セキュリティ & アイデンティティ

EU のお客様向けの新しいデータ主権管理

2021年10月20日

https://storage.googleapis.com/gweb-cloudblog-publish/images/Google_Cloud_security.max-2600x2600.jpg

Google Cloud Japan Team

※この投稿は米国時間 2021 年 10 月 7 日に、Google Cloud blog に投稿されたものの抄訳です。

ヨーロッパの組織では、公共部門でも民間部門でも、機能やイノベーションを犠牲にすることなく、セキュリティ、プライバシー、デジタル主権の要件を満たすクラウドプロバイダを求めています。Cloud On Europe’s Terms イニシアチブの一環として、Google は、自社のパブリッククラウドプラットフォームに必要な機能を組み込み、この分野のお客様のニーズを満たすソリューションの提供に熱心に取り組んできました。最近では、Google Cloud ソリューションを利用したデータ主権クラウドソリューションを、ドイツの T-Systems やフランスの Thales のような信頼できるパートナーを通じて提供することを発表しました。

本日は、データ主権に関わる要件を持つ欧州のお客様にとっての新たな選択肢として、Assured Workloads を通じて提供される一連のデータ主権管理機能のプレビュー版を発表いたします。これは、Google Cloud Platform での機能のデプロイと実行の自動化に役立つツールで、以下のような特長があります。

欧州連合のデータ所在地
顧客管理の暗号鍵など、データアクセスの暗号化制御
EU のロケーションから EU の担当者が提供する Google Cloud カスタマーサポート（近日提供予定）

これらの制御機能はワークロードごとに設定されるため、データ主権の要件が存在する場所に選択的に適用、施行できます。それぞれの機能の詳細について見てみましょう。

欧州連合のデータ所在地

欧州連合のデータ所在地により、EU 内の 5 つの Google Cloud リージョン（ベルギー、ドイツ、ポーランド、フィンランド、オランダ）から 1 つを指定し、そのリージョンにデータを保存してそこから離れないようにすることができます。Google は、Google Cloud Platform（GCP）の組織のポリシー制約を適用し、お客様のデータが指定の EU リージョンに保存されるよう制限することで、これを実現しています。このポリシーはワークロードの作成時に自動的に構成されるため、誤って EU リージョン以外にデータを保存する構成ミスが発生するリスクを低減できます。

このトピックに関する以前のブログ投稿でも説明したとおり、データ所在地を EU 内に留める機能により、欧州のお客様が現在抱えるデータ主権の要件を満たすことができます。しかしこの場合、お客様を起点としないデータへの管理アクセス（偶発的なアクセスや、地域の行政上の要求に起因するアクセスなど）の制御はできません。こうしたケースに対応するには、暗号化制御を駆使し、お客様自身が自社データへのアクセスを完全に管理する仕組みが必要になります。また、カスタマーサポートオペレーションも考慮に入れる必要があります。これらは両方とも Google のソリューションを活用して解決できます。

データアクセスの暗号化制御

データアクセスの暗号化制御は、Key Access Justifications（KAJ）と Cloud External Key Manager（EKM）を使用することで実現します。

現在一般提供されている Key Access Justifications では、通常であればお客様が制御できない状況（サービスの停止や第三者によるデータリクエストに対するレスポンスなど）においても、理由を問わず、Google 管理者によるお客様のデータへのアクセスを拒否できるようになります。これは、データが復号される明確な理由をお客様に開示することにより可能となります。お客様はこの機能を利用して、復号とデータアクセスの許可または拒否をプログラムを使って決定できます。

Key Access Justifications を Cloud External Key Manager とともに使用することで、以下がお客様に対して保証されます。

データ（Cloud Storage バケットなど）の状態を保存中から使用中に変更するすべての暗号鍵リクエストに対する可視性と、そのリクエストを正当化する理由の開示
リクエストのコンテキスト内での鍵の使用と、（サードパーティ機能を介して）設定した自動ポリシーの適用により、復号を明示的に許可または拒否するメカニズム
暗号鍵リクエストに対する Google Cloud の制御と正当化する理由との整合性をとるという Google Cloud のコミットメント

https://storage.googleapis.com/gweb-cloudblog-publish/images/How_Key_Access_Justifications_works.max-1200x1200.jpg

Key Access Justifications の仕組み

つまり、Google Cloud はお客様の承認なしに保存データを復号できず、どのような理由であれ、お客様は承認しないことを選択できるということです。たとえば、お客様は正当化の理由がポリシーに適合しないと判断したり、セキュリティ、プライバシー、または法務上の追加承認を必須に設定したりできます。

お客様は、自社データへのアクセスを完全に管理できます。以下はその理由です。

データは保存時に必ず暗号化される
Cloud EKM が使用されている場合、データの復号に必要な暗号鍵は Google の技術インフラストラクチャの外部で保存、管理される
お客様のデータを復号するには、Cloud EKM を使用し、お客様の外部管理鍵を Google 外部で呼び出す必要がある
すべてのリクエストに対する正当化の理由が開示され、どのような理由であれ必要ならプログラム（サードパーティの外部鍵マネージャー機能）を使ってリクエストをブロックできる
主要なリクエストの理由が詳細に説明されるため、お客様は自社データに何が起きているかを把握できる（たとえば、サポートチケットを送信していて、問題のトラブルシューティングを行うためにデータへのアクセスが必要な場合の CUSTOMER_INITIATED_SUPPORT）

Cloud External Key Manager は、Equinix、Fortanix、Ionic、Thales、Unbound のサードパーティ鍵管理プロダクトと統合されています。現時点で、Fortanix、Ionic、Thales が Key Access Justifications の使用をサポートしています。

Key Access Justifications は、BigQuery、Spanner、PubSub、Google Kubernetes Engine で一般提供、Google Compute Engine / Persistent Disk、Google Cloud Storage、Cloud SQL でプレビュー版が利用可能です。通常お客様の特に機密性の高いデータアセットが保存される Google Cloud サービスでは、データが保存状態から使用中状態に移行する際にも適用されます。

欧州でのサポート

データ主権の要件は、カスタマーサポートサービスにまで及ぶ可能性があり、場合によっては、サポートケースを送信するときや技術的サポートを受けるときに透明性と制御が求められます。Google Cloud はこの要件を満たすため、既存の Assured Support のサービスを EU に拡大します。お客様は、EU のロケーションの EU の担当者からサポートを受けることができます。この制御は、サイト信頼性エンジニアやサポート担当者にも拡張されます。

Assured Support のサービスは間もなく開始され、EU 向け Assured Workloads の一環としてお客様に提供されます。

デジタル主権の広範な要件を満たすためのその他の方法

Google は、これらの制御機能を使用してもすべてのデジタル主権に関する要件を満たすことができない場合があることを理解しています。お客様には、こうした制御を自社で独自に運用、検証できるようにする運用主権に関するニーズがさらにあるかもしれません。このニーズにこたえる役割を果たすのが信頼できるパートナーで、連携することで、運用主権を保証するための監視をさらに強化できます。パートナーを活用することで、プラットフォームに依存することなく、運用能力と主権の保証を継続的に進化、強化することが可能です。