Recommended
More Related Content
What's hot
What's hot (16)
Similar to Security for veritas saa s backup jp
Similar to Security for veritas saa s backup jp (20)
More from vxsejapan
More from vxsejapan (12)
Recently uploaded
Recently uploaded (14)
Security for veritas saa s backup jp
- 1. Veritas SaaS Backup 詳細セキュリティの概要 2020 年 4 月 ベリタステクノロジーズ合同会社 テクノロジーセールス&マーケティング本部 テクニカルホワイトペーパー
- 2. 2 免責事項 ベリタステクノロジーズ合同会社は、この文書の著作権を留保します。 また、記載された内容の無謬性を保証し ません。Veritas SaaS Backup は将来に渡って仕様を変更する可能性を常に含み、これらは予告なく行われる こともあります。なお、当ドキュメントの内容は参考資料として、読者の責任において管理/配布されるようお願い いたします。
- 3. 3 目次 免責事項 .................................................................................................................................................. 2 1. エグゼクティブサマリー...................................................................................................................... 4 2. 物理的なセキュリティ......................................................................................................................... 4 データセンターのセキュリティと冗長性 ................................................................................................... 4 TIER-3 データセンター ........................................................................................................................... 5 専用のプライベートダークファイバーネットワークバックボーン................................................................. 6 電源/冷却/ネットワーク .......................................................................................................................... 6 地理的な分散 ....................................................................................................................................... 7 データレプリケーション........................................................................................................................... 8 3. サイトセキュリティ.............................................................................................................................. 9 データレプリケーション........................................................................................................................... 9 バイオメトリックアクセス制御、カードリーダー、物理的分離..................................................................... 9 ゲストのアクセス ................................................................................................................................... 9 4. テクニカルセキュリティ....................................................................................................................... 