概要
公共安全機関と司法機関は、社会の安全を守り、犯罪を減らし、市民への対応を改善する必要に迫られています。 クラウド コンピューティングは、法執行機関が業務に取り組む方法を変革しています。 これは、インテリジェントな警察意識向上システム、国/地域全体のボディ カメラ システム、および警察の日常的な現場対応業務コラボレーションを支援しています。
クラウド サービスが適切に計画され、保護されている場合、クラウド サービスは、公共安全機関と司法機関に強力な新機能を提供できます。 これらの機能には、デジタル証拠管理、データ分析、リアルタイムの意思決定支援が含まれます。 ソリューションは、最新のモバイル デバイスで配信できます。 しかし、すべてのクラウド プロバイダーで同等のサービスが受けられるわけではありません。 法執行機関がクラウドを導入するような場合は、信頼できるクラウド サービス プロバイダーが必要です。 法執行機関の主な任務を遂行するうえでは、セキュリティ、コンプライアンス、および運用上の幅広いニーズを満たすために尽力するパートナーが求められます。
Microsoft は、デバイスからクラウドに至るまで、すべての環境でプライバシーと情報セキュリティを最優先事項とし、一方で現場の警察官や警察署全体の生産性向上を実現します。 公共安全機関と司法機関は、安全性の高いモバイル デバイスと、クラウドへの "いつでも、どこでも" アクセスを組み合わせることができます。 そうすることで、進行中の調査に貢献し、データを分析し、証拠を管理し、市民を脅威から守ることができます。
Microsoft は、Criminal Justice Information Services (CJIS) コンプライアンスをチェック ボックスではなく、責任として扱います。 Microsoft では、現在および将来にわたって、該当する CJIS セキュリティ制御を満たすソリューションを提供することに取り組んでいます。 さらに、私たちは以下を通じて公共安全と司法への取り組みを拡大します。
刑事司法情報サービス(CJIS)
Criminal Justice Information Services (CJIS) Division of the US Federal Bureau of Investigation (FBI) は、州、地方、連邦の法執行機関および刑事司法機関に、指紋記録や犯罪記録などの刑事司法情報 (CJI) へのアクセスを許可しています。 米国の法執行機関およびその他の政府機関は、CJI の送信、保存、または処理のためのクラウド サービスの使用が、CJI を保護するための最小限のセキュリティ要件と制御を確立する CJIS セキュリティ ポリシーに準拠していることを確認する必要があります。
Azure および CJIS セキュリティ ポリシー
適用される CJIS 規制制御を満たすという Microsoft の取り組みは、刑事司法組織がクラウドベースのソリューションを実装する際に CJIS セキュリティ ポリシーに準拠するのに役立ちます。 CJIS に対する Azure のサポートの詳細については、「Azure CJIS コンプライアンス認証」を参照してください。
この記事の残りの部分では、Azure クラウド サービスに格納される CJI または Azure クラウド サービスで処理される CJI を保護するために使用できるテクノロジについて説明します。 これらのテクノロジは、お客様が担当する CJI に対する単独の制御を確立するのに役立ちます。
注
適用されるすべての法律および規制を確実に遵守することは、利用者がすべての責任を負います。 この記事に記載されている情報は法的な助言を構成するものではないため、規制コンプライアンスに関する質問については、法律顧問にご相談ください。
顧客データの場所
Microsoft は、クラウド サービスのデータ所在地と転送ポリシーに関して、お客様に強力な献身を提供します。 ほとんどの Azure サービスのデプロイは地域固有であり、たとえば、米国など、サービスをデプロイする地域を特定できます。 この取り組みにより、米国地域に格納されている顧客データは、米国にとどまり、米国以外の地域に移されることはありません。
テナントの分離
Azure は、人工知能、機械学習、IoT サービス、ビッグ データ分析、インテリジェント エッジなど、最新のクラウド イノベーションを組み込んだ機能豊富な環境へのアクセスを提供するハイパースケール パブリック マルチテナント クラウド サービス プラットフォームであり、効率を高め、運用とパフォーマンスに関する分析情報を引き出すのに役立ちます。
マルチテナント クラウド プラットフォームとは、お客様の複数のアプリケーションやデータが同じ物理ハードウェアに格納されることを意味します。 Azure では、論理分離を使用して、お使いのアプリケーションとデータをその他のお客様から分離します。 このアプローチにより、マルチテナント クラウド サービスの拡張性と経済的なメリットが得られると同時に、厳格に他の顧客がデータやアプリケーションにアクセスするのを防止します。
