Alibaba Cloud は、お客様がビジネスシステムやデータをホスティングするためにクラウドソリューションを導入する際、リスク評価が重要であることを認識しています。適切に定義されたリスク評価プロセスにより、潜在的なセキュリティリスクを特定し、許容可能な範囲内に管理できます。本セクションでは、Alibaba Cloud のセキュリティフレームワークを通じてお客様が効果的にリスク評価を実施するためのガイダンスを提供します。

Alibaba Cloud は責任共有モデルに従っており、Alibaba Cloud とお客様間のセキュリティ上の責任分担は、選択するクラウドサービスタイプに応じて変わります。

IaaS (Infrastructure as a Service)

â Alibaba Cloud の責任範囲：物理データセンター、ネットワークインフラ、クラウドプラットフォームのセキュリティ確保、およびグローバル規制への準拠。
â お客様の責任範囲：クラウド上でホストされる自社構築アプリケーション、ワークロード、ビジネスデータおよびユーザーデータのセキュリティ確保。継続的なセキュリティ運用の実施。

PaaS (Platform as a Service)

● Alibaba Cloud の責任：IaaS の責任に加え、仮想マシンのセキュリティ確保、アプリケーションセキュリティの共有責任、サードパーティセキュリティソリューションの統合を担います。
● お客様の責任：アプリケーションコード、データ、クラウドアカウント管理、アクセス制御の設定を保護します。クラウドアプリケーション開発におけるセキュリティのベストプラクティスを実装します。

SaaS (Software as a Service)

â Alibaba Cloud の責任：アプリケーションセキュリティ、クラウドホスト型サービスのセキュリティ、ネットワークアクセスポリシーの確保。
â お客様の責任：アカウント認証情報、ユーザーアクセスポリシー、データセキュリティ設定の保護。

セキュリティリスクを効果的に管理するため、お客様は以下の点に留意してください。

1. IaaS、PaaS、SaaS の選定時に、セキュリティ責任の分担を理解すること。

2. Alibaba Cloud のセキュリティ機能を活用し、リスク軽減戦略を強化すること。

3. セキュリティを考慮したクラウドアーキテクチャを設計し、ベストプラクティスやコンプライアンス要件への準拠を確保すること。

Alibaba Cloud は、お客様が安全なクラウド環境を構築できるよう、包括的なセキュリティツールとサービスを提供しています。お客様には、これらのセキュリティ機能を積極的に設定・活用し、クラウドセキュリティ態勢を強化することを推奨します。

Alibaba Cloud は、国際基準、地域基準、業界のセキュリティ基準への準拠を確保するため、継続的なコンプライアンスプログラムを維持しています。セキュリティとコンプライアンスの認証には以下が含まれます。

◗ ISO 27001 (情報セキュリティマネジメント)
◗ SOC 1/SOC 2/SOC 3 レポート
◗ その他のグローバルおよび業界固有のセキュリティ認証

コンプライアンスレポートへのアクセス

â NDA (秘密保持契約) を締結後、Alibaba Cloud Trust Center からセキュリティコンプライアンスレポートをダウンロードできます。
â これらのレポートは独立した外部監査人が発行したもので、Alibaba Cloud のセキュリティの有効性と管理メカニズムを評価しています。
â これらの監査レポートを確認することで、Alibaba Cloud のセキュリティに対するコミットメントを検証し、社内のリスクアセスメントフレームワークとの整合性を確保できます。

Alibaba Cloud は、ビジネスの安全な運営と持続可能な発展を確保するために設計された、包括的なリスク管理フレームワークを運用しています。戦略的なリスクの特定、評価、軽減プロセスを統合し、規制基準への準拠を維持しながら、潜在的な脅威にプロアクティブに対応する能力を高めています。リスクガバナンスフレームワークは国際的なベストプラクティスに適合し、業務継続性、規制コンプライアンス、運用エクセレンスを確保します。

Alibaba Cloud のリスク管理フレームワークは、組織全体のリスクの特定、評価、軽減、モニタリングに対して、包括的かつ体系的なアプローチを採用しています。プロアクティブなリスクガバナンスを重視し、すべてのビジネス部門が安全でレジリエントなリスク環境の中で運営されることを確保しています。

リスク管理の主な取り組みは次のとおりです。
â リスク管理プロセスと手法の改善
â 効果的なリスク特定、リスクアセスメント、リスクガバナンスモデル
â 成熟した緊急対応メカニズム

• 包括性と一貫性：体系的かつ包括的なリスク管理アプローチを確保するため、フレームワークは Alibaba Cloud のすべての従業員に適用され、統一されたリスク管理用語を使用しています。これにより、すべてのビジネスユニットが体系的にリスクを管理するとともに、日常業務における強いリスク意識の文化を醸成しています。

• 分類・段階別管理：リスクは動的に分類・段階別化され、担当者に明確な責任が割り当てられます。

• 多様なガバナンス：リスク管理の要件とビジネスの実態に基づき、的を絞った戦略と施策を策定し、プロアクティブなリスク予測、科学的な意思決定、効果的な管理を実現しています。

