新しい Google Cloud ホワイトペーパー: Cloud Key Management Service の有効な活用方法

クラウド へ の 移行 に より 、 セキュリティ の 脆弱 性 の 一部 を 除去 し 、 セキュリティ の 一部 の 分野 に つい て 責任 を 移転 でき ます 。 これ ら を 確実 に 行う に は 、 クラウド の 鍵 管理 が どの よう に 鍵 の 制御 、 アクセス 制御 、 モニタリング 、 データ 所在 地 、 耐久 性 に 影響 する か を 理解 する 必要 is あり が あり ます 。 また 、 Google cloud の 鍵 管理 オプション の アーキテクチャ と セキュリティ 体制 に つい て も 理解 する 必要 is あり が あり ます 。

• 「Cloud KMS プラットフォームを使用すると、Google Cloud のお客様は暗号鍵を 1 つの中央クラウド サービスで管理でき、直接または他のクラウド リソースおよびアプリケーションから暗号鍵を使用できるようになります。」

• 「Cloud KMS 暗号オペレーションは、FIPS 140-2 検証済みモジュールによって実行されます。保護レベルが SOFTWARE である鍵、およびそれらを使用して実行される暗号オペレーションは、FIPS 140-2 レベル 1 に準拠しています。保護レベルが HSM である鍵、およびそれらを使用して実行される暗号オペレーションは、FIPS 140-2 レベル 3 に準拠しています。」FIPS-140-2 レベル 3 はすでに長年使用されていますが、現在もクライアントが必要とする一部の暗号の標準であり、PCI DSS など他の規制にもマッピングされています。

• 「 ただし 、 cloud KMS API ジョブ は 鍵 マテリアル に アクセス でき ず 、 API インターフェース また は 別 の ユーザー インターフェース から 鍵 マテリアル を エクスポート また は 表示 する こと も でき ませ ん 。 暗号 化 さ れ て い ない 顧客 鍵 の マテリアル に アクセス できる Google 社員 is い は い ませ ん 。 鍵 マテリアル is 化 は さらに 、 ルート KMS の マスター 鍵 で 暗号 化 さ れ ます 。 マスター 鍵 に 個人 が 直接 アクセス する こと is でき は でき ませ ん 。 」 その ため 、 鍵 に アクセス し て コントロール できる の は お 客 様 のみ と なり ます 。

• これはセキュリティの注意事項として非常に重要です。優れた暗号化では、鍵を失えばデータは決して取り戻せません。一定の時間が経過した後は、クラウド プロバイダでさえデータを復元できなくなります。

• 具体的に言うと、「鍵の破棄がスケジュールされた後は、そのバージョンの鍵を暗号オペレーションに使用できません。24 時間以内なら、ユーザーはそのバージョンの鍵を復元し、破棄されないようにすることができます。」暗号化の一部のユースケースではこの機能が極めて重要になります。

• 「各 Cloud KMS データストアの基礎となるデータは、データが関連付けられている Google Cloud リージョン内にのみ存在します。」これは、データと鍵の所在地や、鍵の主権に関する厳格な要件が存在する一部のリージョンのお客様にとって特に重要です。

• 「Cloud HSM サービスは、Cloud KMS にハードウェア格納型鍵を提供します。お客様は、Google データセンターのフルマネージド ハードウェア セキュリティ モジュール（HSM）によって保護された暗号鍵を管理、使用できます。このサービスは可用性が高く、水平方向に自動スケーリングされます。」実際にそのとおりで、信頼できるハードウェアをベースとしながら、クラウドでの自動スケーリングが可能になっています。Cloud HSM を使用すると、FIPS 140-2 レベル 3 に準拠した HSM を使用して、コンプライアンス要件を満たすことができます。しかし、Cloud HSM は単なる 1 対 1 の置き換えではなく、HSM のスケーリング、フェイルオーバー、可用性に関連する作業とリスクを排除でき、Google サービスと完全に統合されています。

• 「 対象 と なる お 客 様 は アクセス の 透明 性 ログ を 有効 に する こと is でき も でき ます 。 これ に より 、 Google cloud 組織 で Google の 従業 員 が 行う た アクション の ログ を 参照 できる よう に なり ます 。 」 その 結果 、 クラウド の 鍵 管理 の 透過 性 レベル が 向上 し 、 最終 is なり 的 に は Google クラウド が より 信頼 できる もの と なり ます 。 同時 に 、 内部 関係 者 から の 特定 の 脅威 に 対する Google の システム の 復元 力 is 強化 も 強化 さ れ ます 。

• 「独自の鍵をクラウド環境にインポートすることもできます。たとえば、クラウドデータの暗号化に使用する鍵は、特定の方法や環境で生成しなければならないという規制上の要件が存在する場合があります。」その結果、鍵の管理がより複雑になることは確かですが、そのような外部要件が存在する場合は Google Cloud KMS で対応できます。

• 「単一のロケーション、デュアルリージョン、またはマルチリージョンのロケーションの場合、Cloud KMS はそのロケーションでのみソフトウェア格納型およびハードウェア格納型の顧客鍵と鍵マテリアルを作成、保存、処理します。」これにより、暗号鍵がクラウドの特定のリージョンから一切出ないようにすることも可能になります。これは、データの所在地に関する要件が存在するお客様にとって非常に有用な機能です。