データ インシデント対応プロセス

PDF 版をダウンロード

はじめに

お客様データのための安全な環境の維持は、Google Cloud が最も優先して取り組んでいることです。Google はお客様データを保護するために、厳格なプロセス、世界クラスのチーム、多層構造の情報セキュリティとプライバシー インフラストラクチャを組み合わせた、業界最先端の情報セキュリティ オペレーションを実行しています。このドキュメントでは、Google Cloud でのデータ インシデントの管理と対応に関する Google 特定の原則について説明します。

インシデント対応は、Google 全体のセキュリティおよびプライバシー プログラムの重要な要素です。Google は、データ インシデントを管理するための厳格な手順を実施しています。この手順では、お客様データの機密性保持、整合性、可用性に影響を与える可能性のあるインシデントのアクション、エスカレーション、リスク軽減、解決、通知を指定します。

Google では、データ インシデントとは、Google が管理または制御しているシステム上のお客様データの偶発的または違法な破壊、紛失、改ざん、不正開示、またはお客様データへのアクセスを招く、Google セキュリティ違反と定義されます。Google はデータとシステムに対する予測可能な脅威への対策を講じていますが、データ インシデントには、ファイアウォールまたはネットワーク システムへのログイン試行、ping、ポートスキャンの失敗や、サービス拒否攻撃、その他のネットワーク攻撃など、お客様データのセキュリティ侵害にはつながらない試行の失敗や活動は含まれません。

Google によるお客様データの安全性の向上

お客様データのセキュリティは最も重要ですが、セキュリティは Google とお客様が共同で取り組んだ成果として得られるものです。Google が基盤となるクラウド インフラストラクチャとサービスを保護する一方で、お客様は、Google のクラウド インフラストラクチャ上に構築するお客様のアプリケーション、デバイス、システムを保護します。Google は、Google レベルのセキュリティ対策を実現するため、次のようなガイダンスと複数のセキュリティ機能をお客様に提供しています。

  • ID とアクセスの管理

  • 保管中送信中のデータの暗号化(デフォルト)。お客様が追加で作業する必要はありません。

  • フィッシング耐性のあるハードウェアの 2 段階キーを含む多要素認証

  • Virtual Private Cloud(VPC)、共有 VPC、SaaS(Software-as-a-Service)ソリューションや PaaS(Platform-as-a-Service)ソリューション用の組み込み型 DDoS 対策、IaaS(Infrastructure as a service)ソリューション用の同様のオプションなど、さまざまなネットワーク セキュリティ オプション

  • 詳細な監査ログ

Google によるクラウドの保護について詳しくは、Google インフラストラクチャのセキュリティ設計の概要ドキュメントと、関連する NEXT '18 セキュリティ プレゼンテーションをご覧になるか、Google Cloud のセキュリティ サイトにアクセスしてください。

お客様は、Google Cloud で使用するサービス全体を確認できます。お客様は G Suite のセキュリティ センターを使用して、Gmail、ドライブ、デバイス、OAuth、ユーザー アカウントに関する問題を防止、検出、修正できます。GCP についても同様に、お客様は Cloud Security Command Center を使用して、組織全体の資産、脆弱性、リスク、ポリシーを確認できます。

お客様は、自身のニーズを満たすようにセキュリティ機能を適切に構成し、ソフトウェアの更新をインストールして、ネットワーク セキュリティ ゾーンとファイアウォールを設定する必要があります。さらに、サービスのエンドユーザーが自分のアカウント認証情報を保護していること、機密データを権限のないユーザーに公開していないことを確認する必要があります。

図 1 は、お客様が活用するマネージド サービスの範囲に基づいて、お客様と Google の間で責任がどのように変化するかを示した例です。お客様がオンプレミスのソリューションから IaaS、PaaS、SaaS のクラウド コンピューティングへと移行するのに伴い、Google によるクラウド サービスの管理負担が増え、お客様によるセキュリティ責任は減ります。

クラウド セキュリティ構成の詳細については、各プロダクトのドキュメントをご覧ください。

責任を示す図

データ インシデント対応

Google のインシデント対応プログラムは、数多くの特別な役割を果たす、熟練したインシデント対応担当者のチームが管理し、各インシデントが提示する課題に適切に対応します。専門的な対応チームはインシデントの性質に応じて以下の分野に対処します。

  • クラウド インシデント管理
  • プロダクト エンジニアリング
  • サイト信頼性エンジニアリング
  • クラウド セキュリティとプライバシー
  • デジタル フォレンジック
  • グローバル調査
  • シグナル検出
  • セキュリティ、プライバシー、プロダクトに関する助言
  • 信頼性と安全性
  • 不正行為対抗技術
  • カスタマー サポート

こうしたチームの対象分野の専門家がさまざまな方法でインシデント対応に取り組んでいます。たとえば、インシデント コマンダーがインシデント対応を調整し、必要に応じてデジタル フォレンジック チームが進行中の攻撃を検出し、フォレンジック調査を実行します。プロダクト エンジニアは、お客様への影響を抑え、影響を受けるプロダクトを修正するためのソリューションを提供するよう努めます。法務チームは適切なセキュリティおよびプライバシー チームのメンバーと協力して、証拠収集に関する Google の戦略を実行しつつ、法執行機関や政府規制機関と連携して、法的問題や要件について助言します。サポート担当者は、追加の情報や支援に関するお客様からの問い合わせと依頼に対応します。