Alibaba Cloud は、潜在的な脅威を適時に特定、評価、軽減するため、組織的かつ構造化されたリスク評価モデルに従っています。その方法は以下のとおりです。

â リスク特定：自動化されたシステム、内部監査、外部情報ソースを活用し、潜在的なリスクをモニタリングおよび検知します。
â リスクアセスメント：ビジネス運用、規制コンプライアンス、セキュリティ、財務安定性、顧客の信頼への潜在的な影響に基づいてリスクを評価します。
â リスクガバナンス：発生可能性と深刻度に基づいてリスクの優先順位を設定し、的を絞った軽減戦略を実施します。

• インシデント対応：予期しないセキュリティインシデントが発生した場合、Alibaba Cloud は分類・段階別対応のアプローチに従います。インシデントの性質、脅威レベル、潜在的な影響に応じて、単一チームまたは複数チーム横断で専門家主導の緊急対応チームを直ちに編成します。早期警戒と対応、リアルタイムの評価と軽減、事後のレビューとガバナンスにより、Alibaba Cloud のプラットフォームおよびお客様のビジネス運用への影響を最小限に抑えます。

緊急訓練：通常の運用において、Alibaba Cloud は各国・地域のコンプライアンス要件に合わせた緊急訓練を実施しています。これらの訓練により、担当チームの業務習熟度、対応速度、連携効率を検証し、コンプライアンスの確保、対応能力の向上、インシデント対応経験の蓄積を図ります。

Alibaba Cloud は、日常業務において厳格なログ管理を実施しており、ホスト、ネットワーク、アプリケーション、クラウドプロダクトを含む複数のディメンションをカバーし、不正なアクティビティや異常な動作を詳細にモニタリング・検知しています。本セクションでは、セキュリティ態勢を継続的に強化するために、監査ログのデプロイに関する Alibaba Cloud の包括的なアプローチを説明します。

Alibaba Cloud は、集中型ログ管理戦略を導入し、クラウド環境の全体像を把握することで、セキュリティと運用効率の向上を実現しています。サーバー、アプリケーション、ネットワークデバイス、セキュリティシステムなど、さまざまなソースから多様なログを収集します。Alibaba Cloud の運用保守エンジニアは、踏み台サーバーを経由してのみ本番システムに対するメンテナンス操作を実行でき、操作の全過程がログに記録されます。収集されたログは、すべてのログデータの保存・管理を一元化する中央ログプラットフォームに安全に転送されます。

ログ分析は、Alibaba Cloud の統合ログ管理戦略の中核です。監査・監視ルールは統合ログプラットフォーム内で定義され、機密性の高いアクティビティの監視や不審な行動の検出に使用されます。このプロセスでは、機械学習アルゴリズムを含む高度な分析を活用し、パターン、異常、潜在的なセキュリティ脅威を識別します。リアルタイム監視とアラートの仕組みにより、セキュリティ監視プラットフォームへのアラート発報とセキュリティチームによるレビュー・フォローアップのためのチケット起票が行われ、特定されたリスクを限定・管理下に置きます。

Alibaba Cloud の社内における集中ログ管理戦略は、ログデータの整合性、機密性、可用性を確保するうえで重要な役割を果たしています。これは、以下に示す堅牢なセキュリティ対策とベストプラクティスの組み合わせによって実現しています。

● アクセス制限：Alibaba Cloud の集中ログ管理プラットフォームは、ログ収集およびログ閲覧のインターフェースのみを提供し、変更や削除のインターフェースは無効化されています。ログへのアクセスはアクセス種別に応じた承認を受けた権限保有者に限定されており、中央リポジトリ内のログデータを不正なアクセス、変更、削除から保護しています。

● セキュアストレージ：Alibaba Cloud は、ログデータを保護された管理環境に保存し、不正なアクセス、改ざん、紛失を防止するための厳格なセキュリティ対策を実施しています。堅牢なストレージメカニズムによりログデータの整合性と可用性を維持し、必要なときに安全にアクセスできる状態を確保しています。さらに、継続的なモニタリングと保護対策により保存ログのセキュリティを強化し、運用要件およびコンプライアンス要件への準拠を実現しています。

● ログ保持：Alibaba Cloud は、規制要件、法的義務、ビジネスニーズに基づいてログ保持期間を決定しています。通常、ほとんどの監査ログは最低 6 か月間保持され、セキュリティ、運用、コンプライアンスの各目標への準拠を確保しています。

● ログバックアップ：Alibaba Cloud は、自動バックアッププロセスを実装し、人的エラーのリスクを軽減するとともに、ログが一貫して安全にバックアップされるようにしています。

Alibaba Cloud は、システムとデータを保護するために堅牢なアクセス管理フレームワークを実装し、承認された担当者のみが特定の制限されたリソースにアクセスできるようにしています。必要なアクセスレベルの特定、最小権限の原則の適用、継続的なモニタリング、アクセス権限の定期的なレビューと監査を行っています。本セクションでは、Alibaba Cloud の包括的なアクセス管理の取り組みを詳しく説明し、厳格なセキュリティ基準の維持とお客様の信頼保護へのコミットメントを示します。

