Azure Data Box のセキュリティとデータ保護
Data Box は、承認済みのエンティティ以外データの閲覧、変更、削除ができないよう徹底することによって、データ保護のための安全なソリューションを実現しています。 この記事では、Azure Data Box のセキュリティに注目し、Azure Data Box ソリューションの各コンポーネントとそこに格納されるデータを保護する働きを持った機能について説明します。
Note
この記事は、デバイスまたはサービスから個人データを削除する手順について説明しており、GDPR の下で義務を果たすために使用できます。 GDPR に関する一般情報については、Microsoft Trust Center の GDPR に関するセクションおよび Service Trust Portal の GDPR に関するセクションをご覧ください。
各コンポーネントを通るデータのフロー
Microsoft Azure Data Box ソリューションは、互いに連携し合う 4 つのメイン コンポーネントで構成されています。
- Azure でホストされる Azure Data Box サービス - デバイスを発注して構成し、その注文を最後まで追跡するための管理サービス。
- Data Box デバイス - オンプレミスのデータを Azure にインポートするためにお客様に発送される転送デバイス。
- デバイスに接続されるクライアント/ホスト – お客様のインフラストラクチャにおいて保護の対象となるデータを格納しているクライアント。Data Box デバイスに接続されます。
- クラウド ストレージ – Azure クラウド内のデータの保存先となる場所。 この場所は通常、お客様が作成した Azure Data Box リソースにリンクされたストレージ アカウントです。
次の図は、オンプレミスから Azure への Azure Data Box ソリューション経由のデータの流れと、ソリューション経由でデータが流れるときのさまざまなセキュリティ機能を示しています。 このフローは Data Box のインポート注文に関するものです。
次の図は、Data Box のエクスポート注文に関するものです。
データがこのソリューションを通過すると、イベントがログに記録され、ログが生成されます。 詳細については、次に移動してください。
セキュリティ機能
Data Box は、承認済みのエンティティ以外データの閲覧、変更、削除ができないよう徹底することによって、データ保護のための安全なソリューションを実現しています。 このソリューションのセキュリティ機能は、ディスクおよび関連するサービスを対象としたものであり、そこに格納されるデータのセキュリティを確保するものです。
Data Box デバイスの保護
Data Box デバイスは、次の機能によって保護されます。
- 衝撃や、劣悪な輸送および環境条件に耐える頑丈なデバイス梱包。
- ハードウェアおよびソフトウェアの不正開封を検出し、デバイスに対するそれ以上の操作を防ぎます。
- ハードウェア ベースのセキュリティ関連機能を実行するトラステッド プラットフォーム モジュール (TPM)。 具体的には、TPM により、デバイスに保存する必要があるシークレットとデータを管理および保護します。
- Data Box 固有のソフトウェアのみを実行します。
- ロック状態で起動します。
- デバイスのロック解除パスキーによってデバイスへのアクセスを制御します。 このパスキーは、暗号化キーによって保護されています。 パスキーは、独自のカスタマー マネージド キーを使用して保護できます。 詳細については、「Azure Key Vault のカスタマー マネージド キーを Azure Data Box に使用する」を参照してください。
- デバイスとの間でデータをコピーするためのアクセス資格情報。 Azure portal の [デバイスの資格情報] ページへのすべてのアクセスはアクティビティ ログに記録されます。
- デバイスと共有へのアクセスには、独自のパスワードを使用できます。 詳細については、「チュートリアル: Azure Data Box を注文する」を参照してください。
証明書を使用してデバイスとの信頼関係を確立する
Data Box デバイスを使用すると、独自の証明書をインストールして、ローカル Web UI や blob ストレージへの接続に使用できます。 詳細については、「Data Box/Data Box Heavy デバイスで独自の証明書を使用する」を参照してください。
Data Box のデータ保護
Data Box に対する入出力データは、次の機能によって保護されます。
- 保存データの AES 256 ビット暗号化。 セキュリティが強力な環境では、ソフトウェアベースの二重暗号化を使用できます。 詳細については、「チュートリアル: Azure Data Box を注文する」を参照してください。
- 輸送中データのための暗号化プロトコルを使用できます。 データ サーバーからデータをコピーする場合は、そのデータを保護するために暗号化付き SMB 3.0 を使用することをお勧めします。
- Azure へのアップロードが完了したデータは、デバイスから確実に消去されます。 データ消去は、NIST 800-88r1 標準の ATA ハード ディスク ドライブに関する付録 A のガイドラインに従っています。 データ消去イベントは注文履歴に記録されます。
Data Box サービスの保護
Data Box サービスは、次の機能によって保護されます。
- Data Box サービスにアクセスするには、Data Box を含む Azure サブスクリプションを会社が保有している必要があります。 Azure ポータルから利用できる機能は、保有するサブスクリプションによって決まります。
- Data Box サービスは Azure でホストされるため、Azure のセキュリティ機能によって保護されます。 Microsoft Azure のセキュリティ機能の詳細については、「 Microsoft Azure セキュリティ センター」をご覧ください。
- Data Box の注文へのアクセスは、Azure ロールを使用して制御できます。 詳細については、Data Box の注文のアクセス制御の設定に関する記事を参照してください
- Data Box サービスでは、サービスでデバイスのロックを解除するために使用されるロック解除パスワードを保存します。
- Data Box サービスは、その注文の詳細と状態を格納します。 この情報は、注文が削除されると削除されます。
個人データの管理
Azure Data Box は、同サービスにおける次の主要なインスタンスに個人情報を収集して表示します。
通知設定 - お客様は、発注の際、ユーザーのメール アドレスを通知設定で構成することになります。 この情報は管理者が閲覧できます。 この情報は、ジョブが最終状態に達するか、お客様が注文を削除すると、サービスによって削除されます。
注文の詳細 - 発注後、ユーザーの配送先住所、メール、連絡先情報が Azure portal に格納されます。 たとえば、次の情報が保存の対象となります。
連絡先名
電話番号
電子メール
番地
市
郵便番号
完了状態
国/地方/地域
運送業者のアカウント番号
配送追跡番号
注文の詳細は、ジョブが完了するか、お客様が注文を削除すると、Data Box サービスによって削除されます。
配送先住所 - Data Box サービスは、注文を受けると、サード パーティの運送業者 (UPS、DHL など) に配送先住所を提供します。
詳細については、セキュリティ センターにある Microsoft のプライバシー ポリシーを確認してください。
セキュリティ ガイドラインのリファレンス
Data Box では、次のセキュリティ ガイドラインが実装されています。
| ガイドライン | 説明 |
|---|---|
| IEC 60529 IP52 | 水やほこりからの保護のため |
| ISTA 2A | 劣悪な輸送条件に対する耐久性のため |
| NIST SP 800-147 | 安全なファームウェア更新のため |
| FIPS 140-2 Level 2 | データ保護のため |
| NIST SP 800-88r1 の ATA ハード ディスク ドライブに関する付録 A | データのサニタイズのため |
次のステップ
- Data Box の要件を確認する。
- Data Box の制限事項を理解する。
- Azure portal で Azure Data Box をすばやく展開する。