暗号化とキー管理の概要

顧客コンテンツを保護する上で、暗号化はどのような役割を果たしますか?

ほとんどの Microsoft ビジネス クラウド サービスはマルチテナントです。つまり、顧客コンテンツは他の顧客と同じ物理的なハードウェアに格納される可能性があります。 Microsoft オンライン サービスは、お客様のコンテンツの機密性を保護するために、保存中および転送中のすべてのデータを、利用可能な最も強力で最も安全な暗号化プロトコルで暗号化します。

暗号化は、強力なアクセス制御に代わるものではありません。 Microsoft のゼロ スタンディング アクセス (ZSA) のアクセス制御ポリシーは、Microsoft 従業員による不正アクセスから顧客のコンテンツを保護します。 暗号化は、保存されている場所を問わず顧客コンテンツの機密性を保護し、Microsoft オンライン サービス システム間、または Microsoft オンライン サービスと顧客間の転送中にコンテンツが読み取られるのを防ぐことで、アクセス制御を補完します。

Microsoft オンライン サービスは保存データをどのように暗号化しますか?

Microsoft オンライン サービスのすべての顧客コンテンツは、1 つ以上の形式の暗号化によって保護されています。 Microsoft サーバーでは、BitLocker を使用して、ボリューム レベルで顧客のコンテンツを含むディスク ドライブを暗号化します。 BitLocker によって提供される暗号化は、他のプロセスや制御 (ハードウェアのアクセス制御やリサイクルなど) が失われると、顧客コンテンツを含むディスクに不正な物理的アクセスが発生する可能性がある場合に、顧客のコンテンツを保護します。

ボリューム レベルの暗号化に加えて、Microsoft オンライン サービスでは、アプリケーション 層での暗号化を使用して顧客のコンテンツを暗号化します。 サービス暗号化は、強力な暗号化保護に基づいて、権限の保護と管理機能を提供します。 また、Windows オペレーティング システムと、それらのオペレーティング システムによって保存または処理される顧客データとの間で分離することもできます。

Microsoft オンライン サービスは転送中のデータをどのように暗号化しますか?

Microsoft オンライン サービスでは、トランスポート層セキュリティ (TLS) などの強力なトランスポート プロトコルを使用して、ネットワーク経由で移動している間に未承認の当事者がお客様のデータを盗聴するのを防ぎます。 転送中のデータの例としては、配信中のメール メッセージ、オンライン会議で行われる会話、データセンター間でレプリケートされるファイルなどがあります。

Microsoft オンライン サービスの場合、ユーザーのデバイスが Microsoft サーバーと通信している場合、または Microsoft サーバーが別のサーバーと通信している場合、データは "転送中" と見なされます。

Microsoft オンライン サービスは、暗号化に使用されるキーをどのように管理しますか?

強力な暗号化は、データの暗号化に使用されるキーと同じくらい安全です。 Microsoft では、独自のセキュリティ証明書と関連するキーを使用して、転送中のデータの TLS 接続を暗号化します。 保存データの場合、BitLocker で保護されたボリュームは完全なボリューム暗号化キーで暗号化されます。これはボリューム マスター キーで暗号化され、サーバーのトラステッド プラットフォーム モジュール (TPM) にバインドされます。 BitLocker では、FIPS 140-2 準拠アルゴリズムを使用して、暗号化キーがクリア内のネットワーク上に保存または送信されないようにします。

サービス暗号化は、顧客の保存データに対して別の暗号化レイヤーを提供し、顧客に暗号化キー管理の 2 つのオプション (Microsoft マネージド キーまたはカスタマー キー) を提供します。 Microsoft が管理するキーを使用する場合、Microsoft オンライン サービスは、サービス暗号化に使用されるルート キーを自動的に生成し、安全に格納します。

独自のルート暗号化キーを制御するための要件をお持ちのお客様は、Microsoft Purview カスタマー キーでサービス暗号化を使用できます。 顧客キーを使用すると、オンプレミスのハードウェア サービス モジュール (HSM) または Azure Key Vault (AKV) を使用して、独自の暗号化キーを生成できます。 顧客ルート キーは AKV に格納され、顧客のメールボックス データまたはファイルを暗号化するキーチェーンの 1 つのルートとして使用できます。 顧客ルート キーには、データ暗号化用の Microsoft オンライン サービス コードによってのみ間接的にアクセスでき、Microsoft の従業員が直接アクセスすることはできません。

関連する外部規制 & 認定

Microsoft のオンライン サービスは、外部の規制と認定に準拠するために定期的に監査されます。 暗号化とキー管理に関連するコントロールの検証については、次の表を参照してください。

Azure と Dynamics 365

Microsoft 365