セキュリティの概要

どのリソースを保護する必要があるか

• 顧客データ(クレジット・カード番号など)
• 内部データ(固有のソース・コードなど)
• システム・コンポーネント(外部攻撃または意図的なシステムの過負荷から保護)

データを誰から保護するのか

ワークフローを分析して、誰がどのデータにアクセスする必要があるかを決定します。たとえば、サブスクライバのデータを他のサブスクライバから保護する必要がありますが、組織内のユーザーは、管理のためにデータにアクセスする必要があります。

システム管理者に提供するアクセス権の量を慎重に検討してください。システム管理者は、システム・データにアクセスしなくてもシステム・コンポーネントを管理できる場合があります。

戦略的リソースの保護が失敗した場合はどうなりますか。

場合によっては、セキュリティ・スキームの障害は単なる不便です。場合によっては、障害によってお客様やお客様が損害を受けることもあります。各リソースのセキュリティーの影響を理解することは、その保護に役立ちます。

アイデンティティおよびアクセス管理(IAM)

クラウド・アクセス資格証明を保護し、個々のユーザー・アカウントを設定する責任があります。また、自分の従業員アカウントについて、およびテナンシ内で発生するすべてのアクティビティについて、アクセスを管理してレビューする責任もあります。

Oracleは、アイデンティティ管理、認証、認可、監査など、効果的なIAMサービスの提供を担当します。

ワークロードのセキュリティ

コンピュート・インスタンスのオペレーティング・システム・レイヤーとアプリケーション・レイヤーを攻撃や侵害から保護する責任はユーザーにあります。この保護には、アプリケーションおよびオペレーティング・システムへのパッチ適用、オペレーティング・システムの構成、マルウェアおよびネットワーク攻撃からの保護が含まれます。

Oracleは、イメージのセキュリティを強化し、最新パッチを適用してから提供することに責任を持ちます。Oracleでは、オンプレミスですでに使用しているものと同じサードパーティのセキュリティ・ソリューションを使用することもできます。

データの分類とコンプライアンス

データの分類とラベル付けを正確に行い、すべてのコンプライアンス義務を満たす責任はユーザーにあります。また、ソリューションを監査して、コンプライアンス義務を満たしていることを確認する必要もあります。

ホスト・インフラストラクチャ・セキュリティ

コンピュート(仮想ホスト、コンテナ)、ストレージ(オブジェクト、ファイル、ローカル・ストレージ、ブロック・ボリューム)およびプラットフォーム(データベース構成)の各サービスを安全に構成および管理する責任はユーザーにあります。

Oracleは、サービスが最適に構成されて保護されていることを確認する責任をお客様と共有します。この責任には、ハイパーバイザのセキュリティと、権限とネットワーク・アクセス制御の構成が含まれます。

ネットワーク・セキュリティ

仮想ネットワーク、ロード・バランシング、DNS、ゲートウェイなどのネットワーク要素を安全に構成する責任はユーザーにあります。ホストが正しく通信でき、デバイスが正しいストレージ・デバイスをアタッチまたはマウントできることを確認します。

Oracleは、セキュアなネットワーク・インフラストラクチャの提供に責任を持ちます。L3/4 DDoS保護は、すべてのOracle Cloud Infrastructureアカウントに含まれており、構成や監視は必要ありません。

クライアントおよびエンドポイントの保護

企業は、モバイル機器やブラウザなど、様々なハードウェアおよびソフトウェア・システムを使用してクラウド・リソースにアクセスします。OCIサービスにアクセスできるすべてのクライアントおよびエンドポイントを保護するのはユーザーの責任です。

物理的なセキュリティ

Oracleは、OCIで提供されるサービスを実行するグローバル・インフラストラクチャの保護に責任を負います。このインフラストラクチャは、ハードウェア、ソフトウェア、ネットワークおよび設備で構成されます。

セキュリティの文化

セキュリティを優先する文化は、セキュリティ志向の組織を構築するために不可欠です。すべてのOCIチーム・メンバーは、当社のビジネスにおけるセキュリティの役割を理解しており、製品のセキュリティ体制の管理と改善に積極的に取り組んでいます。また、セキュリティに配慮した文化の作成と維持を支援する次のメカニズムも実装しています。

