1.4. セキュリティーおよびコンプライアンス

Red Hat の情報セキュリティーガイドラインは、NIST サイバーセキュリティーフレームワーク に準拠しており、経営幹部によって承認されています。Red Hat は、世界各地に分散した認定情報セキュリティー専門家の専任チームを維持しています。次のリソースを参照してください。

Red Hat は、お客様とそのビジネスを保護するために厳格な社内ポリシーと実践を実施しています。これらのポリシーと実践は機密です。さらに、当社は、データプライバシーに関連するものを含め、適用されるすべての法律および規制を遵守します。

Red Hat の情報セキュリティーのロールと責任は、第三者によって管理されません。

Red Hat は、全従業員の業務、企業のエンドポイントデバイス、認証および認可の実践を管理する企業情報セキュリティー管理システム (ISMS) の ISO 27001 認証を維持しています。当社では、Red Hat が採用しているすべてのインフラストラクチャー、製品、サービス、テクノロジーに Red Hat Enterprise Security Standard (ESS) を実装することで、標準化されたアプローチを採用しています。ESS のコピーはリクエストに応じて提供されます。

RHACS Cloud Service は、Amazon Web Services (AWS) でホストされている OpenShift Dedicated のインスタンス上で実行されます。OpenShift Dedicated は、ISO 27001、ISO 27017、ISO 27018、PCI DSS、SOC 2 Type 2、および HIPAA に準拠しています。情報セキュリティーを管理するために、強力なプロセスとセキュリティー制御が業界標準に準拠しています。

RHACS Cloud Service は、OpenShift Dedicated 用に定義されたものと同じセキュリティー原則、ガイドライン、プロセス、および制御に従います。これらの認定は、当社のサービスプラットフォーム、関連する運用、および管理プラクティスがコアセキュリティー要件とどのように一致しているかを実証します。当社は、ビルドパイプラインのセキュリティーを含む、NIST が定義する堅牢なセキュアソフトウェア開発フレームワーク (SSDF) プラクティスに従うことで、これらの要件の多くを満たしています。SSDF コントロールの実装は、すべての製品とサービスに対して、Secure Software Management Lifecycle (SSML) を通じて実装されます。

Red Hat の実績のある経験豊富なグローバルの Site Reliability Engineering (SRE) チームは 24 時間 365 日対応しており、RHACS Cloud Service のホストされたコンポーネントに関連するクラスターのライフサイクル、インフラストラクチャー設定、スケーリング、メンテナンス、セキュリティーパッチ適用、インシデント対応を積極的に管理します。Red Hat SRE チームは、RHACS Cloud Service コントロールプレーンの HA、稼働時間、バックアップ、復元、セキュリティーの管理を担当します。RHACS Cloud Service には、99.95% の可用性 SLA と、電話またはチャットによる 24 時間 365 日の RH SRE サポートが付属しています。

ポリシーの実装、脆弱性管理、OpenShift Container Platform 環境内でのセキュアクラスターコンポーネントの導入など、製品の使用はお客様の責任となります。Red Hat SRE チームは、次のような前述のコンプライアンスフレームワークに沿って、テナントデータを含むコントロールプレーンを管理します。

すべての Red Hat SRE と開発者は、厳格なセキュア開発ライフサイクルのトレーニングを受けます。

詳細は、以下の資料を参照してください。

Red Hat はセキュアな開発ライフサイクルのプラクティスに従います。Red Hat 製品のセキュリティープラクティスは、可能な限り、Open Web Application Security Project (OWASP) および ISO12207:2017 に準拠しています。Red Hat は、OWASP プロジェクトの推奨事項とその他のセキュアなソフトウェア開発プラクティスをカバーし、製品の全体的なセキュリティー体制を強化します。OWASP プロジェクトは選択された CWE の脆弱性に基づいて構築されるため、OWASP プロジェクト分析は Red Hat の自動スキャン、セキュリティーテスト、および脅威モデルに含まれています。Red Hat は、製品の弱点を監視し、問題が悪用されて脆弱性になる前に対処します。

詳細は、以下の資料を参照してください。

アプリケーションは定期的にスキャンされ、製品のコンテナースキャン結果は公開されます。たとえば、Red Hat Ecosystem Catalog サイトでは、rhacs-main などのコンポーネントイメージを選択し、Security タブをクリックして、ヘルスインデックスとセキュリティー更新のステータスを確認できます。

Red Hat のポリシーの一環として、サポート終了となる依存サードパーティーコンポーネントに対してサポートポリシーとメンテナンスプランが発行されます。