Key Vaultを使って、データにアクセスし暗号化する鍵の管理を維持しましょう。 詳細については、Azureリソースプロバイダーの暗号化モデルサポートをご覧ください。

  • 暗号化を使用して、未承認のデータ アクセスに関連するリスクを軽減する: 機密データを書き込む前にサービスを暗号化します。

  • キーローテーションの動作を理解する: キー暗号化キー (KEK) をローテーションすると、サービスはデータ暗号化キー (DEK) を新しいキー バージョンで再ラップします。 基礎となるデータ自体は再暗号化されていません。 再折り返しが完了するまで、古いキーバージョンと新しいキーバージョンの両方を有効にしておく必要があります。 詳細については、「 Azure Key Vault でキーの自動ローテーションを構成する」を参照してください。

  • 疑わしい鍵の漏洩にはまずローテーションで対応する:顧客管理の鍵が漏洩している疑いがある場合は、新しい鍵にローテーションし、従属サービスを再設定してから古い鍵を無効化または削除してください。 鍵を無効化または削除すると、依存するサービスは即座にオフラインになりますが、データの暗号化鍵を再暗号化することはありません。 鍵は漏洩した鍵暗号鍵によって復号されるリスクを残しています。 完全なインシデント対応手順については、 バックアップのセキュリティに関する考慮事項を参照してください。

  • 鍵ラッピングにRSA-OAEP-256を使う:Microsoftは顧客管理鍵のラッピングアルゴリズムとしてRSA-OAEP-256を推奨しています。 -256サフィックスのない RSA-OAEP はSHA-1を使用し、レガシーです。

データ暗号化を強制しない組織は、データの機密性問題にさらされやすいです。 企業はまた、業界規制に準拠するために適切なセキュリティ管理を徹底的に行い、データセキュリティを強化していることを証明しなければなりません。

転送中のデータを保護する

輸送中のデータの保護をデータ保護戦略の重要な一部にしましょう。 データは多くの場所から往復するため、SSL/TLSプロトコルを使って異なる場所間でデータをやり取りします。 状況によっては、オンプレミスとクラウド インフラストラクチャ間の通信チャネル全体を、VPN を使用して隔離する必要があります。

オンプレミス インフラストラクチャと Azure 間のデータ移動に対して、HTTPS や VPN などの適切なセキュリティ対策を検討してください。 暗号化されたトラフィックを Azure 仮想ネットワークとオンプレミスの場所の間でパブリック インターネット上で送信する場合は、Azure VPN Gateway を使用してください。

以下のベストプラクティスはAzure VPN Gateway、SSL/TLS、HTTPSに適用されます。

  • オンプレミスにある複数のワークステーションから Azure 仮想ネットワークへのアクセスをセキュリティで保護する: サイト間 VPN を使用します。

  • オンプレミスにある個々のワークステーションから Azure 仮想ネットワークへのセキュリティで保護されたアクセス: ポイント対サイト VPN を使用します。

  • 大規模なデータ セットを専用の高速 WAN リンク経由で移動する: ExpressRoute を使用します。 ExpressRouteを使う場合は、SSL/TLSなどのプロトコルを使ってアプリケーションレベルでデータを暗号化することも可能です。

  • Azureポータルを通じてAzure Storageとやり取りする:すべてのトランザクションはHTTPSを使用します。 また、HTTPS 経由で Storage REST API を使用して Azure Storage を操作することもできます。

転送中のデータを保護できない組織は、中間者攻撃、盗聴、セッションハイジャックにより脆弱です。 このような攻撃は、機密データへのアクセスを取得するための最初の手順として実行される場合があります。

使用中のデータを保護する

信頼の必要性を減らす

クラウド上でワークロードを運用するには信頼が必要です。 この信頼を、アプリケーションの異なる部分をサポートするさまざまなプロバイダーに委ねます。

  • アプリソフトウェアベンダー:オンプレミスでの展開、オープンソースソフトウェアの使用、社内アプリケーションソフトウェアの構築など、ソフトウェアを信頼しましょう。
  • ハードウェア ベンダー: オンプレミスのハードウェアまたは社内ハードウェアを使用することで、ハードウェアを信頼します。
  • インフラストラクチャ プロバイダー: クラウド プロバイダーを信頼するか、独自のオンプレミスのデータ センターを管理します。