9 インフラのセキュリティ ........................................................................................................................... 9 5. アプリケーションのセキュリティ ........................................................................................................ 10 ブロックチェーン技術による改ざん防止................................................................................................ 10 アクセスコントロールリスト(ACL).......................................................................................................... 11 信頼されたネットワーク認証 ................................................................................................................ 11 監査履歴 ............................................................................................................................................ 12 6. データセキュリティ........................................................................................................................... 13 トランジットにおける暗号化.................................................................................................................. 13 ユーザクセス....................................................................................................................................... 13 物理的なデータのセキュリティ ............................................................................................................. 14 休止時の暗号化 ................................................................................................................................. 14 7. 管理セキュリティ ............................................................................................................................. 14 個人のセキュリティ.............................................................................................................................. 14 プロセスのセキュリティ ........................................................................................................................ 15 8. 総括................................................................................................................................................ 22
- 4. 4 1. エグゼクティブサマリー ベリタスにとってセキュリティは最も重要です。Veritas SaaS Backup などのクラウドベースのサービスを提供す る際には、データの保存、処理、管理の方法についてよく質問されます。このドキュメントは、このような典型 的な、または高度なセキュリティに関する質問の多くにお答えするために提供されています。 ベリタス SaaS バックアップとは？ Veritas SaaS Backup は、Microsoft Office 365、Google Suite、Salesforce.com などの主要な SaaS (Software as a Service) アプリケーションを保護するために使用される、安全性の高いクラウドからクラウド へのバックアップサービスです。 Veritas SaaS Backup のセキュリティは 3 つの部分で構成されています。 1. 物理的なセキュリティ。建物や共同ロケーション施設のセキュリティ。 2. 技術的なセキュリティ。システム、ネットワーク、アプリケーションのセキュリティ 3. 管理部門のセキュリティ。組織のあらゆるレベルのプロセスの安全性を確保する。 このホワイトペーパーでは、これら 3 つの分野について詳細に検討します。 2. 物理的なセキュリティ ベリタスでは、ネットワーク、アプリケーション、データを安全に保つために、以下の物理的な制御を実施してい ます。 データセンターのセキュリティと冗⻑性 ISO 27001、SSAE 16 タイプ II SOC 2/ISAE 3402 タイプ II 準拠のデータセンター
