KUP12494-JPJA-01
データのセキュリティーおよび
プライバシーの原則
KUP12494-JPJA-01
目次
2 概要 2 ガバナンス 3 セキュリティー・ポリシー 3 アクセス、介入、転送、および分離の管理 3 サービスの完全性および可用性管理 4 アクティビティーのロギングおよび入力管理 4 物理的セキュリティーおよび入場管理 4 指示の管理 4 遵守 4 第三者のサブプロセッサー概要
IBM のクラウド・サービスには、インフラストラク チャー、プラットフォームおよびソフトウェアの各 オファリングが含まれています。各クラウド・サー ビスには、そのアーキテクチャー、使用目的、およ び提供されるサービスの種類に応じた、IBM のポリ シーに準拠した技術的および組織的なセキュリ ティーとプライバシーの対策が実装されています。 図 1 は、各種サービスの一般的な責任の分担を図示 しています。 図 1: IBM クラウド・サービスのオファリング種別 IBM の Infrastructure as a Service (IaaS) オファリング では計算リソースが提供されます。お客様はそのリ ソース上でオペレーティング・システム、ランタイ ム、ミドルウェア、および自ら選択したアプリケー ションなどのソフトウェアを展開して実行できま す。IaaS のお客様は、お客様が IaaS ソリューション 上に展開するアプリケーション、コンテンツ、ラン タイム、ミドルウェアおよびオペレーティング・シ ステムについて責任を負います。これには、物理的 ではない、データのセキュリティーおよびプライバ シーに関する対策の実装ならびに管理が含まれま す。IBM の Platform as a Service (PaaS) オファリングによ り、お客様は、サービスの一部として含まれる場合 があるシステム、ネットワーク、記憶装置、ランタ イム・フレームワーク、ライブラリー、ならびに統 合ツールおよび管理ツールを使用して、クラウド・ アプリケーションの作成、展開、管理ができます。 PaaS のお客様は、自身が PaaS ソリューション上に 展開するアプリケーションおよびコンテンツを管理 します。これには、お客様のアプリケーションおよ びデータを対象としたデータのセキュリティーおよ びプライバシーに関する対策を実装し、管理するこ とが含まれます。
IBM の Software as a Service (SaaS) オファリングは、 標準化アプリケーションをクラウド環境から提供し ますが、このクラウド環境のために、IBM は、アプ リケーション (基盤となるミドルウェア、プラット フォームおよびインフラストラクチャーを含みま す。) の展開、管理、実行、保守およびセキュリ ティーを管理します。SaaS のお客様は、クラウド・ サービス契約の条件に従って、エンド・ユーザーの アカウント、IBM SaaS オファリングの適切な使用、 および自身が処理するデータの管理を引き続き行い ます。 独自の要件がある場合、SaaS のお客様は、 IBM が実装している標準的なデータのセキュリ ティーおよびプライバシーに関する対策の適合性を 評価する責任を負います。 種類を問わず、各クラウド・サービスに対する IBM の詳細な管理責任は、関連するオファリング契約に 定められています。 とりわけ、お客様のデータの偶 発的な損失、不正アクセス、および不正使用などの リスクから IBM クラウド・サービスを防御するよう に設計された、データのセキュリティーおよびプラ イバシーに関する対策 (利用できる、構成可能なオプ ションおよびサービスを含みます。) が、各サービス 記述書に定められるか、または盛り込まれていま す。 この「データのセキュリティーおよびプライバシー の原則」文書には、参照により各サービス記述書に 組み込まれる IBM の包括的なポリシーおよびプラク ティスが記載されています。
ガバナンス
IBM の IT セキュリティー・ポリシーは、特別なコー ポレート・インストラクションを根拠としており、 IBM の CIO 組織によって制定および管理され、IBMIBM
SaaS PaaS
IaaS
KUP12494-JPJA-01 の事業の不可欠の部分となっています。 社内の IT ポリシーを遵守することは必須であり、監査の対象 となっています。
セキュリティー・ポリシー