チーム編成

Google がインシデントを通告すると、インシデント対応とインシデント解決を図るインシデント コマンダーが指名されます。インシデント コマンダーはさまざまなチームから専門家を選び、対応チームを編成します。標準的な対応組織は以下の図 2 のようになります。インシデント コマンダーは、インシデントのさまざまな要素を管理する責任をこれらの専門家に委任し、インシデント宣言から終結までを管理します。図 2 は、インシデント対応時にさまざまな役割を担う組織とそれぞれの責任を示しています。

データ インシデント対応チームの組織

データ インシデント対応プロセス

すべてのデータ インシデントは独特であり、データ インシデント対応プロセスの目的は、お客様データの保護、通常サービスのできるだけ早い復旧、規制および契約上のコンプライアンス要件の遵守です。Google のインシデント対応プログラムには次のプロセスがあります。

インシデント対応のワークフロー

識別

インシデントを早期に正確に識別することが、強力で効果的なインシデント管理実現の鍵となります。この段階で重要なのは、潜在的なデータ インシデントを検出して報告するためにセキュリティ イベントを監視することです。

Google のインシデント検出チームは、潜在的なインシデントの早期識別を実現する高度な検出ツール、シグナル、アラート メカニズムを採用しています。

Google のインシデント検出のソースは次のとおりです。

  • 自動ネットワークとシステムログ分析 - ネットワーク トラフィックとシステム アクセスの自動分析により、不審なアクティビティ、不適切なアクティビティ、未承認のアクティビティを識別し、Google のセキュリティ担当者に問題を報告します

  • テスト - Google のセキュリティ チームは、侵入テスト、品質保証(QA)対策、侵入検知、ソフトウェアのセキュリティ レビューを利用して、セキュリティ上の脅威を常に探しています

  • 内部コードレビュー - ソースコード レビューによって、隠れた脆弱性や設計上の欠陥を発見し、重要なセキュリティ管理が実施されているかどうかを検証します

  • プロダクト固有のツールとプロセス - Google がプロダクト レベルでインシデントを検出する能力を高めるために、チームの役割に固有の自動ツールが可能な限り採用されています

  • 使用状況の異常検出 - Google では、ブラウザ、デバイス、アプリケーション ログインなどの、使用状況イベント全体で安全なユーザー アクティビティと異常なユーザー アクティビティを区別するために、何層にもわたる機械学習システムを採用しています

  • データセンターや職場サービスのセキュリティ アラート - データセンターのセキュリティ アラートは、Google のインフラストラクチャに影響する可能性のあるインシデントがないか探しています

  • Google の社員 - Google の社員が異常を検出し、それを報告します

  • Google の脆弱性報奨金プログラム - Google が所有するブラウザの拡張機能、モバイル、ウェブ アプリケーションにある、ユーザーデータの機密性または整合性に影響を及ぼす潜在的な技術的脆弱性が、外部のセキュリティ研究者によって報告されることがあります

調整

インシデントが報告されると、オンコール対応担当者はインシデント レポートの性質をレビューおよび評価して、それが潜在的なデータ インシデントを表しているかどうかを判断し、Google のインシデント対応プロセスを開始します。

確認されたインシデントはインシデント コマンダーに引き渡され、コマンダーはインシデントの性質を評価し、調整された手順でインシデントに対応します。ここでの対応には、インシデントのトリアージ評価の完了、必要に応じた重大度の調整、事実をレビューして調査が必要な主要分野を識別する、適切な運用 / 技術リードによる必要なインシデント対応チームの動員などがあります。また、どのように対応するかについて重要な決定を下すプロダクト リードと法務リードを指名します。インシデント コマンダーが調査の責任を割り当て、事実が収集されます。

Google による対応の多くの要素は、インシデント対応チームによって収集、分析された、重要な事実に基づく重大度の評価に依存しています。次のような基準があります。

  • お客様、第三者、Google に損害を与える可能性

  • インシデントの性質(データが破壊された可能性がある、アクセスされた、または利用できないなど)

  • 影響を受ける可能性のあるデータの種類

  • お客様のサービス利用へのインシデントの影響

  • インシデントのステータス(インシデントが分離している、継続している、または封じ込められているなど)

インシデント コマンダーや他のリードは、対応の取り組み全体を通じてこれらの要因を定期的に再評価します。新しい情報の展開に伴って、Google の対応に適切なリソースと緊急度が割り当てられていることを確認する必要があるからです。最も重大な影響を与えるイベントには、最も高い重大度が設定されます。他のリードとのコミュニケーション プランを作成するためにコミュニケーション リードが任命されます。

解決

この段階では、根本原因の調査、インシデントの影響拡大の防止、早急な対応が必要なセキュリティ リスク(存在する場合)の解決、修復の一環としての必要な修正の実施、影響を受けるシステム、データ、サービスの復旧を行います。