- 5. 5 ISO27001 は、脅威と脆弱性を考慮に入れて、組織の情報セキュリティリスクを体系的に検討するための 基準を定めている。ISO27001 は、受け入れられないと判断されたリスクに対処するために、首尾一貫した 包括的な情報セキュリティ対策及び／又は他の形態のリスク処理（リスク回避やリスク移転など）を通じ て、設計に影響を与える。ISO27001 は、情報セキュリティ管理が組織の情報セキュリティニーズを継続的に 満たすことを保証するための包括的な管理プロセスである。 Statement on Standards on Standards for Attestation Engagements No.16（SSAE 16）および International Standard on Assurance Engagements 3402（ISAE 3402）は、米国公認会計士協 会（AICPA）および国際監査・保証基準委員会（IAASB）によって策定された国際的に認知された監 査基準です。タイプ II 監査とは、第三者がデータセンターの統制活動の詳細な監査を行うことを意味しま す。 当社のデータセンターは、SSAE 16 Type II SOC 2/ISAE 3402 認証を取得しており、セキュリティ対策の実 施に関する要件を規定しています。国際監査・保証基準委員会のメンバーは、組織の全体的なビジネスリ スクの文脈の中で、文書化された情報セキュリティマネジメントシステムの確立、実施、運用、監視、レビュ ー、維持、改善の要件を規定しています。情報資産を保護し、利害関係者に信頼を与える適切かつ比例 したセキュリティ管理の選択を確実にするためのものである。 サービス監査人の報告書は、ご要望に応じてご用意しております。 Tier-3 データセンター Tier-3 データセンターは、お客様のデータに対して高いレベルの物理的セキュリティと信頼性を保証します。 Uptime Institute では、データセンターの基盤となるインフラストラクチャをより公平に評価するために、4 段 階の評価システムを使用しています。最もシンプルなのは Tier-1 データセンターで、基本的にはコンピュータル ームです。最も厳しいレベルは Tier-4 データセンターで、最高レベルの物理的セキュリティと制御されたアクセ ス、24 時間 365 日のサーバー監視、ビデオ監視、オンサイト発電機による無停電電源装置を備え、ミッショ
- 6. 6 ンクリティカルなデータをホストするように設計されています。ベリタスの SaaS バックアップサービスはすべて、 Tier-3 の仕様に従って構築されたデータセンターから提供されます。 専用のプライベートダークファイバーネットワークバックボーン 当社のコロケーションデータセンターでは、専用のダークファイバーネットワーク接続を採用しており、ネットワーク の柔軟性と信頼性を最⼤限に高めるために、高度に冗⻑化された高速ファイバールートを提供しています。 Veritas SaaS Backup は、Veritas SaaS Backup が保護するさまざまなベンダーやアプリケーションとピアリ ングまたは直接交換することで直接接続されています。直接接続されているため、データ転送速度が最⼤に なり、個々のバックアップや初期バックアップのシーディングを迅速に行うことができます。 電源/冷却/ネットワーク 当社のデータセンタープロバイダーは、24 時間 365 日の無停電電源装置（UPS）と非常用電源のサポー トに特化しています。各データセンター施設には最低でも 2 つの電⼒源があり、その中には⻑期的なオフグリ ッド運用のための発電機能も含まれています。環境制御は自己完結型で、施設と収容システムがオンライ ンの状態を維持している限り、稼働を維持します。 UPS、発電機ともに定期的な保守・試験を実施しており、データセンターでは緊急時の燃料配送の手配を 行っています。 また、データセンターには専用のファシリティ・オペレーション・センターがあり、発電機、転送スイッチ、主開閉 器、電源管理モジュール、無停電電源装置など、すべての重要な電気コンポーネントを含む電源システムを 監視しています。
- 7. 7 データセンターの立地選定は、環境リスクの軽減を含む多くの基準を用いて行われます。地震の可能性が 高い地域では、施設の耐震補強を採用しています。データセンターは、プラットフォームの冗⻑性が高く、可 用性の高いコンポーネントとして構築されます。 物理的な制御は、火災、洪水、煙、水、粉塵、振動、地震、電気的干渉などの自然要因や災害から施 設内のシステムを保護するために実施されています。また、物理的な制御は、意図的な物理的攻撃のリス クを軽減するように設計されています。 地理的な分散 北米、ヨーロッパ、アジア太平洋地域では、ベリタスの SaaS Backup は、サービスを提供する各地域に近接 して配置された 2 つの負荷分散されたデータセンターで運用されています。各地域のデータセンターのペアは 物理的に分離されています。各施設は毎日終日稼働するように設計されており、停電、物理的侵入、ネッ トワーク停止から業務を保護するためのさまざまな対策を採用しています。データはストレージ層で自動的に 複製されるため、予期せぬハードウェアの故障を防ぎ、お客様のデータが必要なときに利用できるようになりま す。データは 1 つのリージョン内に 4 つのコピーを保管しています。 Veritas SaaS Backup は、3 つのデータセンターでホストされています。 - アメリカ⼤陸。 ワシントン D.C. - ヨーロッパ。 デンマーク、コペンハーゲン - アジア太平洋地域: オーストラリア、シドニー