IBM の情報セキュリティー・ポリシーは、少なくと も年 1 回見直され、最新の脅威に対応し、広く受け 入れられた国際標準 (ISO/IEC 27001 および 27002 な ど) の更新に合致させるために必要な改良が加えられ ます。 IBM は、随時採用する追加の従業員を含む新規採用 者全員について、一連の雇用認証必須要件に従いま す。これらの標準は、完全所有子会社および合弁会 社にも適用されます。この必須要件には、犯罪歴の 照合、身元確認の証明、および応募者が以前に政府 機関に勤めていた場合はその他の確認が含まれます が、これらに限定されません。またこれらは変更さ れる場合があります。 IBM の各法人は、現地の法律 に基づいて許容され、かつ適用可能な範囲で、適 宜、その採用プロセスに上記の要件を組み込む責任 を負います。 IBM の従業員は、毎年セキュリティーとプライバ シーに関する教育を修了し、IBM の「ビジネス・コ ンダクト・ガイドライン」に規定された倫理的な行 動基準、守秘義務、およびセキュリティーの要件の 遵守について毎年宣誓することが求められていま す。 セキュリティーに関する事故は、適用法に基づく データ侵害の通知要件を考慮に入れて、IBM の事故 の管理および対応ポリシーに従って処理されます。 IBM のグローバル・サイバーセキュリティー事故管 理プラクティスの中核機能は、IBM の Computer Security Incident Response Team (CSIRT) によって実施 されます。CSIRT は、IBM の Chief Information Security Office によって管理され、グローバル事故管 理者およびフォレンジック・アナリストが配属され ています。アメリカ合衆国商務省の国立標準技術研 究所（NIST）のコンピューターのセキュリティー事 故対応に関するガイドラインは、その進展を報告し ており、常に IBM のグローバル事故管理手順の基礎 となっています。 CSIRT は、IBM 内のその他の職務部門と連携して疑 わしい事故を調査し、必要な場合には、適切な対応 計画を策定して、実行します。セキュリティー事故 が発生したことが確認されれば、IBM は、必要に応 じて、速やかに影響を受けるクラウド・サービスの お客様に通知します。アクセス、介入、転送、および分離の管理
IBM クラウド・サービスのアーキテクチャーは、お 客様データの論理的分離を保持します。社内の規則 および手段により、データの挿入、修正、削除およ び転送などのデータの処理を、契約された目的に 従って分離します。お客様データ (個人データを含み ます。) に対するアクセスは、職務分離の原則に従っ て権限のある要員のみに許可され、ID およびアクセ ス管理ポリシーに基づいて厳正に管理され、IBM 社 内の特権ユーザーの監視および監査プログラムに 従って監視が行われます。 IBM の特権的アクセスの承認は、個人用の、役割 ベースのもので、定期的に確認が行われます。お客 様データに対するアクセスは、お客様にサービスや サポートを提供するために必要な程度に制限されま す (最小限の特権)。 IBM のネットワーク内でのデータ転送は、無線ネッ トワークを使用せず、ファイアウォール内の有線の インフラストラクチャー上で実行されます。 要求に応じて、またはクラウド・サービス契約の条 件に従ったサービスの解約により、お客様データ は、メディア・サニタイズに関する NIST のガイド ラインに従って、復旧が不可能な状態にされます。サービスの完全性および可用性管理
IBM クラウド・サービスは、実稼働リリースの前 に、侵入テストおよび脆弱性スキャンを受けます。 さらに、IBM および認定された独立的な第三者によ り、侵入テスト、脆弱性スキャンおよび倫理的ハッ キングが定期的に実施されます。 オペレーティング・システム・リソースおよびアプ リケーション・ソフトウェアの変更には、IBM の変 更管理ポリシーが適用されます。また、ネットワー ク機器およびファイアウォールの規則の変更につい ても変更管理ポリシーが適用され、実装前にセキュ リティー・スタッフが個別に審査します。 IBM のデータセンター・サービスは、HTTPS、 SFTP、および FTPS などの、公共ネットワーク上の データ伝送に関するさまざまな情報伝送プロトコル をサポートします。IBM は、実稼働データセンター のリソースを 1 日 24 時間 週 7 日、系統的に監視しKUP12494-JPJA-01
ます。潜在的な危険度の検出および解決を支援する ために、内部および外部の脆弱性スキャニングを権 限のある管理者が定期的に実施します。