Alibaba Cloud の厳格なアクセス管理フレームワークは、ゼロトラストアーキテクチャの基盤を形成しており、最小権限の原則と知る必要性に基づくアクセスの原則を遵守しています。お客様データへのアクセスは厳格に管理されており、従業員は明示的なお客様の承認がある場合にのみアクセスできます。お客様はデータに対する完全な制御、管理、および所有権を保持しています。Alibaba Cloud は、マーケティング、広告、またはその他の不正な目的でお客様データを使用したり、お客様データから情報を導出したりすることは一切ありません。主要なアクセス管理プラクティスは以下のとおりです。

◗ 論理的分離：Alibaba Cloud は堅牢なテナント分離アーキテクチャを実装しており、デフォルトでユーザーを分離された環境に配置することで、他のユーザーのデータへの不正アクセスや干渉を防止します。

◗ ロールベースアクセス制御 (RBAC)：RBAC を採用し、従業員の役職や組織内のロールに基づいて限定的なデフォルト権限を割り当てることで、職務に必要なリソースのみにアクセスできるようにしています。

◗ アカウント管理の自動化：集中型の権限管理システムにより、アクセス申請、承認、アクセス権限の自動プロビジョニングや削除を管理しています。このシステムは人事システムと連携し、従業員の退職や異動に応じてアクセス権限を調整します。

◗ 職務分離：アクセス承認プロセスでは、申請者、承認者、管理システム管理者にそれぞれ異なるロールを割り当てることで職務分離を実施しています。これにより、客観的な承認を経た適切な権限のみが付与されます。

◗ 多要素認証 (MFA)：セキュリティをさらに強化するため、本番システムやリソースへのアクセスには MFA を必須としています。パスワードが漏洩した場合でも、不正アクセスを防止できます。

◗ アクセスレビューとモニタリング：アクセスモニタリングシステム内で定義された監査ルールとモニタリングルールにより、アカウントの利用状況やアクセス権限を分析し、不正使用の可能性を検知し、セキュリティチームに自動アラートを送信します。セキュリティチームはアラートの調査と適切な対応を担当します。

◗ セキュリティトレーニングと意識向上：安全なアクセス管理やフィッシング攻撃、ソーシャルエンジニアリング攻撃の識別など、セキュリティのベストプラクティスに関する定期的なトレーニングを全従業員に提供しています。この継続的な教育により、社内に強固なセキュリティ文化を醸成しています。

Alibaba Cloud は、本番システムへのすべてのアクセスが安全で、監査可能であり、サイバーセキュリティのベストプラクティスに準拠していることを確保するため、包括的なアクセス制御措置を講じています。デフォルトでは、これらのシステムの運用を担当する従業員はお客様コンテンツにアクセスできません。お客様は、管理コンソールのチケットサービスを通じて、Alibaba Cloud リソースへの外部アクセスや一時的なアクセスを付与する完全な権限を保持しており、アクセスはお客様が設定した権限付与設定により厳格に管理されます。

Alibaba Cloud は、アクセスレベルごとの潜在的リスクに基づき、アクセス権限を一般ユーザー、アプリケーション管理者、システム管理者の 3 種類に分類しています。物理サーバー、ネットワークデバイス、または仮想マシンへのアクセスが必要な従業員は、アクセス期間を定めた申請を提出し、権限のある担当者の承認を得る必要があります。アクセス期間の満了またはタスクの完了後、不要なアクセス権限の残留を防止するため、権限を速やかに取り消します。

本番システムへのアクセスは厳格に制御・監視されています。従業員は、二要素認証 (2FA) を必要とする踏み台サーバーを経由してのみアクセスできます。踏み台サーバー経由で本番システム内で実行されたすべての操作はリアルタイムでログに記録され、分析・監査のために中央ログ管理プラットフォームに転送されます。

Alibaba Cloud は、厳格なデータ保護要件を満たすうえでデータ暗号化が極めて重要であることを十分に認識しています。暗号化ソリューションは、最先端の暗号技術により、機密データの機密性、真正性、整合性を確保します。本セクションでは、お客様コンテンツをライフサイクル全体にわたって保護するために設計された、包括的なエンドツーエンドの暗号化メカニズムの概要を説明します。これらのメカニズムには、転送中の暗号化、保管時の暗号化、ハードウェアベースの暗号化コンピューティングサービスが含まれます。データセキュリティとプライバシーのベストプラクティスに準拠するため、技術の継続的な強化に取り組んでいます。

転送中の暗号化は、ネットワーク間で移動するデータを保護し、機密情報が送信者から受信者まで秘密性、完全性、真正性を保つことを確保します。Alibaba Cloud は、転送中のデータを保護する複数のメカニズムを提供しています。主なものは以下のとおりです。

● 管理コンソールによる安全なデータ送信：Alibaba Cloud 管理コンソールは、お客様がコンソールを通じて操作を行う際に HTTPS 暗号化を使用してデータを送信し、通信の安全性と機密性を確保します。

● 安全な API アクセスポイント：Alibaba Cloud のプロダクトは、最大 256 ビットのキー長の暗号化に対応した HTTPS をサポートする API アクセスポイントをお客様に提供し、機密情報の安全な送信要件に対応します。

● 安全な暗号化アルゴリズムとプロトコル：Alibaba Cloud は、AES-256 などの高セキュリティ暗号化アルゴリズムと IPsec や TLS などの暗号化プロトコルに加え、厳格な認証および権限付与メカニズムを組み合わせて、暗号化されたデータの漏洩を防止します。