攻撃対象面を減らす

信頼コンピューティングベース(TCB)とは、安全な環境を提供するシステムのハードウェア、ファームウェア、ソフトウェアコンポーネントすべてを指します。 TCB内の部品は「クリティカル」です。TCB内の1つのコンポーネントが侵害されると、システム全体のセキュリティが危険にさらされる可能性があります。 TCB が低いほど、セキュリティが高いことを意味します。 さまざまな脆弱性、マルウェア、攻撃、および悪意のある人物にさらされるリスクが低下します。

Azure のコンフィデンシャル コンピューティングは、次の場合に役立ちます。

  • 未承認のアクセスを禁止する: 機密データをクラウドで実行します。 Azureは現行のプロセスからほとんど変更を加えず、最高のデータ保護を提供していることを信頼してください。
  • 規制遵守の遵守:クラウドに移行し、個人データの保護と組織知的財産の安全確保に関する政府規制を満たすためにデータの完全な管理を維持しましょう。
  • 安全で信頼できないコラボレーションの確保:組織間、さらには競合他社間でデータを統合することで、業界全体のコラボレーション課題に取り組み、幅広いデータ分析とより深い洞察を引き出しましょう。
  • 処理を分離する: ブラインド処理によるプライベート データへの負担を除去する新しい機能の製品を提供します。 サービスプロバイダーはユーザーデータを取得できません。

詳細については、 機密コンピューティングを参照してください。

電子メール、ドキュメント、および機微なデータをセキュリティで保護する

社外で共有する電子メール、ドキュメント、おおび機微なデータを管理してセキュリティで保護できます。 Azure Information Protection は、組織がドキュメントと電子メールを分類、ラベル付け、保護するのに役立つクラウドベースのソリューションです。 管理者はデータを自動分類するためのルールや条件を定義でき、ユーザーは手動でデータを分類でき、または推奨を受けることができます。

この分類は、データがどこに保存されているか、誰と共有されているかに関わらず、常に識別可能です。 ラベルには、ヘッダー、フッター、透かしなどの視覚的なマーキングが含まれます。 ファイルと電子メールのヘッダーには、クリア テキストでメタデータが追加されます。 クリア テキストは、データ損失を防ぐソリューションなどの他のサービスが分類を識別し、適切なアクションを実行できることを保証します。

保護テクノロジは、Azure Rights Management (Azure RMS) を使用しています。 この技術は、Microsoft 365やMicrosoft Entra IDなど、他のMicrosoftクラウドサービスやアプリケーションと統合されます。 この保護テクノロジでは、暗号化、ID、および承認ポリシーが使用されます。 Azure RMSを通じて適用される保護は、組織内外、ネットワーク、ファイルサーバー、アプリケーションなど、場所に関係なく文書やメールに残ります。

この情報保護ソリューションは、データが他のユーザーと共有されている場合でも、お客様によるデータの制御を維持します。 Azure RMS は、お客様の基幹業務アプリケーションと ソフトウェア ベンダーの情報保護ソリューションと共に使用することもできます。これらのアプリケーションとソリューションはオンプレミスであってもクラウド内にあってもかまいません。

この手順に従います:

  • 組織に Azure Information Protection をデプロイする。
  • ビジネス要件を反映しているラベルを適用する。 例えば、極秘データを含むすべての文書やメールに「 highly confidential 」というラベルを付けて、これらのデータを分類・保護します。 このデータには、あなたが指定した制限のもと、認可されたユーザーのみがアクセスできます。
  • Azure RMS の使用状況ログを構成して、組織が保護サービスをどのように使用しているかを監視できるようにします。

データ分類やファイル保護が不十分な組織は、データ漏洩やデータ誤用のリスクが高くなる可能性があります。 適切なファイル保護を行えば、データフローを分析してビジネスの洞察を得たり、リスクのある行動を検出したり、是正措置を講じたり、ドキュメントへのアクセスを追跡したりできます。

次のステップ

  • Last updated on