• セキュリティ志向のリーダーシップ:シニア・リーダーシップは、セキュリティの計画、モニタリングおよび管理に積極的に関与しています。セキュリティ・メトリックを定義し、それに対して自らを測定し、チーム評価プロセスにコンポーネントとしてセキュリティを組み込みます。
• 組込みの専門知識:セキュリティ・チームのメンバーは、製品開発チームと緊密に連携します。このアプローチにより、セキュリティ部門が製品開発プロセスやシステム・アーキテクチャについて深い理解を得られるようになります。このアプローチは、チームがセキュリティの課題を迅速に解決し、セキュリティ・イニシアチブをより効果的に推進するのにも役立ちます。
• 共通のセキュリティ標準:セキュリティが製品および操作に統合されます。たとえば、セキュリティ標準ベースラインを確立します。このベースラインは、単一のセキュリティ参照ポイントを提供し、明確で実用的なガイドラインを確立します。このベースラインを頻繁に更新して、学習した教訓を取り入れ、新たなビジネス要因を反映します。また、チームによるセキュリティ制御の実装を支援するサポート資料も作成しています。これらの資料には、リファレンス・アーキテクチャ、実装ガイド、セキュリティ・エキスパートへのアクセスが含まれます。
• オープン性、建設的議論、エスカレーション推奨:セキュリティの問題に対処できるのは、解決できる人が問題を認識した場合のみです。エスカレーションを推奨しています。また、問題を迅速かつ頻繁に報告することが報われる環境を作り出すように取り組んでいます。
• セキュリティ意識啓発トレーニング:セキュリティと認識に関する強力なトレーニング・プログラムを提供し、セキュリティの文化を深めています。新入社員全員のための詳細なセキュリティ・トレーニング・セッションと、毎年行われるリフレッシュ・トレーニングが必要です。また、特定のジョブ・ロールに合せたセキュリティ・トレーニングも提供します。すべてのソフトウェア開発者は、製品開発のためのベースライン・セキュリティ要件を確立し、ベスト・プラクティスを提供するセキュア開発トレーニングに参加します。また、ゲストスピーカーやインタラクティブフォーラムなど、魅力的で革新的なセキュリティ認識トレーニングも提供しています。

セキュリティの設計と制御

オラクルは、一元化された方法論を通じて、セキュリティをクラウド製品や業務に統合しています。この方法論は、いくつかのコアセキュリティ分野に対する私たちのアプローチを定義し、これらの分野が一緒に私たちの製品を構築するセキュリティ基盤を形成します。このアプローチは、1つの製品で得たベスト・プラクティスと教訓をビジネス全体に適用して、すべての製品のセキュリティを向上するのに役立ちます。

• ユーザー認証およびアクセス制御:最小権限アプローチを使用して、本番システムへのアクセス権を付与します。承認されたサービス・チーム・メンバーのリストが定期的にレビューされ、必要性を正当化できない場合にアクセスが取り消されます。本番システムへのアクセスには、多要素認証(MFA)も必要です。セキュリティ・チームはMFAトークンを付与し、非アクティブ・メンバーのトークンが無効になります。本番システムへのすべてのアクセスはログに記録され、ログはセキュリティ分析のために保管されます。
• 変更管理:独自のテストおよびデプロイメント・ツールを使用する厳格な変更管理およびデプロイメント・プロセスに従います。本番環境にデプロイされたすべての変更は、リリース前にテストおよび承認されます。このプロセスにより、変更が意図したとおりに動作し、以前の状態にロールバックしてバグや操作上の問題から適切にリカバリできます。また、クリティカルなシステム構成の整合性を管理し、予期される状態に合っていることを確認します。
• 脆弱性の管理:社内の侵入テスト・チームと社外の専門家を使用して、製品の潜在的な脆弱性を識別します。これらの専門家は、製品のセキュリティの向上を支援し、学んだ教訓を将来の開発業務に取り入れています。また、業界標準のスキャナを使用して、OCIホストで脆弱性を定期的にスキャンします。スキャン結果がOCI環境に適用されるかどうかを判断し、製品チームは必要に応じて必要なパッチを適用します。
• インシデントへのレスポンス:インシデントの発生時にレスポンスして対処できる、強力なプロセスとメカニズムがあります。インシデント・レスポンス・チームは、24時間365日のイベントを検出して応答する準備ができています。重要なスタッフがページング・デバイスを持ち、問題の解決に必要な専門知識を求めることができます。