インシデントの影響を受けたデータは、可能な限り元の状態に復元されます。インシデントに何が最適で必要なのかに従い、Google はさまざまな対策を講じてインシデントの解決を図ります。たとえば、問題の根本的な原因を再現するため、またはお客様データへの影響を特定するために、技術的またはフォレンジックな調査が必要になることがあります。不適切に変更または破壊されたデータについて、Google はバックアップ コピーからデータの復元を試みることがあります。

インシデントがお客様データに影響を及ぼした場合、お客様に通知することが非常に重要です。インシデントがお客様のデータに影響を及ぼしたかどうかを判断するために、インシデント全体を通して重要な事実が評価されます。評価の結果、該当するお客様に対して、インシデント コマンダーが通知プロセスを開始します。コミュニケーション リードは、プロダクト リードや法務リードからの情報を基にコミュニケーション プランを作成し、影響を受けたお客様に通知し、Google のサポートチームと協力してお客様の要求に応えます。

Google は、データ インシデントの既知の詳細、潜在的なリスクを軽減するための Google の取り組み、お客様がインシデントに対処するためのおすすめの措置を記載した、迅速で明確かつ正確な通知を提供するよう努めています。お客様がご自身の通知義務を評価して履行できるよう、Google はインシデントの明確化に努めます。

終結

データ インシデントが修正され、解決したら、インシデント対応チームはインシデントから得た教訓を評価します。重大な問題が報告されたインシデントについては、インシデント コマンダーは事後分析を開始することがあります。このプロセスでは、インシデント対応チームがインシデントの原因と Google の対応を確認し、改善が必要な重要分野を特定します。プロダクト チーム、エンジニアリング チーム、運用チームとの協議やプロダクトの改善作業が必要になることがあります。フォローアップ作業が必要な場合は、インシデント対応チームがその作業を完了するためのアクション プランを作成し、長期的な取り組みを先導するようにプロジェクト マネージャーを割り当てます。この一連の修復作業が完了した後、インシデントが終了します。

継続的な改善

Google では、あらゆるインシデントから学び、将来のインシデントを回避するための予防措置を講じるよう努めています。

インシデント分析から実用的な分析情報を得ることで、Google のツール、トレーニング、プロセス、Google 全体のセキュリティとプライバシー データ保護プログラム、セキュリティ ポリシー、対応の取り組みを強化できます。重要な教訓から、エンジニアリング作業に優先順位を付け、より優れたプロダクトの提供も促進されます。

Google のセキュリティおよびプライバシーの専門家は、すべてのネットワーク、システム、サービスに対するセキュリティ計画を見直すことで、セキュリティ プログラムを強化し、プロダクト チームとエンジニアリング チームにプロジェクト固有のコンサルティング サービスを提供します。専門家は、機械学習やデータ分析などの新たな技術を活用して Google のネットワーク上の不審な動作をモニタリングし、情報セキュリティ上の脅威に対処します。また、セキュリティ評価および監査を定期的に行い、外部の専門家による定期的なセキュリティ評価を実施します。「プロジェクト ゼロ」として知られるフルタイムのチームが、指定の攻撃を防ぐことを目的とし、バグをソフトウェア ベンダーに報告して外部データベースに記録しています。

Google は定期的にトレーニングや啓発キャンペーンを実施して、セキュリティとデータのプライバシーに関するイノベーションを促進しています。専任のインシデント対応スタッフは、サードパーティ ツールや独自ツールの使用など、フォレンジックや証拠物件の取り扱いの訓練を受けています。顧客の機密情報が保存されるシステムなどの重要な分野では、インシデント対応プロセスと手順のテストが実施されます。これらのテストでは、内部関係者による脅威やソフトウェアの脆弱性など、さまざまなシナリオが考慮されています。

Google のプロセスは、ISO-27017、ISO-27018、ISO-27001、PCI-DSS、SOC 2、FedRAMP の各プログラムの一環として定期的にテストされています。これにより、Google のお客様や規制当局に対して、Google のセキュリティ、プライバシー、コンプライアンスの独立した機関による検証結果が提供されます。Google Cloud の第三者機関による認証の包括的なリストはこちらから入手できます

まとめ

上記で詳述したように、Google は以下の重要な機能を提供する世界クラスのインシデント対応プログラムを実施しています。

  • インシデントを解決するための業界最先端の技術に基づいて構築され、Google 全体で効率的に機能するように改良されたプロセス

  • インシデントを事前に検出し、封じ込めるための先駆的なモニタリング システム、データ分析、機械学習サービス

  • 種類や規模を問わず、データ インシデントに対応できる専任の対象分野の専門家

  • Google の利用規約および顧客契約に関する Google の契約条項に沿って、影響を受けるお客様に迅速に通知する実績のあるプロセス

データの保護は Google のビジネスの中核をなす要素です。Google は、Google 全体のセキュリティ プログラム、リソース、専門知識に継続的に投資し、インシデントが発生した場合に効率的に対応することでお客様のデータを保護します。また、Google サービスにお客様が寄せる高い信頼性を維持できるよう努めています。

このページは役立ちましたか?評価をお願いいたします。

フィードバックを送信...