Google Cloud Well-Architected Framework のセキュリティの柱におけるこの原則は、Cloud Deploy の規制、コンプライアンス、プライバシー要件を特定して満たすうえで役立ちます。これらの要件は、Google Cloudのワークロードに使用する必要があるセキュリティ管理について、必要な意思決定に影響します。
原則の概要
規制、コンプライアンス、プライバシーのニーズに対応することは、すべての企業にとって避けられない課題です。クラウドの規制要件は、次のような要因によって異なります。
- 組織の物理的な場所に適用される法律および規制
- ユーザーのお客様の物理的な場所に適用される法律および規制
- 業界の規制要件
プライバシーに関する規則では、ユーザーデータの取得、処理、保存、管理の方法が定義されています。ユーザーから受け取ったデータを含め、データはお客様が所有します。そのため、Cookie の管理、セッション管理、ユーザー権限の取得など、多くのプライバシー管理はお客様の責任です。
この原則を実装するための推奨事項は、次のセクションにグループ化されています。
組織のリスクに対処するための推奨事項
このセクションでは、組織のリスクを特定して対処するための推奨事項について説明します。
組織におけるリスクを特定する
この推奨事項は、クラウドのガバナンス、リスク、コンプライアンスという重点分野に関連しています。
Google Cloudでリソースを作成してデプロイする前に、リスク評価を完了します。この評価では、内部セキュリティ要件と外部の規制要件を満たすために必要なセキュリティ機能を特定する必要があります。
リスク評価は、組織固有のリスクのカタログを提供し、セキュリティ上の脅威の検出と対処に関する組織の能力を示します。リスク分析は、デプロイ直後と、ビジネスニーズ、規制要件、組織に対する脅威に変更があった場合に実施する必要があります。
安全性を重視した設計を実装する原則で説明したように、クラウド環境におけるセキュリティ リスクはオンプレミスのリスクとは異なります。この違いは、クラウドの責任の共有モデルによるもので、サービス（IaaS、PaaS、SaaS）と使用状況によって異なります。Cloud Controls Matrix（CCM）などのクラウド固有のリスク評価フレームワークを使用します。OWASP アプリケーションの脅威モデリングなどの脅威モデリングを使用して、脆弱性を特定して対処します。リスク評価に関する専門的なサポートについては、Google アカウント担当者にお問い合わせいただくか、 Google Cloudのパートナー ディレクトリをご覧ください。
リスクをカタログ化したら、どのようにリスクに対処するか（リスクを受け入れる、回避する、移転する、軽減する）を決定する必要があります。実装可能な緩和策については、次のセクションのリスクの軽減をご覧ください。
リスクを軽減する
この推奨事項は、クラウドのガバナンス、リスク、コンプライアンスという重点分野に関連しています。
新しいパブリック クラウド サービスを導入する際は、技術的なコントロール、契約による保護、サードパーティの検証または証明を使用することで、リスクを軽減できます。
技術的なコントロール。環境の保護に使用する機能とテクノロジーのことです。これには、ファイアウォールやロギングなどのクラウド セキュリティ コントロールが組み込まれています。技術的なコントロールには、セキュリティ戦略を強化またはサポートするサードパーティ ツールの使用も含まれます。技術的なコントロールには次の 2 つのカテゴリがあります。
- Google Cloudのセキュリティ管理を実装すると、環境に適用されるリスクを軽減できます。たとえば、Cloud VPN と Cloud Interconnect を使用して、オンプレミス ネットワークとクラウド ネットワーク間の接続を保護できます。
- Google では、堅牢な内部管理と監査を実施して、インサイダーによるアクセスからお客様のデータを保護しています。Google の監査ログにより、 Google Cloudでの Google 管理者アクセスのログがほぼリアルタイムで提供されます。
契約による保護とは、Google Cloud サービスに関して Google が行う法律上のコミットメントのことです。Google Cloud は、コンプライアンス ポートフォリオの維持と拡大に取り組んでいます。Cloud のデータ処理に関する追加条項（CDPA）には、お客様のデータの処理とセキュリティに関する Google の取り組みが記載されています。CDPA では、Google サポート エンジニアによるお客様の環境へのアクセスを制限するアクセス制御の概要と、厳格なロギングと承認プロセスについても説明しています。 Google Cloudの契約管理について、法的および規制の専門家に相談して、要件を満たしていることを確認することをおすすめします。詳しくは、テクニカル アカウント担当者にお問い合わせください。
第三者による検証または証明とは、クラウド プロバイダがコンプライアンス要件を満たしていることをサードパーティ ベンダーに監査してもらうことです。たとえば、ISO/IEC 27017 ガイドラインに関する Google Cloud 認証については、ISO/IEC 27017 - コンプライアンスをご覧ください。現在の Google Cloud 認定資格と証明書を確認するには、コンプライアンス リソース センターをご覧ください。
規制要件とコンプライアンス要件に対応するための推奨事項