  また、インシデントから学習するためのプロセスもあります。Corrective Action/Preventative Action (CAPA)プロセスで根本原因分析を実行します。是正・予防処置は、インシデントの発生後に行うことができるプロセスのギャップおよび変更の検出に役立ちます。CAPAは、一般的な言語であり、問題について熟考して、将来の運用準備状況を改善するためのステップを取得できます。CAPAには、問題の根本原因、問題を阻止または修正するために必要なもの、問題が再発しないために行う必要があるステップが含まれます。リーダーシップ・チームは、すべてのCAPAを確認して、得た教訓が組織全体に適用されるようにし、タイミングよく処置が行われることを確認します。

• セキュリティのロギングとモニタリング:インフラストラクチャ内のセキュリティ関連イベント(たとえば、APIコールやネットワーク・イベント)のロギング、および異常動作に関するログのモニタリングのための自動メカニズムがあります。セキュリティ・チームは、モニタリング・メカニズムによって生成されたアラートを追跡およびトリアージします。
• ネットワーク・セキュリティ:デフォルトでは、OCIサービスとの顧客との通信では、最新のTransport Layer Security (TLS)暗号および構成を使用して、輸送中の顧客データを保護し、中間者攻撃を防止します。それ以上の防衛として、サービスに対する顧客のコマンドを公開キーを使用してデジタル署名し、改ざんを防ぎます。サービスでも、業界をリードするツールとメカニズムをデプロイすることで、分散したサービス拒否(DDoS)攻撃を軽減し、高可用性を維持します。
• コントロール・プレーン・セキュリティ: OCIバックエンド(コントロール・プレーン)ホストは、ネットワーク・アクセス制御リスト(ACL)を使用して、カスタマ・インスタンスから安全に分離されます。インスタンスは、バックエンド・ホストと対話する必要があるソフトウェア・エージェントによってプロビジョニングおよび管理されます。認証および認可されたソフトウェア・エージェントのみが、これらのバックエンド・ホストと正常に対話できます。これらのホストでは、本番前の環境(開発、テストおよび統合など)が本番環境から分離されるため、開発およびテスト・アクティビティは本番システムに影響しません。
• サーバー・セキュリティおよびメディア管理:ハードウェア・セキュリティ・チームが、OCIサービスの提供に使用されるハードウェアのセキュリティの設計およびテストを担当します。このチームは、サプライ・チェーンと連携し、ハードウェア・コンポーネントをテストして、厳しいOCIハードウェア・セキュリティ標準に照らして検証します。このチームはまた、製品開発部門とも緊密に協力して、顧客がハードウェアをリリースした後で、ハードウェアが安全な初期状態に戻るようにします。
• セキュアなホスト・ワイプとメディア破棄: OCIインスタンスは、お客様がハードウェアをリリースした後に安全に消去されます。このセキュア・ワイプによって、ハードウェアが初期状態にリストアされます。独自のハードウェア・コンポーネントを使用してプラットフォームを再設計して、セキュアな方法でハードウェアをワイプして再初期化できるようにしています。基礎となるハードウェアは、寿命になると、確実に破壊されます。ドライブは、データ・センターから運び出される前に、業界トップのメディア破壊装置を使用して使用できない状態にされます。

セキュアなソフトウェア開発

セキュアなソフトウェア開発では、セキュリティの明確な目標と原則に準拠した方法が常に適用されることが必要です。製品開発ライフ・サイクルのすべての要素にセキュリティ・プラクティスを組み込んでいます。開発者のロードマップとガイドとなる正式なセキュリティ製品開発基準があります。これらの標準では、設計原則や一般的な脆弱性などの総合的なセキュリティ情報の分野について説明され、データの検証、データ・プライバシ、ユーザー管理などのトピックに関する具体的なガイダンスが提供されます。