● 安全なエンドツーエンド暗号化：Alibaba Cloud のネットワークゲートウェイプロダクトは、データ送信時にエンドツーエンド暗号化を提供します。たとえば、VPN Gateway を使用して必要に応じて IPsec-VPN や SSL-VPN 接続を確立し、暗号化チャネル経由で送信されるすべてのデータの機密性、真正性、改ざん防止を確保できます。

Alibaba Cloud は、各サービス全体で保管時データの包括的な暗号化ソリューションを提供しており、お客様は高度な暗号技術を使用して保存データを暗号化できます。

● エンベロープ暗号化メカニズム：このメカニズムは、少なくとも 2 つのレイヤーで構成されるキー階層に基づいています。

○カスタマーマスターキー (CMK)：データ暗号化キー (DEK) の暗号化または復号に使用します。
○データ暗号化キー (DEK)：ビジネスデータの暗号化または復号に使用します。

• Bring Your Own Key (BYOK)：Alibaba Cloud は、ユーザー管理の暗号化キーをサポートする複数のプロダクトを提供しています。お客様は、BYOK 機能の一環として独自の CMK をアップロードするか、Key Management Service (KMS) 内で独自の CMK を生成できます。

â キー保護対策：Alibaba Cloud は、NIST 800-57 の推奨事項に準拠し、認定済み暗号アルゴリズムと HSM (ハードウェアセキュリティモジュール) を採用した KMS インフラを活用して、業界標準のキー保護対策を実施しています。

 â中国本土以外で使用される HSM は FIPS 140-2 Level 3 認定を取得しています。
 âKMS には自動キーローテーション機能が搭載されており、CMK (カスタマーマスターキー) の自動ローテーションを設定できます。

● 設計段階からの暗号化：データ暗号化機能は、Elastic Block Storage (EBS)、Object Storage Service (OSS)、Relational Database Service (RDS)、MaxCompute、File Storage NAS など、さまざまな Alibaba Cloud プロダクトに統合されています。たとえば、OSS はサーバ側暗号化とクライアント側暗号化の両方に対応しています。

 ○ サーバ側暗号化：OSS は、サービスマネージドキーまたは BYOK CMK を使用してデータを暗号化します。
 ○ クライアント側暗号化：OSS では、お客様が自己管理キーまたは Alibaba Cloud KMS で生成した CMK を使用して、アップロード前にデータを暗号化できます。

Alibaba Cloud の堅牢なネットワークセキュリティ戦略は、信頼の構築とサービス信頼性の確保を支える基盤です。ネットワークセキュリティリスクを効果的に軽減するため、ネットワークアーキテクチャの強化、厳格なネットワークアクセス制御の適用、ネットワーク脅威に対する高度な検知・防御メカニズムの活用に取り組んでいます。本セクションでは、ネットワーク環境のセキュリティ態勢を継続的に最適化するために設計された、多層的なネットワークセキュリティ戦略の概要を説明します。

Alibaba Cloud は、初期アーキテクチャフェーズからネットワークセキュリティを戦略的に設計し、堅牢性、スケーラビリティ、安全性を確保しています。多層ネットワーク保護アプローチを採用し、境界防御から内部セグメンテーションまで各レイヤーを保護しています。この多層アプローチにより重要なリソースを分離し、攻撃者によるラテラルムーブメントのリスクを低減することで、ネットワークセキュリティ全体を強化しています。

â ネットワークセグメンテーション：Alibaba Cloud は、ネットワークを本番環境と非本番環境に分割することで、ネットワーク分離対策を実施し、セキュリティと制御を強化しています。この分離により、悪意のあるアクターがネットワーク内を自由に移動することを防止します。さらに、本番ネットワークをさらに分割し、外部サービスを提供するクラウドサービスネットワークと、基盤となるクラウドサービス機能を支える物理ネットワークを分離しています。

â 厳格なネットワークアクセス制御：クラウドサービスネットワークから物理ネットワークへのアクセスは、設定済みのネットワーク ACL によりデフォルトで無効化されています。Alibaba Cloud はさらに、許可されていないデバイスの内部ネットワークへの接続および物理サーバから外部デバイスへの接続開始を防止する厳格なネットワーク制御対策を実施しています。加えて、本番ネットワークの境界に踏み台サーバをデプロイし、集中管理を行うことで、本番ネットワーク内のすべてのアクセスアクティビティが監査および記録されることを確保しています。

Alibaba Cloud は、ネットワーク分離と厳格なネットワークアクセス制御に加え、悪意のあるネットワークアクティビティから保護するために、ネットワーク侵入検知・防御メカニズムをデプロイしています。

● リアルタイムのネットワーク検知と防御：Alibaba Cloud は、ネットワーク境界および内部セグメントに高度なネットワーク侵入検知システム (IDS) を配置し、不審なアクティビティや不正なアクティビティの兆候がないかトラフィックを自動的に監視して、悪意のあるネットワーク動作をセキュリティチームに通知しています。さらに、侵入防止システム (IPS) ルールを実装して悪意のあるトラフィックをブロックし、脅威からのプロアクティブな保護を実現しています。

