セキュリティの責任共有モデル

BYOC では、お客様のクラウドアカウント内に ClickHouse サービスをデプロイします。セキュリティの責任は、ClickHouse、お客様、クラウドサービスプロバイダーの 3 者で分担されます。以下の表は、8 つのセキュリティ領域における各者の責任を示しています。

セキュリティ要件を満たすための特定の機能や設定については、trust.clickhouse.com を参照してください。

責任分担

領域	ClickHouse	顧客	クラウドプロバイダー
IAM	一意のユーザー名、強力なパスワード、MFA を徹底します。最小権限の原則に基づき、顧客環境へのアクセスを制限します。強力な暗号化によりリモート接続を保護します。 BYOC 顧客が作成する Auth0 アカウントの監督を含め、IAM を包括的に管理します。	コンソールユーザー向けに SSO を設定し、アイデンティティプロバイダーで MFA を徹底します。強力なパスワードを使用し、データベースユーザーには最小権限の原則に基づいてロールを設定します。 default ユーザーのパスワード、ならびに関連する API キーとシークレットを安全に管理します。	アイデンティティおよびアクセス管理のインフラストラクチャを保護します。
データセキュリティ	TLS 1.2 以降を使用して転送時のデータを暗号化します。 AES-256 以降を使用して保存時のデータを暗号化します。暗号化キーを安全に管理、デプロイ、ローテーションします。サービス終了後 7 日以内にサービスデータとバックアップを削除します。	利用可能な場合は、顧客管理の暗号化キー (CMEK) を実装します。 time-to-live 設定を使用してデータ保持期間を適用します。	暗号化ハードウェアとサービスを管理します。構成されている場合は、転送時および保存時のデータを暗号化します。
ネットワーク	顧客環境を分離しつつ安全な通信を可能にするため、セキュリティグループとネットワーク制御をデプロイします。ネットワークアクセス制御とセキュリティグループに安全なデフォルト設定を適用します。	IP フィルタを設定して、データベースへの接続を制限します。初回デプロイ後も安全なネットワーク構成を維持します。	クラウドネットワークインフラストラクチャの物理的および論理的なセキュリティを管理します。 API を含むクラウドインフラストラクチャの通信を安全に維持します。
セキュリティ監視	セキュリティイベントを検出する機能をデプロイします。監査ログを生成し、1 年間保持します。潜在的なセキュリティイベントを調査し、対応します。 ClickHouse Information Security Addendum に従い、貴社に影響するセキュリティ侵害を報告します。	クラウドセキュリティ監視を設定・管理します。サービス内のセッションログとクエリログを監視します。潜在的なセキュリティイベントを調査し、対応します。	基盤となるクラウドサービスのセキュリティ監視を設定・管理します。基盤となるクラウドサービスに関連する潜在的なセキュリティイベントを調査し、対応します。契約上の義務に従い、貴社に影響するセキュリティ侵害を報告します。
災害復旧	複数のレプリカを使用してデータベース障害に備えます。各リージョンで複数の可用性ゾーンにまたがる構成を使用します。局所的なインシデントからのデータ復旧を可能にするバックアップ機能を提供します。復旧可能性を確保するため、バックアップを定期的にテストします。	バックアップポリシーを設定し、復元を実行します。	高可用性機能を備えたデータセンターを提供します。各リージョンに地理的に分離されたデータセンターを提供します。
プラットフォーム	ClickHouse システムを安全に設定、デプロイ、終了します。強化されたベースイメージを使用してサービスをデプロイします。公開バグバウンティプログラムを維持します。	アカウントのセットアップ、設定、管理を含むサービスのランディングゾーンを保護します。	物理的および環境面の保護対策を提供・維持します。ハードウェア、ファームウェア、オペレーティングシステムソフトウェアを安全に設定し、パッチを適用・維持します。
ベストプラクティス	技術的な脆弱性管理プログラムを維持します。少なくとも年に 1 回、第三者による侵入テストを実施します。社内に情報セキュリティチームを置きます。	組織の要件に基づいて ClickHouse とクラウドのセキュリティ制御を設定します。クラウドベースシステムのセキュリティに関するベストプラクティスに従います。	技術的な脆弱性管理プログラムを維持します。少なくとも年に 1 回、第三者による侵入テストを実施します。社内に情報セキュリティチームを置きます。
コンプライアンス	独立した第三者による監査、規格、認証を維持します。 GDPR や CCPA などの適用法令への準拠を可能にするツールと構成を提供します。	処理するデータの種類に適用されるコンプライアンス要件を満たすため、関連する ClickHouse のセキュリティ構成を評価・実装します。関連する輸出管理法およびデータプライバシー法に準拠して ClickHouse サービスを使用します。	関連する独立した第三者による監査、規格、認証を維持します。