デベロッパー

Google Cloud におけるデータセキュリティ

2022年8月2日

https://storage.googleapis.com/gweb-cloudblog-publish/images/Infrastructure_Security_Blog_Header_b7REOZ.max-2300x2300.png

Google Cloud Japan Team

※この投稿は米国時間 2022 年 7 月 20 日に、Google Cloud blog に投稿されたものの抄訳です。

データセキュリティは、組織のセキュリティ対策の要です。暗号化がデータセキュリティをコントロールする基本要素であることを踏まえ、Google Cloud には、保存データ、転送データ、さらには使用中のデータを暗号化するための複数のオプションが用意されています。ここでは、各オプションについてわかりやすくご説明します。

https://storage.googleapis.com/gweb-cloudblog-publish/images/Data-Security-in-Google-Cloud_v11-06-21_1.max-2000x2000.jpg

クリックして拡大

暗号化

保存データをデフォルトで暗号化

Google では、データ保護の取り組みの一環として保存データを暗号化し、暗号鍵への監査済みアクセス権が承認されているロールとサービスのみがアクセスできるようにしています。データはディスクに書き込まれる前に暗号化されます。その仕組みは次のとおりです。

データはまずチャンク化（断片に分割）され、それぞれのチャンクは独自のデータ暗号鍵で暗号化されます。
各データ暗号鍵は、鍵暗号鍵を使用してラップされます。その後、暗号化されたチャンクとラップされた暗号鍵は Google のストレージインフラストラクチャに分散されます。
データのチャンクが更新されると、元の鍵を再利用せず、新しい鍵を使用してこのチャンクを暗号化します。

データの取得が必要な場合は、その逆のプロセスを繰り返します。その結果、攻撃者が個々の鍵を侵害したり、ストレージに物理的にアクセスしたりしても、オブジェクト内のすべてのデータチャンクを特定、取得し、関連する暗号鍵を取得する必要があるため、顧客データを判読できません。

https://storage.googleapis.com/gweb-cloudblog-publish/images/Data_Security_2.max-2200x2200.png

転送データをデフォルトで暗号化

Google Cloud へのインターネットを介した通信には、適切に終端された TLS 接続が必要です。転送データを暗号化することで、ユーザーのサイトとクラウドプロバイダの間、または 2 つのサービスの間を移動する通信データが傍受された場合でも、そのデータのセキュリティが確保されます。この保護は、送信前のデータ暗号化、各エンドポイントの認証、到着時のデータ解読と検証により実現されます。たとえば、転送時のセキュリティを確保するための転送データの暗号化には Transport Layer Security（TLS）が、メールメッセージのセキュリティ確保には Secure/Multipurpose Internet Mail Extensions（S/MIME）がよく使用されます。

使用中のデータの暗号化: Confidential Computing

Confidential Computing は、処理中のデータを暗号化することで、メモリ内のデータの侵害や引き出しを防ぐ「3 つ目の軸」を追加します。使用中のデータの暗号化には Confidential VMs と Confidential GKE Node を使用します。これによって、Shielded VMs が提供する、ルートキットとブートキットに対する保護がさらに増強されます。

主なメモリ暗号化は、オンダイメモリコントローラ内の専用のハードウェアで行われます。各コントローラには、パフォーマンスの高い AES エンジンが含まれています。AES エンジンは、データが DRAM に書き込まれるとき、またはソケット間で共有されるときに暗号化し、データが読み込まれるときに復号します。Google には暗号鍵へのアクセス権はありません。

https://storage.googleapis.com/gweb-cloudblog-publish/images/Data_Security_3_1.max-2200x2200.png

保存データの暗号化オプション

デフォルトでの暗号化だけで十分な場合もありますが、Google Cloud では、顧客の信頼レベルとビジネスニーズに応じたその他のオプションも提供しています。

https://storage.googleapis.com/gweb-cloudblog-publish/images/Data_Security_4.max-2200x2200.png

顧客指定の暗号鍵（CSEK）

最小限の信頼で運用する必要がある場合は、顧客指定の暗号鍵（CSEK）を使用することで、独自のルートオブトラストを個別に維持し、API を介して鍵を使用時に Google Cloud に push することができます。これらの鍵は、特定の操作を実行するために必要な間、RAM に保存されます。

CSEK では、鍵の保護と紛失防止のための負担と責任はユーザーが負います。鍵を誤って削除したり紛失したりした場合、Google にはデータを復元する手段がありません。鍵の削除や紛失は犯しやすい間違いです。そのため、CSEK を使用する場合は、細心の注意を払うとともに、鍵をアプリケーションでの使用率に合わせて Google に push できるよう、独自の鍵配布システムに投資する必要があります。

鍵管理サービス（Cloud KMS）

もう 1 つのオプションは、鍵の完全な監査ロギングをはじめとした鍵オペレーションの制御を維持しつつ、グローバルにスケーラブルな鍵管理システムを活用できる Cloud Key Management Service です。このソリューションにより、鍵の可視性を制御しながら、独自の鍵配布システムを作成する必要性を軽減できます。

KMS では、Cloud KMS で作成および維持されている鍵が、Google のデフォルトの鍵暗号鍵に代わる鍵暗号鍵として使用されます。

ハードウェアセキュリティモジュール（HSM）

オプションで、クラウドでホストされているハードウェアセキュリティモジュールに鍵を保存することもできます。このサービスを利用すると、FIPS 140-2 レベル 3 の認定を受けた HSM のクラスタで暗号鍵をホストし、暗号オペレーションを実行できます。HSM クラスタは Google によって管理されるため、クラスタリング、スケーリング、パッチ適用などについて心配する必要はありません。Cloud HSM は Cloud KMS をフロントエンドとして使用するため、Cloud KMS によって提供されるすべての利便性と機能を活用できます。