クラウド責任分界マトリクス
1. 目的
本マトリクスは、クラウドサービス利用における クラウドサービス提供者 (CSP) と
クラウドサービス利用者 (CSC, 当社) の責任範囲を明確化し、ISO/IEC 27017 の要求に適合させることを目的とする。
2. 適用範囲
- 当社が利用する主要クラウドサービス：
- AWS
- Google Cloud
- Cloudflare
- GitHub
- Notion
- Slack
3. 責任分界マトリクス（例）
| サービス |
項目 |
CSP責任 |
CSC責任 |
備考 |
| AWS |
データセンター物理セキュリティ |
○ |
|
建物・設備管理はAWS |
| AWS |
仮想環境の分離 |
○ |
|
マルチテナント環境の隔離 |
| AWS |
IAMユーザ管理 |
|
○ |
ユーザ権限設定は当社 |
| AWS |
データ暗号化 |
○ |
○ |
KMS提供はAWS、鍵管理は当社 |
| GitHub |
リポジトリの暗号化 |
○ |
|
GitHubが実装 |
| GitHub |
アクセス権限管理 |
|
○ |
コラボレータ招待・権限付与 |
| Cloudflare |
DDoS防御 |
○ |
|
サービスとして提供 |
| Cloudflare |
WAF設定 |
|
○ |
ルール設定は当社責任 |
| Notion |
SaaS基盤のセキュリティ |
○ |
|
サービス側責任 |
| Notion |
コンテンツ権限設定 |
|
○ |
ページ共有設定は当社 |
| Slack |
サービス可用性 |
○ |
|
SaaS側責任 |
| Slack |
チャンネルアクセス制御 |
|
○ |
部門単位の権限設定 |
4. レビューと更新
- 本マトリクスは少なくとも年1回、またはクラウドサービス導入・変更時にレビューする。
- レビュー結果は「マネジメントレビュー (B-12)」に報告する。
改訂履歴
| 改訂日 |
版数 |
内容 |
承認者 |
| 2025-01-06 |
v1.0 |
新規制定 |
沈 燁 |