● 迅速な対応と調査：Alibaba Cloud は、侵入検知および侵入防止メカニズムをセキュリティインシデント監視プラットフォームと統合し、不審なネットワークアクティビティの迅速な分析と侵入への素早い対応を可能にしています。この統合により、攻撃者が悪用できる時間的猶予を最小限に抑えています。

● 継続的なセキュリティ強化：Alibaba Cloud のセキュリティチームは、各セキュリティインシデントから得られた脅威インテリジェンスの知見を基に、検知ルールと防御ルールを継続的に更新し、ネットワークセキュリティを強化して新たな脅威に先んじて対応しています。

Alibaba Cloud は、ベンダーやサードパーティの従業員との関わりを管理し、ベンダー管理ライフサイクル全体でセキュリティを確保するために、包括的なベンダー管理プログラムを実施しています。本セクションでは、ベンダー契約前、契約中、契約後の各段階における堅固な管理策について説明します。これは、ベンダー管理におけるデータセキュリティとコンプライアンスの最適化に対する長期的なコミットメントを示すものです。

ベンダーオンボーディングフェーズでは、Alibaba Cloud は情報セキュリティとデータ保護に重点を置いた一連の厳格な評価・セキュリティ管理措置を実施し、各ベンダーが高いセキュリティ基準を満たしていることを確認します。

● ベンダーのデューデリジェンス：個人データを処理するベンダーに対し、Alibaba Cloud のセキュリティおよびコンプライアンスチームが徹底したデューデリジェンスを実施します。この評価では、情報セキュリティ管理フレームワーク、データ暗号化ポリシー、アクセス制御メカニズム、インシデント対応計画、その他の関連プラクティスを対象に、ベンダーのデータセキュリティおよびコンプライアンス能力を評価します。定められた基準に従い、ベンダーが個人データを効果的に保護することを目的としています。

● 契約上のセキュリティ要件：業務開始前に、すべてのベンダーは権利と義務、サービス範囲、機密保持条項、セキュリティおよびコンプライアンス要件、サービスレベルを規定する契約を締結する必要があります。この契約は Alibaba Cloud とベンダー間の関係を管理し、明確な期待事項と責任を確保します。

パートナーシップ期間中、ベンダーが厳格な情報セキュリティおよびデータ保護ポリシーを継続的に遵守することを確保するため、Alibaba Cloud はプロアクティブな監視メカニズムを確立しています。

â サードパーティ要員管理：Alibaba Cloud の委託先従業員は、情報セキュリティ意識に関する必須オンボーディングトレーニングを完了し、データセキュリティテストに合格するまで、内部ネットワークへのアクセスは許可されません。委託先従業員のアクセス行動はアクセス管理システムで管理・制御され、不正なデータアクセスを防止します。

â 継続的なコンプライアンスモニタリング：Alibaba Cloud は委託先に対する定期的なモニタリングを実施し、パートナーシップ期間を通じて情報セキュリティおよびデータ保護基準への準拠を確保します。たとえば、データセンターサービスプロバイダーはアクセスログ、重大インシデント、メンテナンス活動の概要、モニタリングシステムからの主要データなど、さまざまな項目を網羅した月次レポートを提出し、データセンターの安全で安定した運用を確保する必要があります。

â 復処理者リスト：Alibaba Cloud は、お客様に代わってメンバーコンテンツを処理する復処理者として認定される委託先の数を制限しています。復処理者は以下の 2 つのカテゴリに分類されます。

  â Alibaba Cloud プロダクト/サービスを支えるインフラを提供する Alibaba Cloud の関連企業。

  â 特定のサービスに対して特定の処理業務を行うため Alibaba Cloud が契約したサードパーティの委託先。お客様は Alibaba Cloud アカウントにログインして、Alibaba Cloud 復処理者リストにアクセスできます。

Alibaba Cloud は、お客様やパートナーに高信頼・高効率・安全なネットワークおよびコンピューティング能力を提供するため、グローバルなデータセンターポートフォリオを運用しています。これらのデータセンターは、Alibaba Cloud の 200 以上のプロダクトおよびサービスを支えるバックボーンです。インフラとお客様データの保護を確実にするため、Alibaba Cloud は自然災害から悪意ある物理的侵入まで、あらゆる脅威に対する第一の防衛線として、堅牢な物理的・環境的セキュリティプログラムを確立しています。本記事では、データセンターを保護するための Alibaba Cloud の多層的なアプローチと、セキュリティ対策を継続的に強化する取り組みの概要を説明します。

立地選定

データセンターの設立に先立ち、Alibaba Cloud は厳格な立地選定評価を実施し、潜在的なリスクを特定して軽減します。地震、洪水、極端な気象現象などの自然災害への露出を最小化するよう、戦略的に立地を選定しています。アベイラビリティゾーンは、レジリエンスを高めるために独立した地理的に離れた設計となっています。

電力冗長性

24 時間 365 日の無停止サービスを確保するため、Alibaba Cloud のデータセンターはデュアル主電源と冗長電力システムで稼働しています。一次電源と二次電源は同等の容量を備えています。電力障害が発生した場合は、冗長バッテリーパックとディーゼル発電機が起動し、データセンターの運用を長時間にわたり維持して、継続的なサービス可用性を確保します。