一般的なコンプライアンスの取り組みには、評価、ギャップの修復、継続的なモニタリングの 3 つのステージがあります。このセクションでは、各ステージで使用できる推奨事項について説明します。
コンプライアンスのニーズを評価する
この推奨事項は、クラウドのガバナンス、リスク、コンプライアンスという重点分野に関連しています。
コンプライアンス評価は、すべての規制義務と、それが企業でどのように実装されているかを徹底的に確認することから始まります。 Google Cloud サービスの評価に役立つよう、コンプライアンス リソース センターを使用します。このサイトでは、次のことについて説明します。
- さまざまな規制に対応するサービス サポート
- Google Cloud の認定資格と証明書
Google のコンプライアンス ライフサイクルと要件の遵守について理解を深めるには、営業担当者にお問い合わせのうえ、Google コンプライアンス スペシャリストのサポートを依頼してください。または、Google Cloud アカウント マネージャーに連絡して、コンプライアンス ワークショップをリクエストすることもできます。
Google Cloud ワークロードのセキュリティとコンプライアンスの管理に使用できるツールとリソースの詳細については、クラウドでのコンプライアンスの確保をご覧ください。
コンプライアンス要件の実装を自動化する
この推奨事項は、クラウドのガバナンス、リスク、コンプライアンスという重点分野に関連しています。
変化し続ける規制を遵守し続けるために、コンプライアンス要件の実装方法を自動化できるかどうかを判断します。 Google Cloud が提供するコンプライアンス重視の機能と、特定のコンプライアンス体制に推奨される構成を使用するブループリントの両方を使用できます。
Assured Workloads は、 Google Cloud 内の制御に基づいて構築されており、コンプライアンス義務の遵守を支援します。Assured Workloads では次のことができます。
- コンプライアンス レジームを選択する。このツールは、選択したレジームのベースライン担当者のアクセス制御を自動的に設定します。
- 組織のポリシーを使用してデータのロケーションを設定し、保存データとリソースがそのリージョンにのみ保持されるようにする。
- セキュリティとコンプライアンスの要件に最適な鍵管理オプション（鍵のローテーション期間など）を選択する。
- FedRAMP Moderate などの特定の規制要件を満たすために、Google サポート担当者のアクセス基準を選択します。たとえば、Google サポート担当者が適切なバックグラウンド チェックを完了しているかどうかを選択できます。
- FIPS-140-2 に準拠し、FedRAMP Moderate への準拠をサポートする Google-owned and Google-managed encryption keys を使用します。制御レイヤの追加と職掌分散のため、顧客管理の暗号鍵（CMEK）を使用します。鍵の詳細については、保存データと転送データの暗号化をご覧ください。
Assured Workloads に加えて、コンプライアンス レジームに関連する Google Cloudブループリントを使用できます。これらのブループリントを変更して、セキュリティ ポリシーをインフラストラクチャのデプロイに組み込むことができます。
コンプライアンス要件をサポートする環境を構築できるように、Google のブループリントとソリューション ガイドには、推奨される構成と Terraform モジュールが記載されています。次の表に、セキュリティとコンプライアンス要件への対応を説明するブループリントを示します。
| 要件 | ブループリントとソリューション ガイド |
|---|---|
| FedRAMP | |
| HIPAA |
コンプライアンスをモニタリングする
この推奨事項は、次の重点分野に関連しています。
- クラウドのガバナンス、リスク、コンプライアンス
- ロギング、モニタリング、監査
ほとんどの規制では、アクセス関連のアクティビティを含む特定のアクティビティをモニタリングする必要があります。モニタリングのために、次の項目を使用できます。
- アクセスの透明性: Google Cloud 管理者がコンテンツにアクセスした際に、準リアルタイムのログを表示します。
- ファイアウォール ルールロギング。ご自分で作成したルールに従って VPC ネットワーク内の TCP 接続と UDP 接続を記録します。これらのログは、ネットワーク アクセスを監査する場合や、ネットワークが承認されていない方法で使用されていることを早期に警告する場合に活用できます。
- VPC フローログ: VM インスタンスによって送受信されたネットワーク トラフィック フローを記録します。
- Security Command Center Premium: さまざまな標準への準拠をモニタリングします。
- OSSEC（または別のオープンソース ツール）: 環境に対する管理者権限がある個人のアクティビティをログに記録します。
- Key Access Justifications: 鍵アクセス リクエストの理由を表示します。
- Security Command Center の通知: コンプライアンス違反の問題が発生したときにアラートを受け取ります。たとえば、ユーザーが 2 段階認証プロセスを無効にした場合や、サービス アカウントに過剰な権限が付与されている場合にアラートを受け取ります。特定の通知に対して自動修復を設定することもできます。