- 8. 8 データレプリケーション データは各リージョンのデータセンター間で継続的に複製されます。各リージョンのデータセンター間でのレプリケ ーションにより、お客様のデータは合計 4 つのコピーになります。このサービスを利用することで、停電や災害な どでリージョン内のデータセンターの 1 つが失われた場合でも、データは耐久性を維持します。データは専用の ダークファイバー物理ネットワークを介して複製され、地域のデータセンター間の転送時のセキュリティを確保し ます。 データは、地域のデータセンター外のトランジットでは暗号化され、それ以外の場所では、さまざまなプロトコル を使用して設定可能な標準ベースのプロバイダを介して暗号化されます。 これには AES-256 が含まれま す。 Veritas SaaS Backup とバックアップされる個々のアプリケーション間のデータ転送は、Microsoft、 Google、Salesforce などのベンダーが提供するプロトコルによって決定され、通常は OAuth 2.0 を使用し て認証が行われます。
- 9. 9 3. サイトセキュリティ データレプリケーション バイオメトリックアクセス制御、カードリーダー、物理的分離 バイオメトリックアクセス制御、カードリーダー、物理的分離 Security Surveillance/Closed-circuit Television (CCTV)。 CCTV は、データセンターや情報システムへの物理的なアクセスを監視するために使用されます。カメラは、特 に、周辺のドア、施設の出入り口、内部の通路、檻の中のエリア、高セキュリティエリア、出荷と受け取り、 駐車場などの施設の外部エリア、および地域の構成に応じて施設のその他のエリアを監視するために配置 されています。 ゲストのアクセス 従業員および請負業者は、データセンターに入る必要があり、事前に承認を受けている必要があります。セ キュリティが異なるエリア間のドアには、許可されたバッジアクセスが必要で、ログとカメラで監視され、定期的 に監査されています。 4. テクニカルセキュリティ 以下の技術的なコントロールは、当社のインフラストラクチャ、アプリケーション、およびデータセキュリティポリシ ーをサポートしています。 インフラのセキュリティ 従業員および請負業者は、データセンターに入る必要があり、事前に承認を受けている必要があります。
- 10. 10 冗⻑なファイアウォール Veritas SaaS Backup は、ネットワーク上のインターネットベースの攻撃をブロックし、高可用性を維持するた めに、ベストオブブリードの冗⻑ファイアウォールを使用しています。 冗⻑ロードバランサー データセンターには、パフォーマンスと可用性を高めるために、最上位の冗⻑性を備えた高トラフィック・スルー プットのロードバランサーが設置されています。 最小限のシステムベースライン 標準サーバーの構築は、業界のベストプラクティス（CIS や NIST ベンチマークなど）に準拠しています。必要 なサービスのみがサーバー上で有効になります。当社のパッチ管理手順により、外部からの脅威やソフトウェア の脆弱性からの継続的なセキュリティ保護が保証されます。脆弱性スキャンにより、継続的なベースラインコ ンプライアンスを保証します。 5. アプリケーションのセキュリティ ブロックチェーン技術による改ざん防止 Veritas SaaS Backup は、既存のデータを上書きする手段がないことを保証するために、改ざん防止のため に構築されています。アプリケーションは、データの上書きを可能にする API やその他の手段を公開していませ ん。さらに、このアプリケーションは特許出願中のブロックチェーン・アルゴリズムを使用しているため、低レベルの 改ざんは不可能であり、容易に明らかになります。
- 11. 11 さらに、Veritas SaaS Backup は、設定されたすべてのバックアップ接続を最低 1 ヶ月間削除して保持する ことで、ランサムウェア攻撃によるデータ損失から顧客を完全に保護します。 アクセスコントロールリスト(ACL) Veritas SaaS バックアップには、システムへのアクセスを必要とするユーザを設定するために Veritas SaaS バ ックアップサポートに連絡して呼び出すことができる多数のきめ細かなパーミッションが含まれています。これら のユーザはソリューションのライセンスに影響しないため、各グループには不特定多数のユーザを設定できます。 Veritas SaaS Backup には以下の組み込みロールが含まれています。 信頼されたネットワーク認証 デフォルトでは、ユーザはユーザ名とパスワードを使用して Veritas SaaS Backup サービスにアクセスし、暗号 化された HTTPS ログインページで確認します。Veritas SaaS Backup のシンプルなパスワードはすべて保存、 暗号化、塩漬けされます。ログインページでは、ブルートフォース攻撃を回避するために、その後の再試行時に 単純な遅延メカニズムが発生します。 Veritas SaaS Backup は、Active Directory Federation Services (ADFS) などのセキュリティアサーション マークアップ言語 (SAML) 2.0 を通じてシングルサインオン (SSO) を活用し、信頼できるソースによる本人確 認を保証します。Veritas SaaS Backup はサービスプロバイダとして機能し、顧客のインフラストラクチャは ID プロバイダとして機能します。Veritas SaaS Backup の SSO 統合では、Veritas SaaS Backup の応答は 1 回しか許可されないため、リプレイ攻撃を許可しません。
