使用上の責任 Key Protect

IBM® Key Protect for IBM Cloud® を使用する際の管理責任とご利用条件について説明します。

IBM Cloud のサービス・タイプの概要レベルおよび各タイプの顧客と IBM 間の責任の詳細については、IBM Cloud オファリングの共有責任を参照してください。

IBM をご利用いただく場合のお客様と IBM Key Protect の具体的な責任については、以下のセクションをご確認ください。全体的な使用条件については、IBM Cloud の用語と特記事項を参照してください。

本書には、 Key Protect Standard と Key Protect Dedicated の比較情報も記載されており、2 つのサービス層における共有責任の違いをご理解いただくのに役立ちます。

インシデントおよび運用管理

お客様と IBM は、お客様のアプリケーション・ワークロード用の IBM Key Protect インスタンスのセットアップおよびメンテナンスの責任を共有します。

アプリケーション・データのインシデントと運用の管理は、お客様の責任です。

Key Protect 標準的な責任

表 1. 事故および業務に関する責任 - Key Protect スタンダード
タスク	IBM の責任	ユーザーの責任
可用性	サポートされる各地域のローカル・アクセス要件および低待ち時間の要件を満たすため、マルチゾーン地域にある IBM 所有のインフラストラクチャーなど、高可用性機能を提供します。	使用可能な地域のリストを使用して、サービスの新規インスタンスを計画し、作成します。
モニター	IBM Cloud Logs などの厳選されたサード・パーティー・パートナーシップ・テクノロジーとの統合を提供します。	提供されるツールを使用してインスタンスのログとアクティビティーを確認します。
インシデント	計画保守、セキュリティー情報、または計画外の停止を通知します。	プラットフォーム通知に関する電子メールの受信設定を行い、 IBM クラウドのステータスページで一般的なお知らせを監視します。

Key Protect 献身的な責任

表 2. インシデントとオペレーションの責任 - Key Protect 専用
タスク	IBM の責任	ユーザーの責任
モニター	IBM Cloud Activity Tracker など、厳選されたサードパーティのパートナーシップ・テクノロジーとの統合を提供する。	提供されるツールを使用してインスタンスのログとアクティビティーを確認します。
インシデント	計画保守、セキュリティー情報、または計画外の停止を通知します。	プラットフォーム通知についての E メールを受信するように設定し、IBM Cloud 「状況」ページで一般的な発表がないかをモニターします。
ファームウェアの更新	実行中のワークロードに影響を与えずに、複数の暗号装置のファームウェアを順次更新します。	通常どおりタスクを実行します。
サード・パーティー・クラウドとの接続	サード・パーティーキー・ストアにアクセスできない場合は、エラー・メッセージを提供してください。	影響を受けたサード・パーティーのクラウド・サービス・プロバイダーに連絡して、アクセスまたは接続の問題を解決してください。

変更管理

お客様と IBM は、IBM Key Protect サービス・コンポーネントを最新バージョンに保つことについての責任を共有します。

アプリケーション・データの変更管理は、お客様の責任です。

Key Protect 標準的な責任

表 3. 変更管理の責任 - Key Protect スタンダード
タスク	IBM の責任	ユーザーの責任
アプリケーション	Key Protect インターフェースのバージョン更新 (メジャー、マイナー、およびパッチ) を提供します。	API、CLI、またはコンソールのツールを使用して、提供される更新 (バージョン更新、新機能、およびセキュリティー・パッチ) を適用します。

Key Protect 献身的な責任

表 4。変更管理の責任 - Key Protect 専用
タスク	IBM の責任	ユーザーの責任
アプリケーション	Key Protect 専用インターフェースのメジャー、マイナー、パッチバージョンのアップデートを提供する。	更新された機能を実行するには、API、CLI、またはコンソールツールを使用する。

ID およびアクセスの管理

お客様と IBM は、IBM Key Protect インスタンスおよびリソースへのアクセスを制御することについての責任を共有します。

アプリケーション・データの ID およびアクセスの管理は、お客様の責任です。

Key Protect 標準的な責任

表 5. アイデンティティおよびアクセス管理の責任 - Key Protect Standard
タスク	IBM の責任	ユーザーの責任
アプリケーション	リソースに対するアクセスを制限する機能を提供します。	必要に応じて、Cloud IAM アクセス・ポリシーを使用してリソースおよびサービス機能へのアクセスを制限します。詳しくは、ユーザーのアクセス権限の管理を参照してください。

Key Protect 献身的な責任

表 6. アイデンティティおよびアクセス管理の責任 - Key Protect 専用
タスク	IBM の責任	ユーザーの責任
ユーザー管理	IBM は、お客様のリソースにアクセスできませんが、リソースに対するユーザー・アクセスを制限するための機能をお客様に提供します。	必要に応じて、Cloud IAM アクセス・ポリシーを使用してリソースおよびサービス機能へのアクセスを制限します。詳しくは、ユーザーのアクセス権限の管理を参照してください。
サービス・ポリシーと鍵ポリシー	IBM は、お客様のリソースにアクセスできませんが、サービス・ポリシーと鍵ポリシーを設定するための機能をお客様に提供します。	ニーズに応じて、サービス・ポリシーとキー・ポリシーを設定し、 Key Protect 専用インスタンスとキーへのアクセスを制御します。詳しくは、ユーザーのアクセス権限の管理を参照してください。
サード・パーティー・クラウドとの接続	サード・パーティーキー・ストアにアクセスできない場合は、エラー・メッセージを提供してください。	サードパーティクラウドサービスプロバイダーの接続情報とアクセス認証情報が、 Key Protect Dedicatedインスタンスで常に最新であることを確認してください。

