Microsoft Cloud for Sovereignty ポリシー ポートフォリオ
Azure は、さまざまな規制コンプライアンス フレームワークや業界標準に沿ったさまざまな組み込みイニシアチブを提供します。 これらの取り組みは、データ保護、ネットワーク・セキュリティ、アクセス制御などの重要な側面をカバーしています。 堅牢な構成と制御を実施することで、Azure リソースの主権とセキュリティの地位を強化し、機密データを不正アクセスから保護できます。
Microsoft Cloud for Sovereignty 定期的にイニシアチブを追加することで、既存の Azure組み込みイニシアチブ とカスタム ポリシー イニシアチブを拡張します。
Azure の搭載ポリシーの取り組み
Azure ビルトイン ポリシー イニシアチブは、Azure リソース全体の集中制御と特定の構成の実施を可能にする強力なツールセットです。 これらのイニシアチブは、ポリシー定義のコレクションで構成され、さまざまな規制フレームワーク、業界標準、セキュリティのベストプラクティスへの準拠をサポートします。
イニシアチブは、ガバナンスへの合理化された自動化されたアプローチを提供し、組織がコンプライアンスを大規模に管理および監視できるようにします。 ポリシーへの取り組みについては、 Azure のポリシー をご覧ください。
Azureカスタムポリシーイニシアチブ
Azureポリシーのカスタム イニシアチブを使用すると、一連のポリシーを組織固有の要件に合わせてカスタマイズできるため、マッピング に最適な標準とルールを適用するための制御が可能になります。 Microsoft Cloud for Sovereignty GitHubの industry-policy-portfolio リポジトリを通じて、いくつかのカスタム ポリシー イニシアチブとコンプライアンス マッピングにアクセスできるようになります。 Microsoft Cloud for Sovereignty ポリシー イニシアチブは、展開のカスタマイズを支援し、環境監査に必要な時間と複雑さを軽減し、確立された規制遵守フレームワークと政府要件を満たすのに役立ちます。
Microsoft Cloud for Sovereignty ポリシーの取り組み
Microsoft Cloud for Sovereignty イニシアチブとコンプライアンス マッピングは、Azure 労災のイニシアチブを拡張するもので、ポリシーの実施を自動化し、コンプライアンス違反のリスクを低減する堅牢なガバナンス フレームワークを構築するのに役立ちます。 さらに、データ保護対策も強化しています。 組織は、利用可能な規制コンプライアンス ビルトイン イニシアチブの大規模なスイートを使用することができます。
規制コンプライアンス ポリシー イニシアチブ
Microsoft Cloud for Sovereignty 業界ポリシー ポートフォリオ リポジトリで、いくつかの規制コンプライアンス ポリシー イニシアチブを管理しています。 このポートフォリオには、コンプライアンスへの取り組みを始めるのに役立つ一連の取り組みが含まれています。
これらのイニシアチブは、Azure組み込みおよびカスタム ポリシー イニシアチブとして利用できます。 組み込みのポリシー イニシアチブは、Azureポリシー ポータル ページから見つけることができます。 カスタム イニシアチブの場合は、イニシアチブをテナントにデプロイする必要があります。 詳細については、 industry-policy-portfolio リポジトリを参照してください。 このリポジトリに含まれるポリシー イニシアチブとファイルは、ポイントする の開始点として機能することを目的としています。 これらのファイルは、最終的な解決策や包括的な解決策となることを目的としたものではなく、取り組みを開始するための役立つリソースとなることを目的としています。
ポリシー イニシアチブに加えて、ポリシー フレームワークと目標 保護 を制御するための特定のポリシーに関する情報は、 industry-policy-portfolio リポジトリで確認できます。
ポートフォリオには以下の政策イニシアチブが含まれます。
- NIS2指令 (プレビュー)は、欧州連合全体の重要なインフラストラクチャとデジタルサービスのサイバーセキュリティと回復力を強化し、サイバー脅威に対するより高いレベルの保護を保証します。
- スペインの国家安全保障法（ENS）高水準セキュリティ対策 は、公的機関および情報通信技術（ICT）プロバイダーにセキュリティ管理を義務付け、保護 データおよびサービスに対するスペインおよびEUの標準への準拠を保証します。