オラクルの安全な製品開発基準は、コードに影響する一般的な問題、発見される新しい脅威、およびお客様による新しいユース・ケースに対処するために、時間の経過とともに進化および拡大します。標準には、インサイトや学んだ教訓が組み込まれています。それらは単独では存在しておらず、ソフトウェア開発の「事後の」追加でもありません。これらは、C/C++、Java、PL/SQL、その他の言語固有の標準に不可欠であり、オラクルのセキュアな開発プログラムおよびプロセスの基盤です。

セキュリティ保証分析およびテストでは、様々なタイプの攻撃に対する当社の製品のセキュリティ品質を検証します。静的分析と動的分析の2種類のテストが使用されます。これらのテストは、製品開発ライフ・サイクルでは異なる適合性があり、通常は様々なカテゴリの問題を見つけるため、製品チームによって一緒に使用されます。

人事セキュリティ

最高の人材を獲得するために努力し、従業員に投資します。トレーニングを大切にし、全従業員にベースライン・セキュリティ・トレーニングを必要とします。また、最新のセキュリティ・テクノロジ、エクスプロイトおよびメソドロジについてチームに知らせるために、専門トレーニングも必要です。当社の年次コーポレート・トレーニング・プログラムは、当社の情報セキュリティおよびプライバシー・プログラムなどをカバーしています。また、さまざまな業界団体と協力し、新たな課題について他の業界の専門家と協力するために、専門家会議に従業員を送ります。当社のセキュリティ・トレーニング・プログラムの目的は、従業員がお客様と製品をより適切に保護できるようにすること、従業員がセキュリティに関する知識領域を拡大できるようにすること、および最高の人材を魅了して留めさせるとい目標を推進することです。

私たちは、強い倫理と良い判断を持つ人々を雇います。当社の従業員は、犯罪歴の調査や雇用前検証など、法律で許可されているスクリーニングを受けています。また、チームおよび従業員のパフォーマンス評価プロセスを使用して、優れたパフォーマンスを認識し、チームおよび従業員が成長の機会を特定できるように支援します。セキュリティは、チーム評価プロセスの1要素です。このアプローチは、チームがセキュリティ標準をどのように実行しているかを示し、クリティカルなセキュリティ・プロセスのベスト・プラクティスと改善分野を特定できるようにします。

物理的なセキュリティ

Oracle Cloud Infrastructureデータ・センターは、顧客データのセキュリティと可用性を実現するように設計されます。このデザインは、当社のサイト選択プロセスから始まります。候補者構築サイトとプロバイダの場所は、広範なリスク評価プロセスを受けています。このプロセスでは、環境上の脅威、電力の可用性と安定性、ベンダーの評判と履歴、近隣施設の機能(高リスクの製造や高脅威のターゲットなど)、および地政学的問題などが考慮されます。

OCIデータ・センターは、Uptime Institute and Telecommunications Industry Association (TIA)のANSI/TIA-942-A Tier 3またはTier 4標準に準拠し、重要な機器操作のためのN2冗長方法に従います。OCIサービスを収容するデータ・センターは、冗長電源を使用し、発電機のバックアップを維持して、広範な停電を防止します。サーバー室は、気温や湿度が細かくモニタリングされ、消火システムが配備されています。データ・センター・スタッフは、発生する可能性があるセキュリティーまたは可用性イベントに対処できるように、インシデント・レスポンスやエスカレーション手順についてトレーニングされています。

物理的なセキュリティに対する当社の階層化されたアプローチは、サイトの構築から始まります。データセンター設備は、鋼鉄、コンクリート、またはそれに匹敵する材料で永続的に構築され、ライトビークルストライキによる衝撃に耐えるように設計されています。当社のサイトには、24時間365日のインシデントに対応できるセキュリティ・ガードが配置されています。各サイトの外部は周囲の障壁で保護されており、車両は建物の周囲をカバーする警備員やカメラによって積極的に監視されています。

