AWS Digital Sovereignty Pledgeの実現： 妥協のないコントロールの実践

AWSでは、お客様の信頼を獲得し維持することがビジネスの基本です。私たちは、お客様のデータを保護することがこれを達成するための鍵であることを理解しています。また、信頼は透明性と保証を通じて獲得し続けなければならないことも承知しています。

2022年11月、私たちは新しいAWS Digital Sovereignty Pledgeを発表しました。これは、すべてのAWSのお客様に、クラウドで利用できる最も高度な権限制御機能のセットを提供するという私たちの約束です。その2つの柱は、データアクセスに対する検証可能な制御と、あらゆる場所ですべてを暗号化する機能です。私たちはすでに、データをどこに置き、誰がアクセスし、どのように使用するかをお客様がコントロールできるように、さまざまなデータ保護機能、認定、契約上のコミットメントを提供しています。本日は、お客様のデータアクセスに対する検証可能な制御と、お客様の暗号鍵の外部制御により、お客様の信頼を獲得し続ける方法について、最新情報をお伝えしたいと思います。

AWS Nitro Systemは、独立した第三者機関の検証を達成しました。

私たちは、お客様が進化する主権要件に対応し、AWSサービスの設計・運用方法について、より高い透明性と保証を提供することをお約束します。AWSのコンピューティングサービスAmazon EC2の基盤であるAWS Nitro Systemでは、Nitro上でAWSの担当者がお客様のデータにアクセスする仕組みを一切排除し、他に類を見ないイノベーションを設計・提供しました。私たちがオペレーターのアクセス機構を排除したことは、Nitro Systemを初めて提供した2017年当時としては異例のことでした。

データアクセスに対する顧客のコントロールというAWS Digital Soverignty Pledgeを実現し続けるにあたり、AWS Nitro Systemのセキュリティ設計に関する独立した報告書を皆様にご紹介できることを嬉しく思っています。私たちは、グローバルなサイバーセキュリティコンサルティング会社であるNCC Groupに、Nitro Systemのセキュリティに関する私たちの主張のアーキテクチャレビューを実施し、公開レポートを作成するよう依頼しました。本報告書では、AWS Nitro Systemは、設計上、AWSの誰もがNitroホスト上のお客様のデータにアクセスできる仕組みがないことを確認しています。報告書では、Nitroシステムのアーキテクチャと、オペレータのアクセスに関する我々の主張を評価しています。その結果、”設計上の問題として、NCCグループは、これらのセキュリティの主張を損なうようなギャップをNitroシステムに見出すことはできなかった。”と結論付けています。また、「NCCグループは、クラウドサービスプロバイダの従業員が、どのホストに対しても、そのようなアクセスを得ることができることを示す兆候はないと判断した」とも述べています。私たちのコンピューティングインフラであるNitro Systemには、オペレーターのアクセスメカニズムはなく、現在、それらのデータコントロールの第三者による分析によって裏付けられています。詳しくはNCCグループの報告書をご覧ください。

AWSの新しいサービス条件

AWSでは、セキュリティが最優先事項です。NCCの報告書は、Nitro Systemがセキュリティを核としたAWSの優れたコンピューティングバックボーンであることを示しています。オペレーターのアクセスを防止するNitroの制御は、Nitroシステムの基本であるため、AWSを利用するすべての人に適用される当社のAWSサービス条件に追加されました。

当社のAWSサービス規約には、現在、Nitro Systemに関して次のように記載されています：

AWS personnel do not have access to Your Content on AWS Nitro System EC2 instances. There are no technical means or APIs available to AWS personnel to read, copy, extract, modify, or otherwise access Your Content on an AWS Nitro System EC2 instance or encrypted-EBS volume attached to an AWS Nitro System EC2 instance. Access to AWS Nitro System EC2 instance APIs – which enable AWS personnel to operate the system without access to Your Content – is always logged, and always requires authentication and authorization.

※訳者注：2023年5月12日現在、日本語のサービス条件は最新版の2023年5月3日版に更新されていないため、英文の原文を示しています。概略として、AWSの従業員はお客様のコンテンツにアクセスすることはなく、AWS Nitro System EC2 インスタンスまたは AWS Nitro System EC2 インスタンスに接続された暗号化 EBS ボリューム上のお客様のコンテンツの読み取り、コピー、抽出、修正、またはその他のアクセスを行うための技術的手段または API がAWSの従業員に提供されていないこと、システムを操作するためのAPIアクセスは常に記録され認証と認可を必要とすることを提示しています。

AWS KMS External Key Storeによる暗号化鍵の外部制御

AWSクラウドをソブリンバイデザインにし続けるという約束の一環として、私たちは暗号化機能を含む機能の野心的なロードマップへの投資を継続することを誓いました。re:Invent 2022では、AWS Key Management Service (AWS KMS) External Key Store (XKS)を発表し、AWSクラウド内外で管理される暗号鍵であらゆる場所を暗号化するというロードマップを実現するためのさらなるステップを踏みました。このイノベーションは、AWSクラウドの外部で暗号鍵を保管し使用する規制上の必要性があるお客様をサポートします。オープンソースのXKS仕様は、異なるHSM導入のユースケースに適応する柔軟性をお客様に提供します。AWS KMSは、AWSの職員がお客様の鍵にアクセスすることも防ぎますが、この新しい機能は、特定のワークロードに対してAWSデータセンター外で暗号鍵を保管・使用することを要求する特定の規制や業界の期待へのコンプライアンスを示す上で、一部のお客様にとって役立つかもしれません。

お客様が規制目的でXKSを採用するのを加速させるため、当社は、お客様が信頼する外部のHSM、鍵管理、および統合サービスプロバイダーと協力しました。現在までに、Thales、Entrust、Fortanix、DuoKey、HashiCorpがXKSの実装を開始し、Salesforce、Atos、T-SystemsがXKSを中心に統合サービス提供を構築すると発表しています。さらに、多くのSaaSソリューションが、暗号化サービスの鍵管理用にAWS KMSとの統合を提供しています。Databricks、MongoDB、Reltio、Slack、Snowflake、Zoomなどが提供するこれらのソリューションを利用するお客様は、XKSを介して外部キーマネージャの鍵を利用してデータを保護できるようになりました。これにより、お客様はアクセスポリシーの管理と鍵の使用状況の監査を一元的に行うことができ、AWSだけでなく特定のSaaSソリューションにおける鍵管理戦略を簡素化することができます。

当社は、お客様がセキュリティ、プライバシー、デジタル主権に関する要件を満たすための支援に引き続き取り組んでいます。私たちは、グローバルなAWSクラウドの中で主権に関する機能、コントロール、保証を革新し続け、AWSのフルパワーに妥協することなく提供することを目指します。

本BlogはMatt Garman, Senior Vice President of AWS Sales, Marketing and Global Services, による原文を、
松本照吾、セキュリティアシュアランス本部 本部長、が翻訳及び加筆いたしました。