- 12. 12 Veritas SaaS Backup 全体に SSO を展開することで、顧客は既存の SSO インフラストラクチャを活用し、 構成に応じて異なる多要素認証メカニズムを含めることができます。 監査履歴 管理者は監査を実施し、Veritas SaaS Backup の履歴を確認して、重要な統計情報やユーザクション、 管理者アクション、クラウドコネクタの設定変更、ユーザログイン、パスワードのリセット、プレビュー、ダウンロー ド、オブジェクトの共有を評価できます。 以下は、Veritas SaaS Backup 監査ログで現在記録されているイベントの一覧です。 ・クラウドコネクタの作成・削除は、アカウントが行います。 ・クラウドコネクタの設定をアカウントで変更する ・アカウントは、リストアダイアログから一般的なリストアを実行します。 ・アカウントがインポートダイアログからインポートを行う ・アカウントは、一般的な WebUI から単一のファイルまたはフォルダのリストアを実行します。 ・アカウントが WebUI を介してファイルをダウンロードする。 ・アカウントが WebUI でファイルをプレビューする ・アカウントがフォルダ全体を.zip ファイルとしてダウンロードする場合 ・チームメンバーがベリタス SaaS バックアップの Web サイトにサインインした、またはサインインできなかった。 ・チームメンバーがパスワードまたは 2 段階認証の設定を変更した。 ・ユーザがリストアまたはインポートを実行するたびに ・アカウントがリンクを作成したり、共有したりする ・アカウントがリンクを削除する ・アカウントがオブジェクトをプレビューする
- 13. 13 ・アカウントがオブジェクトをダウンロードする 6. データセキュリティ ベリタス SaaS バックアップでは、データベースやデータの安全性を確保するために、さまざまなセキュリティ対策 を採用しています。 トランジットにおける暗号化 クライアントがアーカイブ用に Veritas SaaS Backup にデータを送信する場合、通常は TLS (Transport Layer Security) で暗号化されたトンネルを使用します。TLS は暗号化プロトコルで、インターネットを介して 送信される通信やその他のデータ転送のセキュリティを提供します。TLS 暗号化によってデータの機密性と完 全性が維持されるため、転送中にデータが変更されたり、傍受されたり、閲覧されたりすることはありません。 Veritas SaaS Backup は TLS 1.2 のみを使用し、TLS 1.0、1.1、およびすべてのバージョンの SSL (Secure Socket Layer) は非推奨となっています。 ユーザクセス クライアントが Veritas SaaS Backup を使用してアカウントにアクセスする際には、前述のように認証情報 (ログインとパスワード) を提供するか、SSO を介して行う必要があり、アプリケーションへのアクセスには安全な TLS 接続が使用されます。TLS はサーバーとコンピュータ間で送信されるデータを暗号化するため、第三者が 送信を「盗聴」したり、送信中のデータを閲覧したりすることはできません。ユーザのコンピュータと当社のセキュ アサーバーのみがデータにアクセスすることができます。
- 14. 14 物理的なデータのセキュリティ すべてのデータドライブは業界標準の暗号化技術を使用して暗号化されており、廃炉時にはすべてのドライ ブが物理的にシュレッダーにかけられます。データは冗⻑ディスクの⼤規模な配列に分散されています。すべて のデータはチャンクに分割され、地域の異なる場所にある複数の物理ディスクにコピーされます。 休止時の暗号化 データは、各ストレージノードのペアに対して一意の対称鍵で暗号化されます。暗号化キーは 256 ビットの AES（Advanced Encryption Standard）です。 クライアントが当社のサービスを介して認証することを選択した場合、保存されているユーザのパスワードは、 256bit-SHA2 ハッシュアルゴリズムを使用して、⼤規模なランダムな塩を使用してハッシュ化します。これは、 万が一データベースが漏洩した場合に重要です。 7. 管理セキュリティ Veritas SaaS Backup は、階層化されたセキュリティ戦略により防御⼒の高いセキュリティを確保するため に、いくつかの管理制御を実施しています。管理制御対策は、ポリシーとプロセスを組み合わせて実施されま す。Veritas SaaS Backup は、該当する場合には以下の管理対策を実施しています。すべての管理セキュ リティ対策は、独立した第 3 者の監査人によって毎年監査されています。 個人のセキュリティ 従業員のスクリーニング