Azure は、共通の原則セットを使用して、マルチテナントで暗号学的に確実で論理的に分離されたクラウド サービスを保証するための信頼できる基盤を提供することで、リソース共有の認識されるリスクに対処します。
- 認証と ID の分離によるユーザー アクセス制御
- 処理のためのコンピューティングの分離
- 転送中のデータの暗号化を含むネットワークの分離
- 保存時のデータ暗号化によるストレージの分離
- 論理的に分離されたサービスを正しく開発するためのサービス設計に組み込まれたセキュリティ保証プロセス
論理的計算分離は、ハイパーバイザー分離、ドローブリッジ分離、ユーザーコンテキストベースの分離によって実装されています。 論理的コンピューティングの分離とは別に、Azure では、ワークロードに専用の物理サーバーが必要な場合に、物理的コンピューティングの分離も提供します。 たとえば、物理的コンピューティングの分離が必要な場合は、1 人の顧客専用のサーバー ハードウェアにデプロイされる Azure Dedicated Host または Isolated Virtual Machines を使用できます。 詳細については、「安全な分離に関する Azure ガイダンス」を参照してください。
データの暗号化
Azure には、さまざまな暗号化モデルを含むデータ暗号化を使用してデータを保護する広範なサポートがあります。
- サービスマネージド キー、Azure のカスタマー マネージド キー (CMK)、または顧客が管理するハードウェアの CMK を使用するサーバー側暗号化。
- オンプレミスまたは別のセキュリティで保護された場所にキーを管理および格納できるクライアント側の暗号化。
データ暗号化は、暗号化キー アクセスに直接関連付けられている分離保証を提供します。 Azure ではデータ暗号化に強力な暗号が使用されるため、暗号化キーにアクセスできるエンティティのみがデータにアクセスできます。 暗号化キーを取り消すか削除すると、対応するデータにアクセスできなくなります。 Azure サービスに格納されている機密性の高い顧客データのセキュリティを強化する必要がある場合は、Azure Key Vault を制御する独自の暗号化キーを使用して暗号化できます。
FIPS 140 検証済み暗号化
Federal Information Processing Standard (FIPS) 140 は、情報技術の製品やシステムに含まれる暗号モジュールに関して最低限のセキュリティ要件を規定する米国政府の標準です。 Microsoft は、FIPS 140 の要件を満たすために積極的に取り組んでおり、2001 年の規格制定以来、暗号化モジュールを検証しています。 Microsoft は、US National Institute of Standards and Technology (NIST) Cryptographic Module Validation Program (CMVP) の下、その暗号化モジュールを検証しています。 多くのクラウド サービスを含む複数の Microsoft 製品では、これらの暗号化モジュールが使用されています。
現在の CMVP FIPS 140 実装ガイダンスでは、クラウド サービスの FIPS 140 検証は除外されていますが、クラウド サービス プロバイダーは、クラウド サービスを構成するコンピューティング要素に対して FIPS 140 検証済みの暗号化モジュールを取得して運用できます。 Azureはハードウェア、市販のオペレーティングシステム(LinuxおよびWindows)、そしてAzure専用バージョンのWindowsを組み合わせて構築されています。 Microsoftセキュリティ開発ライフサイクル(SDL)を通じて、すべてのAzureサービスはFIPS 140承認アルゴリズムを使用してデータセキュリティを用いています。これは、オペレーティングシステムがハイパースケールで運用されているためです。 対応する暗号化モジュールは、Microsoft Windows FIPS 検証プログラムの一環として、FIPS 140 で検証されています。 さらに、独自の暗号化キーやその他のシークレットを、ユーザーの制御化で FIPS 140 検証済みのハードウェア セキュリティ モジュール (HSM) に格納できます (カスタマー マネージド キーとも呼ばれます)。
暗号化キーの管理
データセキュリティには、暗号化キーの適切な保護と管理が不可欠です。 Azure Key Vault は、シークレットを安全に格納および管理するためのクラウド サービスです。 Key Vault を使用すると、FIPS 140 検証済みのハードウェア セキュリティ モジュール (HSM) に暗号化キーを格納できます。 詳細については、「データ暗号化キー管理」を参照してください。