データ主権を管理するための推奨事項
この推奨事項は、クラウドのガバナンス、リスク、コンプライアンスという重点分野に関連しています。
データ主権は、Google がユーザーのデータにアクセスできないようにするメカニズムを提供します。アクセスを承認するのは、ユーザーによる同意が必要なプロバイダの動作に限られます。たとえば、次の方法でデータ主権を管理できます。
- 暗号鍵をクラウド外で保存および管理します。
- 詳細なアクセス理由に基づいて、これらの鍵にアクセス権を付与します。
- Confidential Computing を使用して使用中のデータを保護します。
運用主権を管理する
この推奨事項は、クラウドのガバナンス、リスク、コンプライアンスという重点分野に関連しています。
運用主権は、Google の従業員がユーザーのワークロードを侵害できないことを保証します。たとえば、次の方法で運用主権を管理できます。
- 特定のプロバイダ リージョンに、新しいリソースのデプロイ先を制限します。
- 市民権や地理的位置など、事前定義された属性に基づいて Google の従業員によるアクセスを制限します。
ソフトウェア主権を管理する
この推奨事項は、クラウドのガバナンス、リスク、コンプライアンスという重点分野に関連しています。
ソフトウェア主権は、ワークロードの可用性を制御し、任意の場所で実行できることを保証します。また、単一のクラウド プロバイダに依存したり、ロックインされたりすることなく、この制御を行うことができます。ソフトウェア主権には、ワークロードのデプロイ先や外部接続の許可レベルを即座に変更する必要が生じるイベントに対処できることが含まれています。
たとえば、ソフトウェア主権の管理を支援するために、 Google Cloudはハイブリッド デプロイとマルチクラウド デプロイをサポートしています。データ主権を理由にオンプレミス デプロイを選択する場合、Google Distributed Cloud は、 Google Cloud をデータセンターに導入するハードウェアとソフトウェアの組み合わせです。
プライバシー要件に対応するための推奨事項
Google Cloud には、次に挙げるようなプライバシーを改善する管理の仕組みが含まれています。
- デフォルトでの全データの暗号化（保存時、転送中、処理中）。
- インサイダー アクセスに対する保護対策。
- 多数のプライバシー規制への対応。
次の推奨事項は、実装可能な追加のコントロールに関するものです。詳しくは、プライバシー リソース センターをご覧ください。
データ所在地を制御する
この推奨事項は、クラウドのガバナンス、リスク、コンプライアンスという重点分野に関連しています。
データ所在地は、データが保存される場所を表します。データ所在地の要件は、システム設計の目標、業界の規制に関する懸念、国内法、税務上の影響、さらには文化によって異なります。
データ所在地の制御を開始する手順は次のとおりです。
- データの種類と場所を把握する。
- データに存在するリスクと適用される法規制を把握します。
- データの保存場所や保存先を管理する。
データ所在地の要件を遵守するため、 Google Cloud ではデータの保存場所、アクセス方法、処理方法を制御できます。リソース ロケーション ポリシーを使用して、リソースを作成する場所と、リージョン間でデータをレプリケートする場所を制限できます。リソースのロケーション プロパティを使用して、サービスのデプロイ先とメンテナンスを行うユーザーを特定できます。サポート情報については、リソース ロケーションのサポート対象サービスをご覧ください。
機密データを分類する
この推奨事項は、データ セキュリティという重点分野に関連しています。
どのデータが機密であるかを定義し、その機密データを適切に保護する必要があります。機密データには、クレジット カード番号、住所、電話番号、その他の個人情報（PII）などが含まれる場合があります。Sensitive Data Protectionを使用すると、適切な分類を設定できます。そうすると、 Google Cloudにデータを保存する前に、タグ付けおよびトークン化ができるようになります。さらに、Knowledge Catalog には、メタデータを保存、管理、アクセスするためのプラットフォームを提供するカタログ サービスが用意されています。データの分類と匿名化の詳細と例については、Sensitive Data Protection を使用した PII の匿名化と再識別をご覧ください。
機密データへのアクセスを禁止する
この推奨事項は、次の重点分野に関連しています。
- データ セキュリティ
- Identity and Access Management
VPC Service Controls を使用して、センシティブ データを独自のサービス境界に配置します。VPC Service Controls を使用すると、Google マネージド サービスから不正なデータ転送やコピー（データの引き出し）が行われるリスクを軽減できます。VPC Service Controls を使用すると、Google マネージド サービスのリソースにセキュリティ境界を構成し、境界をまたがるデータの移動を制御できます。データの Google Identity and Access Management（IAM）アクセス制御を設定します。センシティブ データへのアクセスを必要とするユーザー全員向けに多要素認証（MFA）を構成します。