- 15. 15 新入社員には厳格なセキュリティプロセスが敷かれています。ベリタスの SaaS バックアップオフィスで業務を 開始する前に、新入社員は徹底的な身元調査に合格しなければなりません。現在の身元調査は、関連 する法律や規制に基づいて実施され、犯罪歴の調査と前の雇用主の照会先のチェックで構成されていま す。さらに、雇用契約の一部には法的拘束⼒のあるセキュリティ契約があります。 当社の IT セキュリティポリシーでは、すべての派遣社員とサードパーティのサービスプロバイダに対して、包括的 な身元調査を行うことを義務付けています。オフィスやシステムにアクセスする人（派遣社員、請負業者、 データセンターの従業員など）は誰でも、仕事を始める前にセキュリティ基準を遵守し、従業員の身元調査 を行う必要があります。雇用の一環として、機密性やセキュリティポリシーに違反した場合には、懲戒プロセ スが設けられています。 プロセスのセキュリティ 安全な開発方針 Veritas SaaS Backup はアジャイル手法に基づいた厳格な手順で開発されており、各タスクの設計、見積 もり、ピアレビュー、テストが確実に行われています。さらに、Veritas SaaS Backup アプリケーションの主要コ ンポーネントは、継続的な自動テストによって継続的に強化されています。すべての開発は、独立した安全な 開発システムで行われています。すべてのエンジニアは、定期的なセキュリティトレーニングを受け、安全なアプ リケーション開発のための最新技術に関する継続的な教育を受けています。 変更管理 Veritas SaaS Backup は、サービスのパフォーマンスとセキュリティを向上させるために、さまざまな機能強化や 修正を定期的にリリースしています。セキュリティリスクを最小限に抑え、サービスの稼働時間を最⼤化するた めに、詳細な変更および構成管理プロセスに従っています。本番環境への変更には、関連する変更管理リ
- 16. 16 クエストが必要です。変更は、変更管理リクエストと関連する承認なしには実施できません。厳格な変更管 理には以下のようなメリットがあります。 ・生産の変更点を追跡する。 ・実施前の変更点のピアレベルおよび管理者レベルでのレビュー。 ・変更を文書化する。 ・何が、どこで、いつ、どのような変更が行われているのか、中央のナレッジベース。 変更が発生しない場合は、変更を実行するためのプロセス、変更後のテスト、およびフォールバック手順を文 書化しています。 アクセス管理 当社のアクセス管理ポリシーをサポートするために、ユーザのアクセス管理の実践が存在します。アクセス、オ ンボーディング、変更要求、または 解約は、管理者レベル(またはそれ以上)の従業員のみが行うことができま す。アクセスは、最小特権、デフォルトの拒否、および職務の分離の原則に基づいて提供されます。すべての アカウントは一意であり、その使用は監査と説明責任の目的のために記録されます。すべてのリモート管理ア クセスには、二要素認証を組み合わせた VPN トンネルの使用が必要です。この認証には、強⼒なパスワー ドと証明書が含まれます。 セキュリティチームは、特権アカウントの使用状況、VPN ゲートウェイのアクセスリスト、データセンター施設のア クセスログの監査を毎年実施しています。非アクティブなアカウントも毎年監査され、発見された場合には無 効化されます。当社では、従業員が退職する際には、管理された反復可能な文書化されたプロセスに従っ ています。これにより、キーカードやその他の社内機器の返却、電子メールやボイスメールの再ルーティングな ど、当社のセキュリティポリシーが遵守されていることを確認しています。システムへのアクセスは、解雇後速や かに取り消されます。
- 17. 17 稼働時間の監視 Veritas SaaS Backup はさまざまな監視システムを採用しており、システムの可用性やパフォーマンスの問題 が発生した場合には、電子メールや SMS を介してデータセンター運用、エンジニアリング、管理チームにアラー トを送信します。当社のデータセンター運用スタッフは、24 時間体制のオンコールローテーションモデルを採用 しています。24 時間 365 日体制の専任スタッフが、アラートの追跡と潜在的な問題の特定を担当しています。 システムの監視 Veritas SaaS Backup は、以下のようなさまざまな IT 管理ソフトウェアプラットフォームを使用して、基幹シス テムを監視しています。 ・記憶装置 ・ネットワーク機器 ・サーバ ・運用体制 ・データベース ・主なアプリケーションプロセス/サービス アプリケーションの監視 ベリタスの SaaS バックアップのプロセスを監視するために、社内で開発されたツールを使用しています。アプリ ケーション、ネットワーク、または一般的なインフラストラクチャの問題による異常な傾向を特定するためにスタ
- 18. 18 ッフが使用する、アプリケーション全体の個々のコンポーネントのプロセスを追跡するダッシュボードを用意して います。 インターネットの監視 Veritas SaaS Backup は、サードパーティの監視サービスを使用して、インターネットからのサービスの外部認 識を維持しています。この監視サービスは、世界中に POP (Point of Presence) を設置し、各 POP からの 可用性とトランザクションの監視を自動定期的に実行します。当社の監視サービス・プロバイダーは、以下の ようなテストを POP 間で 1 分ごとに交互に実施しています。 ・Web アプリケーション（フロントエンド）への HTTPS アクセスをテストする。 ・Veritas SaaS Backup への HTTPS 合成ログインをテスト。 インシデント対応プロセス インターネット・セキュリティの脅威の状況は常に進化しています。インターネットに依存してサービスを提供する 場合、脅威に迅速に対応し、それを食い止めるためには、組織化された管理されたインシデント対応プロセ スが重要です。あらゆるインシデントを調査し、対応するために、段階的なプロセスが用意されています。 インシデントレスポンスチームの目標は以下の通りです。 1. 脅威を識別し、インシデントを抑制する。 2. 事業継続性を維持または復元する。 3. 更なる攻撃からの防御。 4. 継続的な監視、調査、起訴により、攻撃者を抑止する。 5. 継続的な脅威対策とセキュリティインテリジェンス活動を行う。