セキュアエリアと区画化

Alibaba Cloud は、データセンター施設をサーバルーム、オフィススペース、搬入エリアなどの指定区画に分割し、厳格な物理セキュリティ管理を実施しています。各エリアは機密レベルに応じて区画化され、それに応じたセキュリティ対策が適用されます。

従業員のアクセス制御

Alibaba Cloud データセンターへの入館は、許可された従業員のみに限定されています。アクセス権限の申請には正当な業務上の理由が必要であり、最小権限の原則に基づいて付与されます。すべてのアクセス権限には有効期限が設定されており、権限保持者の承認が必要です。従業員は指定されたエリアにのみ入室でき、アクセス権限は有効期限の到来とともに失効します。

サードパーティアクセス

請負業者や訪問者は、事前にアクセス申請を提出し、業務上の正当な理由を提示する必要があります。アクセスは承認されたエリアに限定され、最小権限の原則に基づいて付与されます。訪問者は常に Alibaba Cloud の承認済みスタッフの同伴が必要です。アクセス権限は承認された期間の終了後に自動的に取り消されます。

セキュリティ監視

Alibaba Cloud データセンターでは、エントランス、機器搬入エリア、重要アクセスゾーンなど、すべての主要出入口にビデオ監視を設置しています。監視映像は法規制やコンプライアンス要件に従って保管しています。さらに、アクセスログを定期的にレビューし安全に保管することで、入退室の状況を監視し異常を検知しています。

資産管理

Alibaba Cloud は、ストレージデバイスの受領からデプロイメント、メンテナンス、移管、再利用、廃棄に至るライフサイクル全体を管理するセキュリティ管理システムを構築しています。各デバイスは資産管理システムに記録され、所有者が割り当てられます。厳格なアクセス制御と継続的なモニタリングにより、すべてのハードウェア資産のセキュリティを確保しています。定期的なメンテナンスと監査を実施し、コンプライアンスへの準拠を検証しています。

ストレージメディアのセキュリティ

ストレージメディアを廃棄する際、Alibaba Cloud は NIST SP 800-88 規格に従い、安全なデータ消去を実施します。保存データは完全な除去を確保するため複数回消去されます。不要なストレージメディアはシュレッダーにより物理的に破壊します。消去および廃棄プロセス全体を文書化し、監査目的で保管しています。

空調管理

Alibaba Cloud のデータセンターには、最適な温度と湿度レベルを維持する精密空調システムが設置されています。これらの状態は電子的にモニタリングされ、逸脱が発生した場合は自動アラームがトリガーされ、直ちに是正措置がとられます。

消火設備

Alibaba Cloud のデータセンターには、熱感知センサーおよび煙感知センサーを搭載した高度な火災検知システムが設置されています。これらのセンサーは天井と床面の両方に配置されており、作動時には音声と視覚によるアラームを発報します。各データセンターにはガス式統合消火システムと消火器が備わっています。データセンター要員には定期的な防火トレーニングおよび訓練を実施し、迅速な対応能力を確保しています。

浸水対策

Alibaba Cloud データセンターは防水素材を使用して建設されており、耐水性に関する国家基準に準拠しています。建物は湿気や漏水の定期点検を実施し、問題が検出された場合は直ちに修復します。フロアには排水システムと隔離層を設け、浸水を防止しています。漏水検知センサーを水道管の近くに戦略的に配置し、漏水を検知するとアラームを発報して迅速な対応を可能にしています。

訓練と点検

Alibaba Cloud のデータセンターでは、停電などの物理的・環境的セキュリティインシデントを想定した定期的なセキュリティ訓練と点検を実施しています。これらの訓練結果は文書化され、得られた教訓はセキュリティ強化に反映されています。

リアルタイムモニタリングと分析

オンサイト要員が交代制で Alibaba Cloud データセンターの運用を 24 時間体制で監視しています。リアルタイムモニタリングシステムにより、温度や湿度などの環境条件やサーバのパフォーマンスを追跡しています。パラメータが基準範囲から逸脱した場合は自動アラートが発報され、オンサイトスタッフが直ちに対応します。

サードパーティ監査とコンプライアンス

Alibaba Cloud のデータセンターは、ISO 27001 (情報セキュリティ管理) や ISO 22301 (事業継続管理) など、業界をリードするセキュリティ基準に準拠しています。独立したサードパーティ監査人がこれらの基準への準拠状況を定期的に評価しています。詳細は、Alibaba Cloud Trust Center and Compliance Repository をご覧ください。

Alibaba Cloud は、高度なスキルを持つインシデント監視・対応チームが厳密なプロセスを統括する、最高水準の情報セキュリティ体制を運用しています。Alibaba Cloud のインシデント対応チームは、セキュリティインシデントの管理と被害軽減に専従する専門組織です。サービスの品質やセキュリティに影響を及ぼす予期せぬ事象に迅速に対応し、お客様データのセキュリティと整合性を維持するうえで重要な役割を担っています。

