データ暗号化

Hyper Protect Crypto Services は、管理して エンベロープ暗号化 操作を実行する鍵素材を生成するための専用の ハードウェア・セキュリティー・モジュール(HSM)A physical appliance that provides on-demand encryption, key management, and key storage as a managed service. を提供します。 Hyper Protect Crypto Services は、独自の HSM マスター鍵An encryption key that is used to protect a crypto unit. The master key provides full control of the hardware security module and ownership of the root of trust that encrypts the chain keys, including the root key and standard key.の管理もサポートしています。 FIPS 140-2 レベル 4 認定を受けた HSM をベースに構築されているので、Hyper Protect Crypto Services は、クラウド・ベースの HSM として最高レベルのセキュリティーを実現しています。暗号境界の外に鍵を出すことなく、暗号鍵素材を保管します。

このサービスへのアクセスは HTTPS を介して実行され、内部 Hyper Protect Crypto Services 通信では Transport Layer Security (TLS) 1.2 プロトコルを使用して転送中データが暗号化されます。

データ削除

Hyper Protect Crypto Servicesから鍵を削除すると、サービスはその鍵に削除済みのマークを付け、その鍵は「破棄済み」状態に移行します。 この状態の鍵は、鍵に関連付けられているデータの復号にもう使用できません。 そのため、鍵を削除する前に、鍵に関連付けられているデータを確認し、そのデータにもうアクセスする必要がないことを確認してください。 実稼働環境でデータをアクティブに保護している鍵を削除しないでください。

鍵を削除してから 30 日以内は、その鍵を復元して削除を取り消すことができます。 詳しくは、 鍵の復元を参照してください。

鍵を復元しないとしても、データは、暗号化された形式でそれらのサービスに残ることに注意してください。 鍵の遷移履歴や名前など、鍵に関連付けられているメタデータは、Hyper Protect Crypto Services データベースに保管されます。

キーによって保護されているデータを判別するには、キー管理サービス API を使用して キーとクラウド・リソース間の関連を表示します。

コモン・クライテリア EAL4 認定を取得

Hyper Protect Crypto Services で使用されるハードウェア・セキュリティー・モジュール (HSM) は、IBM PCIe 暗号化コプロセッサー・バージョン 3 (PCIeCC3) またはバージョン 4 (PCIeCC4) です。 PCIeCC3 は、IBM 4768 暗号カードまたは Crypto Express 6S (CEX6S) とも呼ばれます。 PCIeCC4 は、IBM 4769 暗号カードまたは Crypto Express 7S (CEX7S) とも呼ばれます。 CEX6S と CEX7S は両方とも、Common Criteria EAL4 の認定を受けており、Common Criteria for Information Technology Security Evaluation によって定義されるセキュリティー要件を満たしています。

コモン・クライテリアは、コンピューター・セキュリティー製品のセキュリティーを評価する国際規格 (ISO/IEC 15408) です。 コモン・クライテリアは、コンピューター・セキュリティー製品の仕様、実装、評価のプロセスが、定義されている規格や要件に準拠していることを保証します。

FIPS 140-2 レベル 4

連邦情報処理標準 (FIPS) 公示 140-2 は、暗号モジュールの認定に使用される米国連邦政府のコンピューター・セキュリティー標準です。

FIPS 140-2 は、FIPS 140-2 レベル 1、2、3、4 からなる 4 つのレベルのセキュリティーを定義します。 FIPS 140-2 レベル 4 が、最高レベルのセキュリティーです。 このセキュリティー・レベルでは、すべての不正な物理アクセスの試行を検出して対応するという目的で、物理的セキュリティー・メカニズムにより暗号モジュールの周りに完全な保護エンベロープが提供されます。 どの方向から暗号モジュールの筐体が侵入を受けても、高い確率で検出され、ただちにすべての平文のクリティカル・セキュリティー・パラメーター (CSP) がゼロにされます。

Hyper Protect Crypto Services は、IBM 4768 または IBM 4769 暗号カードを使用します。これは、商用暗号デバイスで達成可能な最高レベルの認定である FIPS 140-2 レベル 4 で認定されています。Hyper Protect Crypto Services は、FIPS 140-2 レベル 4 認証要件を満たすように設計された HSM にビルドされたパブリック・クラウド市場で唯一のクラウド HSM です。 以下のサイトで証明書を確認できます。

• IBM 4769-001 暗号化コプロセッサー・セキュリティー・モジュール
• IBM 4768 暗号化コプロセッサー・セキュリティー・モジュール

一般データ保護規則

一般データ保護規則 (GDPR) は、EU 全域で統一されたデータ保護の法的枠組みを構築しようとするものであり、個人データの制御権を市民に取り戻すことを目的としています。 GDPR はまた、世界中のどこであろうとデータをホスティングおよび処理する企業に対して厳密な規則を課します。

IBM は、データ・プライバシー、セキュリティー、およびガバナンスのための革新的なソリューションを提供してお客様の GDPR 対応の支援に取り組んでいます。

Hyper Protect Crypto Services リソースの GDPR 準拠を確保するために、 IBM Cloud アカウントの EU サポート対象設定を有効にします。 Hyper Protect Crypto Services による個人データの処理および保護の方法について詳しくは、以下の補足契約書を確認してください。

• IBM Hyper Protect Crypto Services データ・シートの補足(DSA)
• IBM データ処理補足契約書(DPA)

HIPAA サポート

Hyper Protect Crypto Services は、米国における医療保険の積算と責任に関する法律 (HIPAA) の規制に準拠しており、保護医療情報 (PHI) を確実に保護します。

お客様またはお客様の会社が、HIPAA が定める適用対象事業者または事業体である場合は、IBM Cloud アカウントで「HIPAA サポートあり」設定を有効にすることができます。 詳しくは、「HIPAA サポートあり」設定の有効化を参照してください。

IBM Cloud for Financial Services

Hyper Protect Crypto Services は、金融サービス認定の IBM Cloud です。 Financial Services レポートの IBM Cloud の要求については、 IBM Cloud 業界コンプライアンス・プログラムを参照してください。

IRAP のサポート

Hyper Protect Crypto Services は、オーストラリアのセキュリティーに寄与する高品質の情報および通信技術サービスを政府に提供するための Information Security Registered Assessors Program (IRAP) の要件に準拠しています。

詳しくは、 IBM Cloud の地域コンプライアンス・プログラムを参照してください。

ISO 27001、27017、27018

Hyper Protect Crypto Services は、ISO 27001、27017、27018 の各認証を取得しています。 IBM Cloud グローバル・コンプライアンス・プログラムにアクセスすると、コンプライアンス認証を表示できます。

SOC 2 タイプ 1

Hyper Protect Crypto Services は、SOC 2 タイプ 1 の認証を取得しています。 IBM Cloud SOC 2 レポートの要求について詳しくは、 IBM Cloud グローバル・コンプライアンス・プログラムを参照してください。