補完的なユーザー実体管理
このページでは、DispelのSaaSおよびオンプレミス展開におけるお客様のセキュリティ責任を要約しています。
はじめに
セキュリティと透明性へのDispelの取り組みの一環として、当社は、この補完的ユーザーエンティティ管理（CUECs）文書を公開し、お客様に帰属するセキュリティ責任を明確にします。これらの管理は 補完的な ものであり、Dispelによって実装されている管理を補完するもので、DispelのZero Trust Engine（ZTE）、リモートアクセスのワークフロー、マイクロセグメンテーション、脅威検知機能にまたがるお客様環境向けの統合セキュリティプログラムが効果的に機能するために不可欠です。
Dispelは、製造業、重要インフラ、公益事業、防衛関連請負業者、OT/ICS環境の運用者を含む、厳格に規制された分野で事業を行う組織にサービスを提供しているため、当社のCUECsは お客様が最も一般的に使用している:
IEC 62443-3-3 （システムセキュリティ要件およびセキュリティレベル）は、OTおよび産業制御システムで広く使用されており、また
NIST SP 800-53 Rev. 5 High Baselineは、米国の連邦および防衛プログラム全体で使用されており、強力なサイバーセキュリティ管理を求める企業にも採用されることがよくあります。
お客様には、Dispelの管理と自社の管理を共有責任モデルとして捉えることを推奨します。Dispelはクラウド基盤、プラットフォーム機能、および連携ワークフローを保護します。お客様は、自ら管理する資産、ID、ネットワーク、プロセスを保護します。
責任の具体的な分担は、Dispelの導入方法に大きく依存します、お客様はDispelを次の2つの異なる方法で使用します。
Dispelホスト型SaaS導入 — Dispelがプラットフォーム基盤全体を運用します。
オンプレミス / お客様クラウド導入 — プラットフォームはお客様管理の基盤内に完全に配置され、お客様が運用ホスティング責任を負います。
この文書は、両方のモデルにおけるお客様の役割をどのように果たすかを理解するのに役立ちます。
DispelがIEC 62443-3-3およびNIST SP 800-53 Highを使用する理由
当社のお客様の大半は、厳格な規制、運用、安全要件の対象となる分野で事業を展開しています。 CUECsをIECおよびNISTに基づかせることで、
お客様は、Dispelの管理を既存のコンプライアンス義務に容易にマッピングできます。
お客様側の責任が使い慣れたフレームワークで表現されるため、監査サイクルはより明確かつ迅速になります。
共有責任の構造は、重要インフラおよび高信頼システムに対する世界的な期待に整合しています。
補完的ユーザーエンティティ管理の理解
CUECsは お客様が運用しなければならないセキュリティ管理 を特定します。これにより、Dispelのプラットフォームが、当社ホストであれお客様ホストであれ、安全に機能します。
で SaaS導入の場合、Dispelがプラットフォームのホスティング、基盤のセキュリティ、およびシステム可用性を担います。
で オンプレミス / お客様クラウド導入の場合、お客様がこれらの機能の多くを担い、プラットフォームレベルの運用とサイトレベルのセキュリティの両方を実施する必要があります。
以下の各セクションでは、各導入モデルでお客様が行うべき内容を示しています。
セキュリティ領域別の顧客責任
ID・アクセス管理（IAM）
重要な理由
攻撃者はIDを狙うことが一般的です。Dispelはお客様のIdPと統合しますが、上流の認証はお客様が管理します。
お客様の責任
SaaS導入
お客様のIdPのユーザーライフサイクルプロセス（プロビジョニング／デプロビジョニング）を維持する。
企業のIdPにMFAを適用する。
最小権限のロール割り当てを維持する。
お客様管理の認証情報、APIキー、証明書を保護する。
オンプレミス / お客様クラウド導入
SaaSにおけるすべての責任に加えて さらに:
Dispelと統合するIDシステムの保護、維持、およびハードニングを行う責任があります。
Dispelインスタンスで使用される認証基盤（例：内部でホストされるSAML/SCIMエンドポイント）を設定、保護、監視する必要があります。
プラットフォームのすべてのサーバー、VM、サポートシステムに対するアクセス制御はお客様の責任です。
資産、構成、および変更管理
重要な理由
Dispelは接続性を保護します。お客様は、その背後に接続された資産（PLC、ファイアウォール、HMI、サーバー）を管理します。
お客様の責任
SaaS導入
Dispelのマイクロセグメントの背後にある資産のインベントリを維持する。
Dispelに接続されるOT/ICS/IT資産の安全な構成を維持する。
Dispelセグメントに許可された資産のみが存在することを検証する。
Dispelと統合されたシステムに対して変更管理プロセスに従う。
オンプレミス / お客様クラウド導入
SaaSにおけるすべての責任に加えて さらに:
