セキュリティとデータアクセスのポリシー

このページでは、以下について説明します。

• DoiT プラットフォームがアクセスするお客様データの内容・目的・保存方法

• DoiT コンソールで特定の機能を有効化するために必要な権限

プライバシーとデータ保護

当社が保存するもの

当社は、DoiT プラットフォームの機能に必要なデータのみを保存します。

• Cloud Billing exports — コアの Billing 機能に必要。BigQuery に保存

• ユーザー情報 — コアの DoiT プラットフォーム機能に必要。Firestore に保存

• DoiT コンソールで作成された資産（Invoices、Billing Profiles など）— コアの DoiT プラットフォーム機能に必要。Firestore に保存

• 契約 — コアの DoiT プラットフォーム機能に必要。Google Cloud Storage に保存

• Service Account Keys — BigQuery Intelligence に必要。Firestore に保存し、KMS で暗号化

データの取扱いと保存方法

当社が取り扱うすべてのデータは、HTTPS（TLS）などの業界標準プロトコルを使用して転送時に暗号化されます。

当社が保存するすべてのデータは、保存時に暗号化されます。

• Google BigQuery — Google 管理の暗号鍵と Advanced Encryption Standard（AES）を使用

• Google Firestore — Google 管理の暗号鍵と AES を使用

• Google Cloud Storage — Google 管理の暗号鍵と AES を使用

• Service Account Keys — Google Cloud KMS によって暗号化し、Google Secret Manager に保存

データへのアクセス権を持つ者

アカウントマネージャーやサポートエンジニアなどのカスタマー対応の DoiT 従業員は、DoiT プラットフォーム内のデータにアクセスできます。少数の DoiT プラットフォーム中核開発チームは、基盤ストレージに保存されたデータへ直接アクセスできる場合があります。

Service Account キーは、バックエンドシステムのみが Google Cloud から関連データを取得する目的で使用します。KMS キーへのアクセス権を持つのは、少数の DoiT プラットフォーム中核開発チームのみです。

サードパーティ

以下に記載する、DoiT プラットフォームのコア機能に必要な例外を除き、当社はお客様のデータをいかなる第三者にも提供しません。

• DoiT Platform Support — 当社はエキスパート問い合わせシステムのバックエンドとして Zendesk を使用しています。問い合わせ関連データは Zendesk に保存され、Zendesk APIs を使用して取得されます [1]。

• Payments — 当社は決済に Stripe を使用しています。すべての決済関連データ（クレジットカードや銀行口座の詳細など）は Stripe プラットフォームに保存され、Stripe APIs を通じて利用されます [2]。

コンプライアンス

当社の製品は、セキュリティ・プライバシー・コンプライアンス管理に関する独立した検証を定期的に受け、国際的な基準に対する認証を取得しています。当社は適用範囲の拡大に継続的に取り組んでいます。

• EU および GDPR コンプライアンス — 当社は欧州経済領域に顧客を有し、一般データ保護規則（GDPR）に準拠してデータを取り扱っています [3]。

• SOC 2 および SOC 3 は、American Institute of Certified Public Accountants（AICPA）の Auditing Standards Board による既存の Trust Services Criteria（TSC）に基づく報告書です。本報告書は、セキュリティ、可用性、処理の完全性、機密性、プライバシーに関連する組織の情報システムを評価します。

• ISO/IEC 27001 は、情報セキュリティマネジメントシステム（ISMS）の要件を規定し、ベストプラクティスのセットを示すとともに、情報リスクの管理に役立つセキュリティ管理策を詳細に定めています。

DoiT プラットフォームの ISO/IEC 27001 および SOC 2/3 の証明書は、trust.doit.com からリクエストできます。

外部参照

• [1]: Zendesk Privacy and Data Protection
• [2]: Stripe Global Privacy Policy
• [3]: EU Data Protection page

Ava のセキュリティコンプライアンス

AVA は、生成 AI チャットボットであり、顧客データの機密性・完全性・可用性を確保するために最高水準のセキュリティ対策で設計されています。

GenAI の組織サブスクリプション

当社組織は GenAI のエンタープライズサブスクリプションを保有しており、追加のセキュリティレイヤーと制御を提供します。

• 強化されたセキュリティ対策: エンタープライズ契約者に限定された追加のセキュリティプロトコル。

• 専用データハブ: Ava が処理するすべてのデータは、プライベートでセキュアなデータハブに保存され、権限のない第三者がアクセスしたり漏えいさせたりすることはできません。加えて、当社は GenAI による学習目的でデータを提出することは決してありません。