セキュリティーおよび法規制コンプライアンス

IBM のセキュリティーとコンプライアンスについては、IBM Key Protect の責任です。

お客様のアプリケーション・データのセキュリティーおよびコンプライアンスについてはお客様の責任です。

Key Protect 標準的な責任

表 7。セキュリティおよび規制遵守の責任 - Key Protect Standard
タスク	IBM の責任	ユーザーの責任
アプリケーション	SOC や ISO などのさまざまな業界コンプライアンス標準に相応のコントロールを維持します。	お客様のアプリケーションおよびデータのセキュリティーおよび規制コンプライアンスをセットアップし、保守します。例えば、鍵のインポート、ラップ、ローテート、再ラップ、および削除をいつどのように行うのかを選択することによって、コンプライアンスのニーズを満たすための追加のセキュリティー設定を有効にすることができます。

Key Protect 献身的な責任

表 8。セキュリティおよび規制遵守の責任 - Key Protect Dedicated
タスク	IBM の責任	ユーザーの責任
アプリケーション	SOC や ISO などのさまざまな業界コンプライアンス標準に相応のコントロールを維持します。	お客様のアプリケーションおよびデータのセキュリティーおよび規制コンプライアンスをセットアップし、保守します。例えば、鍵のインポート、ラップ、ローテート、再ラップ、および削除をいつどのように行うのかを選択することによって、コンプライアンスのニーズを満たすための追加のセキュリティー設定を有効にすることができます。
暗号操作	IBM がお客様のマスター鍵にアクセスすることはありません。	マスターキーは厳重に保管しましょう。ワークステーションまたはスマートカードを使用して暗号化操作を実行する。
マスター鍵のバックアップ	IBM がお客様のマスター鍵にアクセスすることはありません。	定期的にマスターキーをスマートカードまたはワークステーションにバックアップする。
スマートカードとスマートカードリーダー	IBM スマートカードやスマートカードリーダーに触れることはありません。	不正アクセスを防止するため、スマートカード、関連する暗証番号、およびスマートカードリーダーを安全な保管庫に保管する。
鍵パーツ・ファイル	IBM キーパーツのファイルに触れることはありません。	CLOUDTKEFILESに関連付けられたディレクトリ内のキーパート・ファイルを、承認されたファイル保管庫に安全に保管し、それぞれのパスワードを安全に保管する。

災害復旧

災害時における IBM コンポーネントの復旧は、IBM Key Protect の責任です。

Key Protect を実行するワークロードの復旧とお客様のアプリケーション・データの復旧についての責任はお客様にあります。

Key Protect 標準的な責任

表 9。災害復旧の責任 - Key Protect スタンダード
タスク	IBM の責任	ユーザーの責任
アプリケーション	サービスが運用されている地域の鍵を継続的にバックアップし、災害発生後にサービス・コンポーネントを自動的に復旧して再開します。	なし。IBM および Key Protect は、災害復旧の管理を完全に担当します。
仮想プライベート・エンドポイント (VPE)	VPE は、現時点ではフェイルオーバー中のバックアップへの自動切り替えをサポートしていません。	VPE 設定 (具体的には Internet Protocol (IP) アドレス) は、災害復旧手順中に手動で更新する必要があります。
プライベート・エンドポイント (PE)	PE は、現時点では災害復旧中に許可される IP 設定をサポートしませんが、このトピックについてはまもなく発表されます。	PE 設定 (具体的には Internet Protocol (IP) アドレス) は、災害復旧手順中に手動で更新する必要があります。

Key Protect 献身的な責任

表 10。災害復旧の責任 - Key Protect 専用
タスク	IBM の責任	ユーザーの責任
インスタンスのバックアップ	リージョン内で、またリージョンをまたいで重要なリソースを継続的にバックアップし、バックアップのテストを継続的に実行します。	マスター鍵をバックアップし、必要に応じてバックアップの検証とデータのリストアを行います。
災害復旧	リージョン内で災害が発生した場合は、サービス・コンポーネントを自動的に復旧して再始動します。使用可能なすべてのゾーンに影響を与えるリージョン規模の災害が発生した場合は、マスター鍵以外のすべてのデータが別のリージョンに複製されるようにします。 IBM はまた、別のリージョンに追加の暗号装置を用意し、それらの新しい暗号装置に要求が転送されるようにします。	使用可能なすべてのゾーンに影響を与えるリージョン規模の災害が発生した場合は、データをリストアするために、別のリージョンに IBM がプロビジョンした新しい暗号装置に、マスター鍵をロードします。災害が発生する前にフェイルオーバー用暗号装置を有効にして初期設定しておくこともできます。これにより、ダウン時間を短縮できます。
可用性	サポートされる各地域のローカル・アクセス要件および低待ち時間の要件を満たすため、マルチゾーン地域にある IBM 所有のインフラストラクチャーなど、高可用性機能を提供します。	使用可能な地域のリストを使用して、サービスの新規インスタンスを計画し、作成します。