インシデントの性質に応じて、対応チームには以下の分野の専門家が加わる場合があります。

â インシデント対応コマンダー

â インシデントコーディネーター

â セキュリティスペシャリスト

â R&D・エンジニアリングスペシャリスト

â 法務・コンプライアンススペシャリスト

â 広報・政府渉外スペシャリスト

â カスタマーサポートスペシャリスト

Alibaba Cloud は、継続的なモニタリングと高度な脅威検知システムにより、セキュリティインシデントをリアルタイムで特定し対応しています。インシデント対応フレームワークは、インシデントの迅速かつ効果的な処理を確保し、サービス品質とお客様への影響を最小限に抑えることを目的としています。Alibaba Cloud のインシデント対応における最優先目標は、セキュリティインシデントを効率的に管理・軽減し、クラウド環境の継続性、可用性、セキュリティを確保することです。

Alibaba Cloud は、セキュリティインシデントに効果的に対応するため、以下の 5 ステップのアプローチを採用しています。

1. 検知と特定 — 侵入検知システム (IDS)、セキュリティ情報イベント管理 (SIEM)、異常検知アルゴリズムなどの高度なモニタリングツールを使用して、潜在的なセキュリティインシデントを特定します。不正アクセス試行や異常なデータ転送などの不審なアクティビティを継続的にモニタリングし、従業員やユーザーにも異常の報告を呼びかけています。

2. トリアージと対応 — インシデント対応チームがインシデントの重大度と影響範囲を評価します。インシデントは緊急性に基づいて分類され、影響を受けたシステムの隔離や侵害されたアカウントの無効化など、被害拡大を防ぐための即時封じ込め措置が講じられます。

3. 調査と分析 — セキュリティスペシャリストが根本原因分析 (RCA) を実施し、インシデントの原因と影響範囲を特定します。ログ、システムイメージ、ネットワークトラフィックに対してフォレンジック分析を行い、データ整合性やビジネス運用への影響を把握します。

4. 軽減と解決 — セキュリティパッチの適用、マルウェアの除去、検証済みバックアップからの影響システムの復旧により、インシデントを軽減します。主な調査結果、実施した対応策、今後の改善に向けた推奨事項を記載した詳細なインシデントレポートを作成します。

5. 事後改善 — Alibaba Cloud は、過去のインシデントを教訓にセキュリティ対策を強化します。セキュリティポリシーの更新、従業員へのサイバーセキュリティ教育、プロアクティブな脅威監視を行い、将来の脅威を防止します。

1. 検知と特定

セキュリティインシデントの迅速かつ正確な特定は、効果的なインシデント管理に不可欠です。Alibaba Cloud はリアルタイムモニタリング、自動アラート、継続的な監査を活用し、潜在的なセキュリティ脅威を検知・報告しています。

◗ モニタリングツール：SIEM (セキュリティ情報イベント管理) システム、IDS (侵入検知システム)、IPS (侵入防止システム) により、不審なアクティビティを特定します。

◗ 異常検知：複数回のログイン失敗、不正なデータアクセス、想定外のデータ転送などのイベントに対してアラートを発報します。

◗ ログ収集と分析：クラウドホスト、ネットワーク、アプリケーション、その他のインフラコンポーネントからログを収集し、セキュリティモニタリングアルゴリズムで分析します。

◗ インシデント報告：フィッシング攻撃の試みや異常なシステム動作など、不審なアクティビティを従業員やユーザーが報告することを推奨しています。

2. トリアージと対応

インシデントが検知されると、インシデント対応チームが潜在的な影響に基づいて分類と優先順位付けを行います。

â インシデント分類：以下の要因に基づき、重大度レベル (低、中、高) を割り当てます。

  â 侵害の原因と継続中かどうか。

  â 影響を受けた個人の数。

  â 侵害されたデータの種類。

  â ビジネス運用への影響。

  â 外部支援の必要性 (法的対応や規制対応など)。

â封じ込め措置：影響を受けたシステムの隔離、アクセス権限の取り消し、侵害されたアカウントの無効化など、さらなる被害を防止するための即時対応を行います。

â証拠の保全：システムログ、スナップショット、その他のフォレンジックデータを調査のため安全に保管します。

3. 調査と分析

Alibaba Cloud のセキュリティスペシャリストが、インシデントの原因、範囲、影響を把握するため徹底的な調査を実施します。

â 根本原因分析 (RCA)：脆弱性、攻撃ベクトル、悪用された弱点を特定します。

â フォレンジック分析：ログ、システムイメージ、ネットワークトラフィックを調査し、攻撃者の活動を追跡します。

â 影響評価：侵害されたデータ、業務への影響、潜在的な財務損失、規制上の影響を評価します。

4. 軽減と解決

対応および復旧フェーズでは、インシデントの軽減と影響を受けたシステムの復元に重点を置きます。

● 是正措置：セキュリティパッチの適用、設定の更新、マルウェアの除去を行います。

● データおよびシステムの復元：クリーンなバックアップを検証して復元し、データ整合性を確保します。

● インシデントの文書化：以下の内容を含む詳細なレポートを作成します。

● イベントのタイムライン。

● 実施した措置。

● 調査結果。

● 是正措置。

● 今後の改善に向けた推奨事項。

● ステークホルダーへの連絡：法的義務に従い、影響を受けたユーザー、規制当局、その他のステークホルダーに通知します。Alibaba Cloud はメール、公式声明、カスタマーサポートを通じて、透明性の高いコミュニケーションを確保します。