- ニュージーランド情報セキュリティマニュアル (NZ ISM) は、ニュージーランド政府の情報とシステムを保護するためのプロセスと制御を確立することを目的としています。
- 政府情報セキュリティ ベースライン (Baseline informatiebeveiliging Overheid、オランダ語ではBIO) は、オランダ政府のすべてのレベル (中央政府、市町村、州、水道局) における情報セキュリティの基本的な標準フレームワークです。
- イタリアのクラウド戦略 には、イタリア行政機関のデータとデジタル サービスのクラウドへの移行に関する戦略的ガイドラインが含まれており、国家サイバーセキュリティ機関 (ACN) は、 クラウド サービスとクラウド サービス インフラストラクチャの認定に関する一連の要件を発行しました。
- カスタム Azure ポリシー イニシアチブとコントロール マッピングは、クラウド セキュリティ アライアンス (CSA) のクラウド コントロール マトリクス (CCM) v4 のクラウド コンピューティングのサイバー セキュリティ コントロール フレームワークで定義されたガイドラインを満たすのに役立ちます。
- Microsoft Cloud for Sovereignty ベースライン グローバル ポリシー と Microsoft Cloud for Sovereignty ベースライン機密ポリシー。
Microsoftは最近、規制コンプライアンスの組み込みポリシー イニシアチブをさらに2つ公開しました。 Microsoft Cloud for Sovereignty ベースライン グローバル ポリシー と Microsoft Cloud for Sovereignty ベースライン機密ポリシーです。
これらの規制コンプライアンス ポリシー イニシアチブの詳細については、 業界ポリシー ポートフォリオ を参照してください。
ソブリン ベースライン ポリシーの取り組み
Microsoft Clouds for Sovereignty ポリシー イニシアチブは、主に特定のセキュリティ コントロール フレームワークに対するコンプライアンスを実証するためのものです。 ただし、ソブリン ベースライン ポリシーの取り組みは、主権制御の枠組みの補完を目的とした特別な 搭載された Azure ポリシー イニシアチブ のセットです。
ソブリン コントロールは、Azure Confidential Computing オファリングの適切な利用を支援し、既存のセキュリティ コントロールのフレームワークが一般的に要求する以上のデータ保護ガードレールを、組織が導入しやすい方法で提供します。
Sovereignty Baseline ポリシー イニシアチブは、以下のように列挙された 1 つまたは複数の主権管理目的に対応する方法で、複数の Azure ポリシーを構成する簡単な方法を組織に提供します:
- 顧客データは、顧客が定義した要件に基づき、承認された地政学的地域に所在するデータセンターで完全に保存および処理されなければなりません。
- 顧客は、クラウドおよびマネージド サービス事業者による顧客データへのアクセスを承認する必要があります。
- 顧客が定義した機密性の高い顧客データには、クラウドおよびマネージドサービスのオペレータのみが暗号化された方法でのアクセスに制限刷る必要があります。
- 顧客は、顧客が定義した機密データを復号化するために使用される鍵にアクセスできる ID を決定する排他的な制御権を持つ必要があります。
これらの管理目標は、顧客データを保存または処理するさまざまな Azure オファリングにおける適切な使用と構成をサポートすることにより、データ主権に関する懸念に対処するための Azure が推奨するベストプラクティスです。 ベースライン内に含める必要がある他の管理目標があると思われる場合は、機能要求を作成 することができます。
ソブリン ベースライン ポリシーの取り組みは、ソブリン ランディング ゾーン がプレインストールされているか、または組み込みの Azure ポリシーとして任意の Azure テナントに展開できます。
ソブリン ベースライン ポリシーの取り組みは、搭載された規制コンプライアンスの取り組みを置き換えず、フレームワークに直接マッピングできません。 組織は、すべての適切な規制の枠組みへの準拠を実証するために、既存のイニシアチブを引き続き活用すべきです。
Microsoftがデータ主権をどのように捉えているかについて詳しくは、 ホワイト ペーパーをご覧ください。
重要
組織は、適用されるすべての法律および規制の遵守を確保する全責任を負います。 こちらで提供される情報は法的助言を構成するものではありませんので、規制遵守に関するご質問は、各組織の法律顧問にご相談ください。