セキュリティテスト
このページの翻訳はAIによって自動的に行われました。可能な限り正確な翻訳を心掛けていますが、原文と異なる表現や解釈が含まれる場合があります。正確で公式な情報については、必ず英語の原文をご参照ください。
これらのガイドラインでは、ネットワークの分離、ネットワーク サービス レベル アグリーメント、環境に適用されるその他のネットワーク制御などの制御を通じて、ネットワークとネットワーク サービスを保護するために実行する必要があるタスクの概要を示します。
ネットワークセキュリティテスト
Sitecore Content Hubまたは信頼できるサードパーティ プロバイダーは、業界標準の方法を使用して、お客様がホストするインスタンスでネットワーク セキュリティ侵入テストを実施し、レポートを確認する必要があります。
ネットワークセキュリティを確認するには:
-
お客様のインスタンスによって生成されたネットワークトラフィックが、テナントポートのスキャンとパケットスニッフィングから保護されていることを確認します。
-
ネットワークセキュリティ侵入テストは、最低でも6か月ごとに実施し、システムに大幅な変更が加えられた後に実施します。ネットワークセキュリティ侵入テストの結果のエグゼクティブサマリーを確認します。
-
年に少なくとも1回の外部ネットワーク セキュリティ侵入スキャンを実行し、これらの結果をSitecore ® に提供して対応と修復を依頼します。
詳細については、「 クラウドとネットワークのセキュリティ」を参照してください。
アプリケーション・セキュリティ・テスト
Content Hubまたは評判の良いサードパーティプロバイダーは、業界標準の方法論を使用してアプリケーションセキュリティ侵入テストを実施し、レポートを確認する必要があります。
アプリケーションのセキュリティを確認するには、次の手順を実行します。
-
アプリケーションセキュリティ侵入テストは、少なくとも年に1回、またはシステムに大幅な変更が加えられた後に実施します。エグゼクティブサマリーと詳細レポートを確認します。Sitecore Content Hubは、アプリケーションのソフトウェア品質保証とソフトウェア開発ライフサイクルに関するドキュメントを提供します。
-
アプリケーションセキュリティ侵入評価を毎年実施し、その結果をSitecoreに提供して対応と修復を依頼します。
第三者機関によるセキュリティテスト
サードパーティ アプリケーションの相互運用性は、APIを使用してContent Hubによってホストされるデータを操作するアクセサリ ホスト アプリケーションとして定義されます。
サードパーティのセキュリティテストの場合、Content Hubは次のことを行います。
-
スーパーユーザーは、OAuthまたはその他のAPIアクセスを許可するかどうかをアプリケーションごと、ユーザーごとに制御し、APIを介してアクセスするコンテンツの種類を制限できます。
-
スーパーユーザーは、サードパーティー製アプリケーションの時間的制約のあるアクセス制御基準を作成できます。サードパーティアプリケーションによって実行されたすべてのアクションがログに記録されます。ログには、標準のログデータ要件に加えて、アプリケーションとアプリケーションが承認されたユーザーコンテキストの識別子が含まれています。
データ損失防止
データの損失を防ぐために、Content Hubは次のことを行います。
-
アプリケーションが自身以外の送信元IPアドレスまたはMACアドレスでトラフィックを送信することを許可しないファイアウォールを使用している。
-
PaaS/IaaSボリュームレベルの暗号化をサポートし、スナップショットのクローン作成からデータを保護したり、各コンテンツを保護したりします。
-
データベースとファイルのアクティビティ監視、トラフィックと使用状況のベースライン化、定義されたしきい値またはプロバイダーが決定したベースラインを超えるトラフィックスパイクのアラートなど、堅牢なデータ損失防止メカニズムを備えています。
トランスポート層の保護
Content Hubクラウド サービス プラットフォームは、ユーザー認証、資格情報、およびデータ転送にTransport Layer Security (TLS) を使用します。Secure Sockets Layer (SSL) v3は無効です。
証明書は自己署名されておらず、確立された信頼性の高い独立した認証局(CA)から取得されます。強力な暗号が使用され、キー管理プロセスが文書化されています。