データ・センターに入ろうとするすべての個人は、警備員が常駐する施設入口で最初にセキュリティを通過する必要があります。施設固有のセキュリティ・バッジを持たない個人は、政府発行のIDを提示し、データ・センターの建物へのアクセスを許可する承認済アクセス・リクエストを所持している必要があります。すべての従業員と訪問者は、常に目に見える公式識別バッジを着用する必要があります。エントランスとサーバールーム間のその他のセキュリティ対策は、サイト構築とリスクプロファイルによって異なります。

データ・センターのサーバー室には、サーバー室を撮影するカメラ、2要素のアクセス制御、侵入検知メカニズムなど、さらに多くのセキュリティが備わっています。サーバーとネットワーキング・ラックの周囲には、床(該当する場合は二重床の下も)から天井(該当する場合は天井タイルの上も)までの物理的な壁が設置され、セキュリティ・ゾーンが分離されています。

データ・センターへのアクセスは、注意深く管理され、最小権限アクセス・アプローチに従っています。認定された担当者は、サーバー室へのすべてのアクセスを承認する必要があり、必要な期間だけアクセスが付与されます。アクセスの使用状況が監査され、データ・センターのリーダーは、システム内にプロビジョニングされたアクセスを定期的にレビューします。サーバー室は、ゾーンごとに管理されるセキュアなゾーンに分離されます。アクセスは、人員が必要とするゾーンに対してのみプロビジョニングされます。

セキュリティ運用

Oracle Cloud Infrastructure Security Operationsチームは、独自のOCIホスティングおよび仮想ネットワーキング・テクノロジの監視と保護を担当します。このチームは、これらのテクノロジを開発するOracleエンジニアと直接連携し、トレーニングを行います。

出現するインターネット・セキュリティの脅威を毎日モニターして、業務に対するリスクに対処するために、対応と防御の適切な計画を実装します。緊急の変更が推奨され、顧客の責任範囲にあると判断した場合には、顧客にセキュリティ・アラート報告を発行して確実に保護されるようにします。

検出または報告されたセキュリティの問題がOCIサーバーまたはネットワークに影響する場合、Security Operationsスタッフは24時間365日対応、エスカレーション、または必要な是正措置を講じることができます。必要な場合には、OCI、顧客、ネットワークのセキュリティと評判を守るために、外部パーティ(ネットワークおよびホスティング・サービスのプロバイダ、ハードウェア・ベンダー、法執行機関など)にエスカレーションを行い、調整します。

Security Operationsチームがセキュリティ問題に反応すると、ドキュメント化されたプロセスに従って行動し、すべてのアクションがコンプライアンス要件に従って記録されます。サービスとデータ整合性、プライバシおよびビジネス継続性という目標を守るために、常に注意が払われています。

データの権利および所有権

Oracle Cloud Infrastructureの顧客は、内容に関するすべての所有権と知的財産権を保持します。オラクルは、データ保護プロセスと法執行機関から受け取る可能性がある要求について透明性を保つように努めています。

データ・プライバシ

OCIには、お客様が一般的なデータ・プライバシ原則への準拠を支援する機能があります。Oracle Cloud Infrastructureのプライバシ機能を参照してください。

法執行機関の要求

Oracleは、法律で定められている場合を除き、執行機関、行政機関またはその他の政府機関の召喚状、司法、行政、または仲裁命令をお客様に通知し、Oracleがお客様のために処理している個人データに関連します。顧客の要求に応じて、Oracleは、法執行機関の要求に関連する適切な情報を顧客に提供し、適切なタイミングで要求に応答するために合理的に必要な支援を提供します。

コンプライアンス

情報セキュリティ制御を推進するにあたり、ISO/IEC 27002実務指針に従っています。これは、当社の業務に適用する包括的なセキュリティ制御と同一です。これらのセキュリティ管理と当社の業務は、外部監査を受けています。当社は、業界および政府の幅広い認定、監査および規制プログラムを受けています。Oracle Cloudコンプライアンスを参照してください。