顧客データの取り扱い

Billing データ

Cloud Analytics（クラウド分析）レポートの生成にあたって:

• 認証要件: Billing データへのアクセスおよび生成は、当社のセキュアな認証システムを通じてログインした顧客に限られます。

• API セキュリティ: 当社は既存の Cloud Analytics APIs を活用し、データがセキュアに処理され、権限のないユーザーに侵害またはアクセスされないことを保証します。

顧客コンテキストと資産管理

顧客固有のコンテキスト・資産・一般情報について:

• ベクターデータベースの利用: 顧客の利用状況と関連性に基づき、ベクターデータベースを用いて顧客データをセキュアに保存・埋め込みします。

• データのセグメンテーション: 強固なフィルタリングメカニズムにより、各顧客のデータは分離され、他の顧客のデータにアクセスまたは閲覧できないようにします。

これらのセキュリティ実践に従うことで、Ava はすべての顧客データを最高水準のセキュリティで取り扱い、不正アクセスを防止し、すべてのオペレーションにおいてデータの完全性を維持します。

機能別の権限

Google Cloud

コア機能

以下は、DoiT プラットフォームに必要な最小限の読み取り専用権限です。

アクセスレベル: Organization・Project

Google Cloud のリソース階層に関する情報を取得し、請求データと相関させるための権限:

resourcemanager.projects.get
compute.addresses.list
compute.disks.get
compute.disks.list
compute.images.get
compute.images.list
compute.instances.get
compute.instances.list
compute.projects.get
compute.regions.get
compute.regions.list
compute.snapshots.get
compute.snapshots.list
compute.zones.get
compute.zones.list
compute.commitments.get
compute.commitments.list

Google Cloud APIs のステータス確認（必要に応じて有効化を含む）のための権限（例: Recommender API）:

serviceusage.services.enable
serviceusage.services.get
serviceusage.services.list
serviceusage.services.use

アクセスレベル: Organization のみ

resourcemanager.organizations.get
resourcemanager.organizations.getIamPolicy
resourcemanager.folders.get
resourcemanager.folders.list
resourcemanager.projects.list

アクセスレベル: Project のみ

resourcemanager.projects.getIamPolicy

Ava 読み取り専用

アクセスレベル: Organization・Project

AVA が、お客様の Google Cloud 環境全体のデータを公開することなく、特定の選択された Organization または Project に対して、コンテキスト化され詳細なインサイトをセキュアに生成するために必要な権限。

compute.instanceGroups.get
compute.instanceGroupManagers.get
compute.routers.gets
compute.machineTypes.get
bigquery.tables.get
bigquery.tables.list
bigquery.datasets.get
bigquery.jobs.get
bigquery.jobs.list
bigquery.jobs.listAll
bigquery.capacityCommitments.get
bigquery.capacityCommitments.list
bigquery.reservations.get
bigquery.reservations.list
bigquery.reservationAssignments.list
bigquery.reservationAssignments.search
storage.buckets.get
storage.buckets.list
storage.buckets.getIamPolicy
storage.objects.getIamPolicy
cloudsql.instances.get
cloudsql.instances.list
dns.resourceRecordSets.list
cloudfunctions.functions.get
cloudfunctions.functions.list
cloudfunctions.operations.get
cloudfunctions.operations.list
cloudbuild.builds.get
cloudbuild.builds.list
cloudbuild.operations.get
cloudbuild.operations.list
pubsub.topics.get
pubsub.topics.list
pubsub.subscriptions.get
pubsub.subscriptions.list
pubsub.schemas.get
pubsub.schemas.list
logging.logs.list
logging.sinks.get
logging.sinks.list
logging.exclusions.get
logging.exclusions.list
monitoring.metricDescriptors.get
monitoring.metricDescriptors.list
monitoring.timeSeries.list
monitoring.groups.get
monitoring.groups.list
monitoring.alertPolicies.get
monitoring.alertPolicies.list
monitoring.dashboards.get
monitoring.dashboards.list
monitoring.services.get
monitoring.services.list
monitoring.slos.get
monitoring.slos.list
monitoring.uptimeCheckConfigs.get
monitoring.uptimeCheckConfigs.list
cloudasset.assets.listResource
cloudasset.assets.searchAllResources
cloudasset.operations.list
securitycenter.assets.get
vpcaccess.connectors.get
vpcaccess.connectors.list
vpcaccess.operations.get
vpcaccess.operations.list
iam.roles.get
iam.roles.list
iam.serviceAccounts.get
iam.serviceAccounts.list
iam.workloadIdentityPools.get
iam.workloadIdentityPools.list
iam.workloadIdentityPoolProviders.get
iam.workloadIdentityPoolProviders.list
errorreporting.errorEvents.list