IBM の各クラウド・サービスには、ISO 27002 Code of Practice for Information Security Controls に準拠して 展開され、維持管理され、検証され、テストされた 事業継続計画および災害復旧計画が備えられていま す。各クラウド・サービスの復元のポイントおよび 目標時間は、それぞれのアーキテクチャーおよび使 用目的に従って制定され、サービス記述書またはそ の他の取引文書に規定されています。 オフサイトで 保管されるバックアップ・データがある場合は、転 送前に暗号化されます。 セキュリティー構成およびパッチ管理のアクティビ ティーが実行され、定期的に審査されます。IBM の インフラストラクチャーには、災害復旧、ソリッ ド・ディスク・ミラーリングなどの、緊急計画のコ ンセプトが適用されます。IBM のインフラストラク チャーに関する事業継続計画が文書化され、定期的 に再確認されます。
アクティビティーのロギングおよび入力管理
IBM のポリシーは、クラウド・サービスのコン ピューティング環境に対する管理を目的としたアク セスおよびこの環境内のアクティビティーについ て、記録および監視すること、ならびにIBM の世界 的な記録管理計画に従って、ログをアーカイブに保 存および保持することを義務付けています。 実稼働 のクラウド・サービスに対する変更は、IBM の変更 管理ポリシーに従って記録および管理されます。物理的セキュリティーおよび入場管理
IBM は、データセンター・リソースに対する許可さ れていない物理的アクセスを制限するように設計さ れた物理的セキュリティー基準を保持します。IBM のデータセンターへの入口は制限され、アクセス・ リーダーによって管理され、監視カメラによって監 視されています。 アクセスは、権限のある要員のみ に許可されます。 権限のない個人が施設に入場できる搬入・搬出場所 については、厳格に管理されます。搬入・搬出は事 前に計画され、権限を有する担当者の承認が必要で す。運用スタッフ、施設スタッフおよびセキュリ ティー・スタッフ以外の人は、施設に入場する際に 登録され、施設内にいる間は権限のある要員が同行 します。 雇用が終了した従業員は、アクセス・リストから削 除され、アクセス・バッジの返却を求められます。 アクセス・バッジの使用については、記録されま す。指示の管理
データの処理は、オファリングの契約に従って実行 されますが、この契約に IBM は、クラウド・サービ ス・オファリングの条件、機能、サポートおよび保 守、ならびにお客様データの機密性、完全性、可用 性を維持するためにとられる手段を記載します。遵守
IBM のクラウド・サービスに関する情報セキュリ ティーの標準および管理プラクティスは、情報セ キュリティーの管理に関するISO/IEC 27001 標準に 合致し、ISO/IEC 27002 Code of Practice for Information Security Controls に準拠しています。情報セキュリ ティー標準の遵守を追跡するために、IBM は評価お よび監査を定期的に実施します。さらに、IBM のす べての実稼働データセンターでは、毎年、独立的な 第三者による業界標準の監査が行われます。第三者のサブプロセッサー
IBM のクラウド・サービスでは、第三者のサブプロ セッサーが、契約上の義務の通常の履行においてお 客様データにアクセスすることが必要になる場合が あります。かかる第三者のサブプロセッサーがクラ ウド・サービスの提供に関与する場合は、要求に応 じて、当該サブプロセッサーおよびその役割を通知 します。IBM は、すべてのかかるサブプロセッサー が、IBM が提供するセキュリティーおよびプライバ シーの全体的なレベルが保たれた標準、プラクティ スおよびポリシーを維持することを義務付けていま す。KUP12494-JPJA-01 © Copyright IBM Corporation 2016
日本アイ・ビー・エム株式会社 〒103-8510 東京都中央区日本橋箱崎町 19-21 Produced in Japan 2016 年 4 月 IBM、IBM ロゴおよび ibm.com は、世界の多くの国 で登録された International Business Machines
Corporation の商標です。他の製品名およびサービス 名等は、それぞれ IBM または各社の商標である場合 があります。現時点での IBM の商標リストについて は、Web サイト "Copyright and trademark information" (ibm.com/legal/copytrade.shtml) をご覧ください。 本書の情報は最初の発行日の時点で得られるもので あり、予告なしに変更される場合があります。 IBM 製品は、IBM 所定の契約書の条項に基づき保証 されます。 Please Recycle