Dispelプラットフォームをホストする仮想マシン、サーバー、ストレージ、ネットワーク、OS層の運用とパッチ適用を行う。
Dispelプラットフォームのノード、ロードバランサー、データベース、エンドポイントサービスの構成ベースラインと変更管理を維持する。
すべてのプラットフォームコンポーネントに対して、安全なインストール、構成、および依存関係管理を確実に行う必要があります。
ログ、監視、およびインシデント対応
重要な理由
Dispelはプラットフォームのアクティビティを記録します。お客様は自社環境を記録します。
お客様の責任
SaaS導入
Dispelでホストされていないシステム（ローカルのOT/ITネットワーク）のログを監視する。
社内のIR計画を維持し、実行する。
必要に応じてSIEM/SOCを維持する。
Dispelとの連携のためのセキュリティ窓口を指定する。
ローカルで封じ込めを実施する（例：工場ネットワークの分離）。
オンプレミス / お客様クラウド導入
SaaSにおけるすべての責任に加えて さらに:
Dispelプラットフォーム基盤自体によって生成されるログを収集、保存、保護、監視する必要があります。
監視システム（SIEM、ログコレクター）の稼働率を維持する責任があります。
プラットフォームのログをIRワークフローに統合し、必要に応じてフォレンジック保全を実施する必要があります。
プラットフォームノード上の監視エージェントのパッチ適用とセキュリティライフサイクルはお客様の責任です。
物理的および環境的セキュリティ
重要な理由
物理アクセスはデジタル制御を無効化します。
お客様の責任
SaaS導入
すべてのローカルOT/ICS資産およびワークステーションを保護する。
Dispelへのアクセスに使用されるエンジニアリング用ノートPCを保護する。
ローカルシステムに環境保護対策を維持する。
オンプレミス / お客様クラウド導入
SaaSにおけるすべての責任に加えて さらに:
Dispelプラットフォームをホストする物理サーバー、ラック、データセンター、クラウドリソースを保護する必要があります。
すべてのプラットフォームノードについて、環境制御（電源、冷却、湿度）を確実に行う必要があります。
プラットフォームで使用する管理コンソールおよびハードウェアへの物理的アクセスを制限する必要があります。
ネットワークセキュリティおよび通信の完全性
重要な理由
Dispelは安全な通信経路とマイクロセグメンテーションを提供します。お客様は周辺ネットワークを管理します。
お客様の責任
SaaS導入
ネットワーク境界でセグメンテーションとファイアウォールルールを維持する。
ローカルのネットワーク機器（ファイアウォール、ルーター、プロキシ）にパッチ適用し、保護する。
ネットワーク背後のICSプロトコルをハードニングする。
認証情報を発行する前に、委託業者のアクセスを検証する。
オンプレミス / お客様クラウド導入
SaaSにおけるすべての責任に加えて さらに:
VLAN、サブネット、クラウドVPC、ルーティング制御を含め、Dispelプラットフォームをホストするネットワークを保護し、運用する。
プラットフォームコンポーネント向けに安全な受信／送信ルールを設定する必要があります。
プラットフォームで使用されるローカルのロードバランサー、APIゲートウェイ、VPNブリッジ、HAペアを保護する責任があります。
プラットフォーム管理インターフェースを保護し、分離する必要があります。
データガバナンスおよび復旧
重要な理由
お客様は自らのデータを所有しており、その保存、転送、バックアップ方法に対するガバナンスを維持しなければなりません。
お客様の責任
SaaS導入
Dispelのクラウド外に保存されるすべてのデータのバックアップを維持する。
社内ポリシーに従ってデータを分類し、取り扱う。
統合で使用されるお客様所有の資料を管理する。
オンプレミス / お客様クラウド導入
SaaSにおけるすべての責任に加えて さらに:
Dispelプラットフォーム基盤（データベース、設定、プラットフォームノードなど）をバックアップおよび復元する必要があります。
プラットフォームで使用されるすべての暗号鍵について、安全な保存、ローテーション、および保護を確実に行う必要があります。
デプロイ全体に対するバックアップ媒体の保護および災害復旧プロセスはお客様の責任です。
エンドポイントセキュリティ
重要な理由
侵害されたエンドポイントは、プラットフォームの保護にかかわらず、リモートアクセスのセキュリティを損ないます。
お客様の責任
SaaS導入
Dispelにアクセスするエンドポイントをハードニングし、監視する（アンチウイルス/EDR、安全な構成、パッチ適用）。
Dispel経由で接続される対象のジャンプホストまたはHMIを保護する。
オンプレミス / お客様クラウド導入
SaaSにおけるすべての責任に加えて さらに:
Dispelプラットフォームサービスをホストするエンドポイントを保護する必要があります：
管理コンソール
デプロイサーバー
オーケストレーションサーバー
基盤となるすべてのOS
すべてのプラットフォームノードについて、パッチ適用、脆弱性スキャン、マルウェア対策を維持する必要があります。
最終更新