5. インシデント事後改善

Alibaba Cloud は、過去のインシデントから学び、インシデント対応戦略を継続的に改善しています。

● セキュリティフレームワークの強化：得られた教訓に基づき、ポリシー、手順、技術的なセーフガードを更新します。

● トレーニングおよび意識向上プログラム：サイバーセキュリティの脅威やインシデント対応のベストプラクティスに関する継続的なトレーニングを従業員に提供しています。

● 外部セキュリティ監査：Alibaba Cloud はサードパーティの専門家と連携し、セキュリティ評価を実施して改善すべき領域を特定します。

● 予防的脅威モニタリング：定期的なセキュリティ評価、ペネトレーションテスト、異常検知を実施し、潜在的な脅威がエスカレートする前に特定して軽減します。

Alibaba Cloud は、インフラストラクチャを保護し、最高水準のセキュリティとサービスの信頼性を確保するために設計された、包括的な脆弱性管理プログラムを運用しています。グローバルなサイバーセキュリティ戦略の重要な一部として、システムやサービスを侵害する可能性のある脆弱性の特定、評価、軽減に注力しています。本セクションでは、Alibaba Cloud の多層的な脆弱性管理アプローチと、継続的なセキュリティ強化への取り組みについて説明します。

Alibaba Cloud の脅威・脆弱性管理プログラムは、システムの欠陥や不正行為を検出し、適時に修正措置を講じることで、Alibaba Cloud のインフラおよびお客様環境のセキュリティを確保します。脆弱性は、以下を含む複数のチャネルを通じて検出・報告されます。

● 内部報告とスキャン：内部セキュリティメカニズムには、自動脆弱性スキャンおよび手動セキュリティ監査が含まれます。これらのプロセスにより、ネットワークコンポーネント、サーバ、アプリケーション、データベースの潜在的な脆弱性を徹底的に検査しています。

● 外部報告：Alibaba Security Response Center (ASRC)、Alibaba Cloud Crowdsourced Security Testing Platform、サードパーティの脅威インテリジェンスソースなどの外部セキュリティ機関と連携しています。これらのチャネルを通じて、特にオープンソースのサードパーティコンポーネントに影響する CVE (共通脆弱性識別子) を追跡しています。

特定されたすべての脆弱性はセキュリティ脆弱性管理プラットフォームに集約され、事前定義されたセキュリティ監視アルゴリズムに基づき、厳密な分析、分類、優先順位付けが行われます。

脆弱性が特定・検証されると、重大度、潜在的な影響、悪用の可能性に基づいて優先順位が付けられます。リスク評価と修復プロセスには以下の内容が含まれます。

● 緊急パッチ適用：重大な脆弱性に対しては、堅牢なパッチ管理システムを通じて、即座にパッチ適用と設定変更を実施します。

● 長期的な軽減策：アーキテクチャの変更やリファクタリングが必要な複雑な脆弱性については、包括的な解決を確保するため、長期的な軽減計画を策定し実行します。

● 設定管理：

○ セキュリティチームが、システムのベースラインハードニング要件を定義する設定基準を維持しています。

○ これらの基準は年次でレビューおよび更新されます。

○ 自動設定スキャンツールがコンプライアンスを継続的にモニタリングし、逸脱を速やかに検知して是正します。

リスクベースの優先順位に基づき脆弱性に体系的に対処することで、Alibaba Cloud は運用効率を維持しながら潜在的なセキュリティ脅威を最小限に抑えています。

Alibaba Cloud の脆弱性管理プログラムは、セキュリティ態勢の維持と強化を目的とした継続的なプロセスです。主な取り組みは以下のとおりです。

â プロアクティブな脅威インテリジェンス：

  â グローバルな脅威インテリジェンスプラットフォームと外部の脆弱性データベースを活用し、新たなセキュリティ脅威に先手を打ちます。

â ペネトレーションテストとセキュリティ訓練：

  â 社内のレッドチームと外部のセキュリティ専門家が定期的にペネトレーションテストを実施し、インフラのセキュリティ態勢を評価します。

  â 攻防訓練により、脅威検知と対応の能力を体系的に評価・強化します。

âセキュリティトレーニングと意識啓発：

  â 継続的な従業員教育プログラムに投資し、すべてのスタッフがセキュリティ脅威を効果的に識別、報告、対応できるようにしています。

  â このセキュリティファーストの文化が、Alibaba Cloud の脆弱性を先手で検知し軽減する能力を強化しています。

透明性とコラボレーションは、Alibaba Cloud の脆弱性管理戦略の重要な構成要素です。お客様やより幅広いサイバーセキュリティコミュニティと積極的に連携し、協調的なセキュリティアプローチを推進しています。

â 脆弱性報告とバグバウンティプログラム：

  â Alibaba Cloud は、外部のセキュリティ研究者に脆弱性の報告を奨励するバグバウンティプログラムを運営し、社内チームにとどまらないセキュリティ能力の強化を図っています。

  â 詳細は Alibaba Security Response Center (ASRC) をご覧ください。

â 透明性の高い報告とお客様へのコミュニケーション：

  â 特定された脆弱性と修復対応について、お客様に積極的に情報を提供し、セキュリティ管理の透明性を確保しています。

  â 信頼と協力を促進するこのアプローチにより、お客様は新たな脅威に対して自社のセキュリティ防御を強化できます。