- 19. 19 クライアントが直面する問題がインフラストラクチャで検出された場合、またはクライアントから問題が報告さ れた場合、標準的な解決プロセスが採用されます。 1. スタッフが社内のチケットシステムでチケットを開きます。 2. スタッフが重要な問題を 24 時間 365 日対応のオペレーションスタッフにエスカレーションします。 3. オペレーションチームのメンバーは、必要に応じて高度なネットワークおよびセキュリティオペレーションまたはエ ンジニアリングリソースにエスカレーションを行います。 4. クライアントサービスチームは、合意されたチャネルを介してクライアントに通知します。 5. 問題が解決されると、内部インシデントチケットがクローズされ、顧客に通知されます。 6. 必要に応じて、インシデントの根本原因分析が作成されます。 クオリスの脆弱性テスト Qualys は、すべてのデータセンターのエンドポイントをプロアクティブに監視します。QualysGuard は、業界で 最も包括的な脆弱性ナレッジベースに基づき、最新のワームやセキュリティ脅威から継続的に保護します。ユ ーザは、一元化されたレポート、検証済みの改善策、トラブルチケットによる完全な改善ワークフロー機能によ り、あらゆる脆弱性を効果的に管理し、ネットワークセキュリティの管理を維持することができます。 QualysGuard は、深刻度レベル、修正までの時間、ビジネスへの影響の予測、セキュリティ問題の傾向分 析など、脆弱性に関する包括的なレポートを提供します。すべてのネットワークエンドポイントを積極的に監 視することで、このセーフガードは、ネットワークの暴露の調査、スキャン、修正に費やす時間を⼤幅に削減 し、ネットワークの脆弱性が悪用される前に排除することを可能にします。すべてのシステムは毎週スキャンさ れ、セキュリティのベースラインが維持されていることを確認します。
- 21. 21 監査人は、全体的なレビューの一部として、最新の OWASP(Open Web Application Security Project) のトップ 10 脆弱性を対象としています。OWASP トップ 10 に含まれています。 ・注射 ・クロスサイトスクリプティング(XSS) ・破損した認証とセッションの管理 ・安全でない直接オブジェクト参照 ・クロスサイトリクエストフォージェリ(CSRF) ・セキュリティの誤設定 ・安全でない暗号ストレージ ・URL アクセス制限の失敗 ・トランスポート層の保護が不十分 ・無効なリダイレクトとフォワード OWASP トップ 10 については、以下のリンクをご覧ください。 https://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project 年に一度の監査では、内部システムのレビューを行い、環境の完全な評価を行います。監査報告書を受け 取った後、当社のセキュリティチームは、潜在的な脆弱性に対処するために積極的に取り組んでいます。特 定された脆弱性は、提案された解決策の徹底的なテストの後、速やかに修正されます。
- 22. 22 © 2020 Veritas Technologies LLC. All rights reserved. Veritas および Veritas のロゴは、米国およびその他の国における Veritas Technologies LLC またはその関連会社の商標ま たは登録商標です。その他の名称は、それぞれの所有者の商標である場合があります。 8. 総括 セキュリティは継続的なプロセスです。ベリタスの SaaS バックアップのお客様に高レベルのセキュリティとプライ バシー保護を提供するということは、変化するビジネスの脅威環境に対するリスクを最小限に抑えるために、 セキュリティ管理の全体像を継続的に調整していることを意味します。物理的なセキュリティ、技術的なセキ ュリティ、管理的なセキュリティは常に変化しませんが、当社では、ビジネス要件を満たし、絶えず進化するイ ンターネットの脅威に対処できるように、個々のセキュリティ対策を常に再評価しています。 ベリタステクノロジーズについて Veritas Technologies はエンタープライズデータ管理のグローバルリーダーです。複雑化した IT 環境においてデータ管理の簡素化を実現するために、 世界の先進企業 50,000 社以上、Fortune 500 企業の 90 パーセントが、ベリタスのソリューションを導入しています。ベリタスのエンタープライズ・デ ータサービス・プラットフォームは、お客様のデータ活用を推進するため、データ保護の自動化とデータリカバリを実現して、ビジネスに不可欠なアプリケー ションの可用性を確保し、複雑化するデータ規制対応に必要なインサイトを提供します。ベリタスのソリューションは信頼性とスケーラビリティに優れ、 500 以上のデータソースと 50 のクラウドを含む 150 以上のストレージ環境に対応しています。 ベリタステクノロジーズ合同会社 https://www.veritas.com/ja/jp 〒107-0052 東京都港区赤坂 1-11-44 赤坂インターシティ 4F ベリタスセールスインフォメーションセンター（法人のお客様向け製品購入に関する相談窓口） ■電話受付時間：10:00 ~ 12:00, 13:00 ~ 17:00 （土、日、祝日、年末年始を除く） ■電話番号：0120-99-3232 （IP 電話からは 03-4531-1799）