Key Vault を使用すると、HSM で暗号化キーをインポートまたは生成できます。これにより、Bring Your Own Key (BYOK) シナリオをサポートするためにキーが HSM の保護境界線外に出ることがなくなります。 Key Vault の HSM の内部で生成されたキーはエクスポートできません。HSM の外部にクリアテキスト バージョンのキーは存在できません。 このバインディングは、基になる HSM によって適用されます。 Azure Key Vault は、Microsoft とそのエージェントが暗号化キーを表示または抽出しないように設計、デプロイ、運用されています。 詳細については、「Azure Key Vault がキーを保護する方法」を参照してください。したがって、Azure Key Vault HSM に格納されている CMK を使用する場合は、暗号化キーの所有権を実質的に単独で保持できます。
転送中のデータの暗号化
Azure には、転送中のデータを暗号化するためのオプションが多数用意されています。 転送中のデータ暗号化は、ネットワーク トラフィックを他のトラフィックから分離し、傍受からデータを保護するのに役立ちます。 詳細については、「 転送中のデータ暗号化」を参照してください。
保存データの暗号化
Azure には、Microsoft が管理 する暗号化 キーとカスタマー マネージド暗号化キーの両方を使用して、データを保護し、コンプライアンスのニーズを満たすために役立つ保存データを暗号化するための広範なオプションが用意されています。 このプロセスは、セキュリティで保護されたキー アクセスと一元化されたキー管理を確保するために、Azure Key Vault や Microsoft Entra ID などの複数の暗号化キーとサービスに依存します。 Azure Storage 暗号化と Azure Disk 暗号化の詳細については、「 保存データの暗号化」を参照してください。
Azure SQL Database の既定では、保存時に Transparent Data Encryption (TDE) が使用されます。 TDE により、データ ファイルとログ ファイルのリアルタイムの暗号化と復号化の操作が実行されます。 データベース暗号化キー (DEK) は、回復の間に使用できるよう、データベース ブート レコードに格納される対称キーです。 サーバーのマスターデータベースに保存された証明書か、Azure Key Vaultに管理されているTDE Protectorという非対称鍵によって保護されています。 Key Vault は、Bring Your Own Key (BYOK) をサポートします。これにより、Key Vault に TDE Protector を格納し、キーのローテーション、アクセス許可、キーの削除、TDE Protector の監査、報告の有効化をはじめとするキー管理タスクを制御できます。 キーは、Key Vault で生成するか、インポートするか、オンプレミスの HSM デバイスから Key Vault に転送することができます。 また、Azure SQL Database の Always Encrypted 機能を使用することもできます。これは、アプリケーション内のデータを暗号化し、 暗号化キーをデータベース エンジンに公開することがなく、機密データを保護するために特別に設計されています。 この方法では、Always Encrypted では、データを所有しているユーザー (およびデータを表示できるユーザー) と、データを管理する (ただしアクセス権を持たない) ユーザーの間で分離が提供されます。
使用中のデータ暗号化
Microsoft では、保存中、転送中、使用中など、ライフサイクル全体にわたってデータを保護できます。 Azure コンフィデンシャル コンピューティング は、使用中のデータの暗号化を提供する一連のデータ セキュリティ機能です。 この方法により、データが暗号化されていない状態 (メモリ内での効率的なデータ処理に必要) である場合、エンクレーブとも呼ばれるハードウェアベースの高信頼実行環境 (TEE) で、データが保護されます。
Intel Software Guard Extensions (Intel SGX) や AMD Secure Encrypted Virtualization (SEV-SNP) などのテクノロジは、コンフィデンシャル コンピューティングの実装をサポートする最近の CPU の機能強化です。 これらのテクノロジは仮想化拡張機能として設計されており、メモリの暗号化と整合性、CPU 状態の機密性と整合性、構成証明などの機能セットを提供します。 詳細については、「Azure confidential computing」に関するドキュメントを参照してください。
多要素認証 (MFA)
