Azure での顧客データの保護
Microsoft の運用担当者が顧客データに定期的にアクセスする操作は、既定で拒否される設定になっています。 サポート ケースに関連するデータへのアクセス権が許可されるとき、そのアクセス権は、Microsoft のコンプライアンス ポリシーとプライバシー ポリシーに照らして監査および吟味されたポリシーを使用する Just-In-Time (JIT) モデルを使用して許可されるのみです。 アクセス制御の要件は、次のような Azure セキュリティ ポリシーによって確立されています。
- 既定では、顧客データへのアクセス権はない。
- お客様の仮想マシン (VM) に関するユーザー アカウントまたは管理者アカウントはない。
- タスク (監査とログ アクセスの要求) を完了するために必要な最低限の特権を付与する。
Azure のサポート担当者には、Microsoft によって一意の Corporate Active Directory アカウントが割り当てられます。 Azure は、重要な情報システムへのアクセスを制御するために、Microsoft Information Technology (MSIT) によって管理されている Microsoft Corporate Active Directory に依存しています。 多要素認証が必要であり、アクセスは安全なコンソールからのみ許可されます。
データ保護
Azure では、既定およびお客様のオプションの両方で、堅牢なデータ セキュリティをお客様に提供します。
データの分離: Azure はマルチテナント サービスです。つまり、複数の顧客の展開と VM が同じ物理ハードウェアに保存されます。 Azure は、顧客データを他の顧客データから分離するために、論理的な隔離を実施します。 分離は、お役様による互いのデータへのアクセスを厳格に防止しながら、マルチテナント サービスのスケールと経済的メリットを提供します。
保存時のデータ保護: お客様は、Azure に格納されているデータが、標準に準拠して暗号化されていることを保証する責任があります。 Azure では、さまざまな暗号化機能を用意しているため、お客様のニーズに最適なソリューションを柔軟に選択できます。 お客様は、Azure Key Vault を使用することにより、クラウド アプリケーションおよびサービスでデータの暗号化のために使用される鍵を簡単に管理できます。 お客さまは、Azure Disk Encryption を使用することによって、VM を暗号化できます。 Azure Storage Service Encryption を使用することで、お客様のストレージ アカウントに配置されるすべてのデータを暗号化できます。
転送中のデータ保護: Microsoft では、Azure ネットワーク内を内部で転送中、またはインターネットを経由してエンド ユーザーの元に外部で転送中のデータをセキュリティで保護するために顧客が利用できる多くのオプションを提供しています。 それらには、仮想プライベート ネットワーク (IPsec/IKE 暗号化を活用)、トランスポート層セキュリティ (TLS) 1.2 以降 (Application Gateway や Azure Front Door などの Azure コンポーネント経由で)、Azure 仮想マシン上に直接配置されるプロトコル (Windows IPsec や SMB など) などがあります。
また、顧客データの機密性と整合性を確保するため、Azure データ センター間を移動するあらゆる Azure トラフィックに対して、MACsec (データリンク層の IEEE 標準) を使用した "既定の暗号化" が有効になっています。
データの冗長性: Microsoft は、データセンターへのサイバー攻撃や物理的損傷がある場合に、データが確実に保護されるように支援します。 お客様には、次の選択肢があります。
- コンプライアンスまたは待機時間に関する考慮事項に対応するための国内およびリージョンのストレージ。
- セキュリティまたはディザスター リカバリーを目的とした国外およびリージョンのストレージ。
データは、冗長性のために選択した地域内では複製できますが、地域を超えて転送することはできません。 お客様には、コピーの数、複製するデータセンターの数と場所など、データを複製するための複数のオプションがあります。
ストレージ アカウントを作成するときは、次のレプリケーション オプションのいずれかを選択します。
- ローカル冗長ストレージ (LRS) : ローカル冗長ストレージでは、データのコピーが 3 つ保持されます。 LRS は、1 つのリージョンの 1 つの施設内で 3 回複製されます。 LRS では、データは通常のハードウェア障害から保護されますが、1 つの施設の障害からは保護されません。
- ゾーン冗長ストレージ (ZRS) : ゾーン冗長ストレージでは、データのコピーが 3 つ保持されます。 ZRS は 2 ～ 3 の施設間で 3 回複製され、LRS よりも高い持続性を提供します。 レプリケーションは、単一のリージョン内または 2 つのリージョン間で発生します。 ZRS は、1 つのリージョン内のデータの持続性が確保されることを支援します。
- geo 冗長ストレージ (GRS) :geo 冗長ストレージは、ストレージ アカウントの作成時に、そのアカウントに対して既定で有効になっています。 GRS では、データのコピーが 6 つ保持されます。 GRS を使用すると、データがプライマリ リージョン内で 3 回複製されます。 また、プライマリ リージョンから数百マイル離れたセカンダリ リージョンでも、データは 3 回複製されます。そのため、最も優れたレベルの持続性が実現されます。 プライマリ リージョンで障害が発生すると、Azure Storage はセカンダリ リージョンにフェールオーバーします。 GRS は、2 つのリージョン内のデータの持続性を確保することを支援します。
データの破壊: 顧客がデータを削除するか、Azure を使用しなくなったとき、Microsoft は厳格な基準に従って、使用停止になったハードウェアのデータの削除と物理的な破壊を行います。 Microsoft では、お客様の要求時と契約終了時に完全なデータの削除を実行します。 詳細については、「Microsoft でのデータ管理」を参照してください。
顧客データの所有権
お客様が Azure にデプロイするアプリケーションを Microsoft が検査、承認、または監視することはありません。 さらに、お客様が Azure に保管することを選択したデータの種類を、Microsoft では把握していません。 Microsoft は、Azure に入力された顧客の情報に対して、データの所有権を主張しません。
レコードの管理
Azure は、バックエンド データの内部レコード保有期間の要件を確立しています。 お客様には、独自のレコード保持の要件を特定する責任があります。 Azure に格納されているレコードに対しては、お客様には、データを抽出して、お客様が指定した保持期間の間、Azure の外部にコンテンツを保持する責任があります。
Azure では、お客様は、データをエクスポートして製品からのレポートを監査できます。 エクスポート結果は、お客様が定義する保持期間の間、情報を保持するために、ローカルに保存されます。
電子情報開示 (E-Discovery)
Azure のお客様は、Azure サービスの使用において電子情報開示の要件に準拠する責任があります。 Azure のお客様が、顧客データを保存する必要がある場合、データをローカルにエクスポートしてデータを保存できます。 さらに、お客様は、Azure カスタマー サポート部門からのデータのエクスポートを要求できます。 お客様によるデータのエクスポートを許可するだけでなく、Azure では、詳細なログ記録と監視を内部的に実施します。
次のステップ
Microsoft が提供する Azure アーキテクチャの保護の詳細については、以下を参照してください。