データ暗号化に関するレコメンデーション
適用されるのは Power Platform Well-Architected Securityチェックリストの推奨事項です:
| セ:06 | 最新の業界標準の方法を使用してデータを暗号化し、機密性と整合性を保護します。 暗号化の範囲をデータ分類に合わせて、ネイティブ プラットフォームの暗号化方法を優先します。 |
|---|
データが保護されていない場合、悪意を持って変更される可能性があり、整合性や機密性が失われる可能性があります。
このガイドでは、データの暗号化と保護に関する推奨事項について説明します。 暗号化は、暗号化アルゴリズムを使用して データを読み取り不能にし、キーでデータをロックする プロセスです。 暗号化された状態では、データを解読することはできません。 暗号化キーとペアになっているキーを使用しないと復号化できません。
定義
| 条件 | Definition |
|---|---|
| 証明書 | 暗号化または復号化のための公開キーを保持するデジタル ファイル。 |
| 解読 | 暗号化されたデータを秘密コードでロック解除するプロセス。 |
| 暗号化 | データを読み取り不能にし、シークレット コードでロックするプロセス。 |
| キー | 暗号化されたデータをロックまたはロック解除するために使用されるシークレット コード。 |
主要な設計戦略
組織の義務または規制要件により、暗号化メカニズムが強制される場合があります。 たとえば、データは選択された領域にのみ残され、データのコピーはその領域に保持される必要があるという要件がある場合があります。
これらの要件は、多くの場合、最低限の要件となります。 より高いレベルの保護を目指します。 外部ユーザーデータであれ、従業員データであれ、機密情報の漏洩や機密データの改ざんを防止する 責任はあなたにあります。
データは組織にとって最も貴重でかけがえのない資産であり、暗号化は多層的なデータセキュリティ戦略における最後にして最強の防御線として機能します。 Microsoft ビジネス クラウド サービスと製品は暗号化を使用して顧客データを保護し、顧客データに対する制御を維持できるようにします。
暗号化シナリオ
暗号化メカニズムでは、次の 3 段階でデータを保護する必要があると考えられます。
保存データ とは、ストレージ オブジェクトに保存されているすべての情報です。 デフォルトでは、 Microsoft は、 Microsoft 管理キーを使用して環境のデータベース暗号化キーを保存および管理します。 ただし、Power Platform は追加されたデータ保護規則用の 顧客管理の暗号化キー (CMK) を提供し、データベース暗号化キーを自己管理できます。
処理中のデータ とは、対話型シナリオの一部として使用されているデータ、または更新などのバックグラウンド プロセスがアクセスしているデータです。 Power Platform は、処理中のデータを 1 つ以上のサービス ワークロードのメモリ空間にロードします。 ワークロードの機能を容易にするために、メモリに保存されているデータは暗号化されません。
転送中のデータ とは、コンポーネント、場所、またはプログラム間で転送される情報です。 Azureは、ユーザー デバイスとデータ センター間、およびデータ センター内で、TransportレイヤーSecurity (TLS) などの業界標準のトランスポート プロトコルを使用します。 Microsoft
ネイティブ暗号化メカニズム
デフォルトでは、 Microsoft は、 Microsoft 管理キーを使用して環境のデータベース暗号化キーを保存および管理します。 ただし、Power Platform は追加されたデータ保護規則用の顧客管理の暗号化キー (CMK) を提供し、データベース暗号化キーを自己管理できます。 暗号化キーは独自の Azure Key Vault に存在するため、必要に応じて暗号化キーを交換したり入れ替えたりできます。 また、いつでも当社のサービスへのキーアクセスを取り消すことで、 Microsoftによる顧客データへのアクセスを防ぐこともできます。
暗号化キー
デフォルトでは、 Power Platform サービスは Microsoft管理された暗号化キーを使用してデータを暗号化および復号化します。 キー管理は Azure が担当します。
顧客管理キー を選択することもできます。 Power Platform は引き続きキーを使用しますが、キーの操作には責任を負います。
Power Platform の促進
次のセクションでは、データの暗号化に使用できる Power Platform 機能について説明します。
カスタマー マネージド キー
に保存されているすべての顧客データは、デフォルトで強力に管理された暗号化キーを使用して暗号化されます。 Power Platform Microsoft データを保護し、独自のキーを管理するためのデータ プライバシーとコンプライアンスの要件がある組織は、顧客管理のキー機能を使用できます。 顧客管理キーは、自分の Dataverse 環境とデータに関連付けられたデータ暗号化キーを自己管理することで、追加のデータ保護を提供します。 この機能を使用すると、必要に応じて暗号化キーをローテーションまたは交換できます。 また、サービスからキーを取り消したときに、データにアクセスできなくなります。 Microsoft 詳細については、顧客管理の暗号化キーを管理する を参照してください。
データの所在地
Azure Active Directory (Azure AD) テナントは、組織とそのセキュリティに関連する情報を格納します。 Azure AD テナントが Power Platform サービスにサインアップする際、テナントが選択した国または地域が、Power Platform展開が存在する最適な Azure 地域にマッピングされます。 Power Platform は、テナントの割り当てられた Azure 地域 (home geo) に顧客データを保存しますが、組織が複数の地域にサービスを展開する場合を除きます。
Power Platform サービスは、特定の Azure 地域で使用できます。 サービスが利用できる場所、データが保存される場所、データの使用方法の詳細については、 Power Platform セキュリティ センター Microsoft を参照してください。 保存されている顧客データの場所に関するコミットメントは、 Microsoft オンライン サービス条件のデータ処理条件に規定されています。 Microsoft また、 主権国家向けにデータセンターも提供しています。
米国以外の地域から生成AI機能にアクセスすると、地域の境界を越えてデータが移動します。 Copilot Studio このデータ移動は、Power Platform で有効化または無効化できます。 詳細については、 副操縦士と生成AI機能に関連する領域をご覧ください。 Microsoft Copilot Studio における地理データ所在地は、データ セキュリティと現地規制へのコンプライアンスを確保する強固な枠組みを提供します。 独自のネイティブ セキュリティ機能に加えて、 Copilot Studio Azureインフラストラクチャを活用して、安全で準拠したデータ レジデンシー オプションを提供します。 データ レジデンシーと Copilot Studio 地理的データ レジデンシー および Copilot Studio セキュリティと地理的データ レジデンシー の詳細については、 Copilot Studioをご覧ください。
保存データ
ドキュメントに特に明記されていない限り、顧客データは元のソースのままです (たとえば、Dataverse または SharePoint)。 Power Platform によって保存されるすべてのデータは、 Microsoftによって管理されるキーを使用してデフォルトで暗号化されます。
処理中のデータ
インタラクティブなシナリオの一部として使用中、またはリフレッシュなどのバックグラウンド プロセスがこのデータに触れている場合、データは処理中です。 Power Platform は、処理中のデータを 1 つ以上のサービス ワークロードのメモリ空間にロードします。 ワークロードの機能を容易にするために、メモリに保存されているデータは暗号化されません。
転送中のデータ
Power Platform では、すべての着信 HTTP トラフィックを TLS1.2 以降を使用して暗号化する必要があります。 TLS1.1 以下を使用しようとする要求は拒否されます。
詳細については、データ暗号化について Power Platform そして データの保存とガバナンス Power Platform を参照して下さい。
関連情報
セキュリティ チェックリスト
完全なレコメンデーションのセットを参照してください。