Data 360 のプラットフォーム暗号化
一部のお客様は、監査およびコンプライアンスレポートのために、テナント固有の暗号化鍵、鍵素材の制御、鍵の可視性の向上を必要としています。Platform Encryption for Data 360 では、暗号化鍵の制御と表示のオプションを追加することで、Data 360 の堅牢なセキュリティサービスが拡張されます。
必要なエディション
| 使用可能なエディション: Data 360 でサポートされるすべてのエディション。 「Data 360 Edition の可用性」を参照してください。 |
| アドオンライセンスで使用可能なエディション: Enterprise Edition、Performance Edition、Unlimited Edition、および Developer Edition。Salesforce ShieldまたはShield Platform Encryption、Platform Encryption for Data Cloudを購入する必要があります。また、オプションの外部鍵管理を使用するには、Platform Encryption for Consumption ライセンスを購入する必要があります。 |
Data 360 の暗号化オプション
Salesforce には、Data 360 のデータを暗号化するための 3 つの鍵管理オプションがあります。
これらのオプションにより、顧客は暗号化鍵を管理し、内部セキュリティポリシーに準拠する方法を柔軟に選択できます。
| 暗号化オプション | 説明 |
|---|---|
| 顧客が管理する鍵 (CMK) | Salesforce は、Salesforce UI でテナント固有の鍵を生成および管理します。 |
| EKM | 顧客は AWS KMS アカウントを使用して暗号化鍵を外部で管理します。 |
| Bring Your Own Key (BYOK) | 顧客は AWS KMS アカウントがなくても、自分の鍵素材を Salesforce UI に直接取り込むことができます。このオプションは、AWS KMS にアクセスしない場合や、Azure やオンプレミスヴォールトなど、他の主要なストレージプロバイダーを使用しない場合に便利です。 |
Data 360 のすべてのデータは、Salesforce が管理するデータ暗号化鍵 (DEK) によって AWS で保存時に暗号化されます。これは [Customer Managed Keys (顧客が管理する鍵)] オプションです。Data 360 のプラットフォーム暗号化では、Salesforce で Data 360 ルート鍵を作成します。EKM を使用して、外部の鍵管理システム (KMS) または BYOK で鍵を作成することもできます。Data 360 ルート鍵は組織に固有であり、データを暗号化および復号化する DEK を制御し、情報を保護するキーチェーンの所有権を付与します。
Platform Encryption for Data 360 は、本番環境と Sandbox 環境の両方で、検索インデックスのデータを含むデータを暗号化します。本番組織で暗号化を有効にしても、Sandbox のデータは自動的に暗号化されません。Data 360 でセマンティック検索 (ベクトル検索とも呼ばれる) を有効にする検索インデックスは、データセキュリティを確保するために暗号化されます。作成した各 Sandbox で [データ 360 鍵の管理] を有効にする必要があります。
ルート鍵はサブセカンドリアルタイム機能と互換性があります。ただし、Data 360 の有効な Salesforce ルート鍵がある組織でサブセカンドリアルタイムを有効にすると、ルート鍵は 24 時間以内に使用可能になります。
プラットフォーム暗号化を使用しないデフォルトの Data 360 Encryption
デフォルトでは、Data 360はエンドツーエンドの暗号化を使用して、データがData Cloudに移行するときやTrust境界内の製品間でデータを保護します。Hyperforceのインフラストラクチャ レベルの暗号化は、保存データのクラウド ネイティブのディスク暗号化を実現します。インフラストラクチャレベルの鍵はテナント固有ではありませんが、Salesforce はこれらの鍵を安全に保存し、定期的に循環させます。
Data 360とHyperforceでデータを保護する方法についての詳細は、Salesforceセキュリティとコンプライアンスページを参照してください。
- Data 360 のプラットフォーム暗号化の設定
プラットフォームの暗号化を有効にすると、最初の Data 360 ルート鍵が自動的に生成されます。この鍵は、Data 360 に以前取り込まれたすべてのデータを暗号化します。 初期設定後、生成されたルート鍵を引き続き使用するか、外部鍵管理 (EKM) を使用して外部鍵を設定するか、Salesforce UI で Bring Your Own Key (BYOK) を使用して独自の鍵素材を活用し、Data 360 のデータを暗号化できます。ルート鍵を定期的に循環し、[設定] で作成日時や作成者などの鍵メタデータを表示できます。 - ルート鍵ライフサイクル
プラットフォームの暗号化のルート鍵の状況では、データの暗号化と復号化の各鍵の使用を定義します。
