最小化原則
セキュリティ最小化原則は、最も基本的な原則の 1 つです。提供されるサービスが少ないほど、セキュリティリスクは低くなります。企業がクラウドベースの SaaS、PaaS、IaaS に基づいてビジネスシステムを構築する場合、常にセキュリティ最小化原則に従います。これには以下が含まれます。
ネットワーク最小化の原則：可能な限り少ないパブリックネットワークアクセスポータルを開き、可能な限り狭い範囲のコントロールポートを開き、可能な限り VPC またはサブネットを使用してネットワークセグメンテーションを最小限に抑え、ネットワークセグメントを分離および監視します。
ID 最小化の原則：システム管理者の数を可能な限り減らし、ロールと権限をバインドするという考え方でユーザー ID を割り当てます。
最小権限の原則：原則として、ホワイトリストモードでは特定の最小権限のみが許可されます。ただし、これは実際の実装プロセスでは困難な場合が多いですが、安全設計の重要な原則の 1 つです。
RAM ユーザー権限の最小化の原則：一般に、ID 管理と RAM ユーザー権限のきめ細かい割り当てには RAM ユーザーを使用することをお勧めします。
AccessKey 権限の最小化の原則：一部のベストプラクティスでは、Alibaba Cloud アカウントで AccessKey を作成しないことをお勧めします。一般に、監視可能で権限が制御されている RAM ユーザーまたはアカウントで、自動呼び出し用の AccessKey を申請することをお勧めします。
監査追跡可能性原則
クライアントからのすべてのアクセス要求について監査レコードが保持されていることを確認します。ネットワーク攻撃が発生した場合、クラウド リソース操作ログ、クラウド リソースアクセスログ、変更ログを使用して攻撃イベントを復元し、攻撃プロセスを追跡できます。これにより、企業は攻撃イベントのレベル、影響、損失を判断し、特定できます。
データセキュリティ保護原則
セキュリティ責任共有モデルに基づいて、データセキュリティのシステム構築もテナントとクラウドプラットフォームに分けられます。テナント側では、次の原則に基づいてデータセキュリティ保護システムを設計することをお勧めします。
データ分類と格付けの原則：企業は、実際のアプリケーションとビジネス特性を組み合わせて、データ分類と格付けシステムおよびシステムを意識的に確立する必要があります。分類と格付けは長期的な動的な作業であり、分類保護を実行するための最初のステップでもあります。
データ RAM と権限最小化の原則：企業は実際のワークフローと組み合わせ、ユーザー ID、目的、権限、データアクセス方法を整理し、関連する技術的制御手段を通じて権限とアクセス方法を管理する必要があります。
静的データ保護原則：静的データへのアクセス認証とデータ暗号化。
動的データ保護原則：データが流れるチャネルとフロー内のデータに対して、伝送暗号化とデータ暗号化を実行する必要があります。
データ監査原則：原則として、データアクセス、操作、移動の包括的な監査を実施する必要があります。
データ共有原則：API や SDK を介してオンラインでデータを取得および共有したり、オフラインでデータを共有したりするなど、データ共有の方法と手段を特定します。これらの共有アクセスを特定し、関連する保護対策を確立する必要があります。
データコンプライアンス原則：データコンプライアンスに注意を払い、コンプライアンス要件を満たすために必要な技術的制御手段と管理手段を分解し、それらを企業データセキュリティシステム構築の計画に組み込む必要があります。
コンプライアンス原則
中国本土、香港、マカオ、台湾、および海外地域の企業は、Alibaba Cloud インフラストラクチャに基づいてビジネスシステムを構築し、外部サービスを提供する際に、現地の法律および規制の要件を十分に考慮する必要があります。安全アーキテクチャ設計のプロセスでは、規制要件を完全に分析および理解し、規制要件を満たすことができる関連する技術的制御手段と管理制御手段をマークする必要があります。セキュリティ機能を構築するために、企業のコンプライアンス要件を満たすためにクラウドベンダーが提供できる製品とサービスを明確に理解し、明確にすることができます。