CJIS セキュリティ ポリシー v5.9.2 では、CJI 保護の多要素認証 (MFA) 要件が変更されました。 MFA では、次のように定義される 2 つ以上の異なる要素を使用する必要があります。
- ユーザーが知っている情報 (ユーザー名/パスワードや個人識別番号 (PIN) など)
- ユーザーが持っているもの。たとえば、保存している暗号化キーなどのハード トークンまたは特殊なハードウェア デバイスに送信されるワンタイム パスワード (OTP)
- 身体的特徴。生体情報など
CJIS セキュリティ ポリシーによると、組織ユーザーの本人確認と認証には、CJI アクセス制御要件の一部として、権限アカウントと非権限アカウントへの MFA が必要です。 MFA は、National Institute of Standards and Technology (NIST) SP 800-63Digital Identity Guidelines で説明されているように Authenticator Assurance Level 2 (AAL2) で必要です。 AAL2 で動作する Authenticator と検証ツールは、FIPS 140 レベル 1 の要件を満たすように検証される必要があります。
Microsoft Authenticator アプリは、Microsoft Entra アカウントに、高度なセキュリティを提供します。 Android と iOS を実行している携帯電話で利用できます。 Microsoft Authenticator アプリを使用すると、CJIS セキュリティ ポリシー MFA 要件を満たすために、MFA シナリオの二次検証を提供できます。 前述のように、CJIS セキュリティ ポリシーの場合、ハード トークンのソリューションは、FIPS 140 レベル 1 で検証された暗号化モジュールの使用が義務付けられています。 「Microsoft Entra ID の認証方法 - Microsoft Authenticator アプリ」で説明されているように、Microsoft Authenticator アプリは、すべての Microsoft Entra 認証の FIPS 140 レベル 1 検証要件を満たしています。 Microsoft Authenticator の FIPS 140 コンプライアンスは、現在 iOS で実施されており、Android では対応中です。
さらに、Azure は、最高の Authenticator Assurance Level 3 (AAL3) をサポートすることで、CJIS セキュリティ ポリシー MFA 要件を満たし、それを超えるようにサポートします。 NIST SP 800-63B セクション 4.3 によると、AAL3 で使用される多要素認証システムは、全体的に FIPS 140 レベル 2 で検証されたハードウェア暗号化モジュールに依存し、物理セキュリティについては少なくとも FIPS 140 レベル 3 であり、これは、CJIS セキュリティ ポリシー MFA 要件を超えています。 AAL3 の検証ツールは、FIPS 140 レベル 1 以上で検証される必要があります。
Microsoft Entra ID は、Authenticator と検証ツールの両方の NIST SP 800-63B AAL3 要件をサポートしています。
- Authenticator の要件: FIDO2 セキュリティキー、スマートカード、Windows Hello for Business は、基になる FIPS 140 検証要件を含む AAL3 要件を満たすのに役立ちます。 NIST SP 800-63B AAL3 の Microsoft Entra ID サポートは、CJIS セキュリティ ポリシー MFA 要件を超えています。
- 検証ツールの要件: Microsoft Entra ID は、認証関連のすべての暗号化操作に、Windows FIPS 140 レベル 1 の総合的に検証された暗号化モジュールを使用します。 そのため、これは FIPS-140 に準拠した検証ツールです。
詳細については、「Azure NIST SP 800-63 のドキュメント」を参照してください。
インサイダー アクセスの制限
Insider の脅威は、システムとデータへのバックドア接続とクラウド サービス プロバイダー (CSP) 特権管理者アクセスを提供する可能性があると特徴付けられます。 Microsoft がデータへのインサイダー アクセスを制限する方法の詳細については、「 インサイダー アクセスの制限」を参照してください。
Azure リソースを監視する
Azure には、プロビジョニングされた Azure リソースに関する詳細な分析情報を取得し、アプリケーションやデータを対象とした外部攻撃を含む疑わしいアクティビティに関するアラートを受け取るために使用できる重要なサービスが用意されています。 これらのサービスの詳細については、「Azure リソースの顧客監視」を参照してください。