Cloud Diagrams

アクセスレベル: Organization・Project

お客様の Google Cloud 環境に対して Cloud Diagrams を作成するために必要な権限。

cloudasset.assets.listResource
cloudasset.assets.searchAllResources
compute.instanceGroups.get
compute.instanceGroupManagers.get
compute.routers.get
dns.resourceRecordSets.list

Google Cloud Rightsizing

アクセスレベル: Organization のみ

組織全体の Google Compute Engine インスタンス向けに Rightsizing の推奨事項を提供するために必要な権限:

recommender.computeInstanceMachineTypeRecommendations.list
compute.instances.list

Rightsizing の推奨事項を実装するために必要な権限:

compute.instances.setMachineType
compute.instances.stop
compute.instances.start

BigQuery Intelligence

アクセスレベル: Organization のみ

BigQuery Intelligence が組織レベルの権限を必要とする理由

BigQuery Intelligence は、プロジェクトをまたいだログを監視・分析するために、組織レベルでaudit log sinkを作成します。プロジェクトレベルのシンクからのログ取得はサポートしていません。

これらの権限により、BigQuery Intelligence はダッシュボード上でリソース名とともにコストおよび最適化の推奨事項を表示する目的で、プロジェクト・データセット・テーブルの「構造」にアクセスできます。いずれの権限も、お客様の BigQuery データそのものへのアクセスを許可するものではありません。

BigQuery Intelligence の権限は、いくつかのカテゴリにグループ化されています。

BigQuery Intelligence

BigQuery 環境のコスト最適化の推奨事項を取得するために必要な権限:

BigQuery Intelligence

BigQuery 環境におけるコスト最適化の推奨事項を取得するために必要な権限：

Permission	Description
bigquery.datasets.create	新しい空のデータセットを作成。
bigquery.datasets.get	データセットのメタデータと権限を取得。
bigquery.tables.get	テーブルのメタデータを取得。
bigquery.tables.list	テーブルとテーブルのメタデータを一覧表示。
bigquery.jobs.get	任意のジョブのデータとメタデータを取得。
bigquery.jobs.list	すべてのジョブを一覧表示し、任意のユーザーが送信したジョブのメタデータを取得。別ユーザーが送信したジョブの詳細とメタデータはマスクされます。
bigquery.jobs.listAll	すべてのジョブを一覧表示し、任意のユーザーが送信したジョブのメタデータを取得。
bigquery.jobs.create	プロジェクト内でジョブ（クエリを含む）を実行。
bigquery.routines.list	ルーティンとルーティンのメタデータを一覧表示。
bigquery.routines.get	ルーティン定義とメタデータを取得。
logging.sinks.create	Cloud Logging で新しいシンクを作成。
logging.sinks.get	Cloud Logging のシンクに関する情報を取得。

BigQuery Intelligence Editions

Google BigQuery editions と連携するために BigQuery Intelligence に追加で必要な権限。

Permission	Description
bigquery.capacityCommitments.list	プロジェクト内の現在のすべてのキャパシティコミットメントについて INFORMATION_SCHEMA.CAPACITY_COMMITMENTS ビュー をクエリ。
bigquery.capacityCommitments.get	プロジェクト内のキャパシティコミットメントを取得。
bigquery.reservations.list	プロジェクト内のすべての スロット予約 の一覧について INFORMATION_SCHEMA.RESERVATIONS ビュー をクエリ。
bigquery.reservations.get	スロット予約の詳細を取得。
bigquery.reservationAssignments.list	プロジェクト内のすべての予約割り当て について INFORMATION_SCHEMA.ASSIGNMENTS ビュー をクエリ。
bigquery.reservationAssignments.search	指定のプロジェクト・フォルダ・組織の予約割り当てを検索。

BigQuery Intelligence Insights

追加の BigQuery Intelligence のインサイトを取得するために必要な権限。

Permission	Description
recommender.bigqueryCapacityCommitmentsInsights.get recommender.bigqueryCapacityCommitmentsInsights.list recommender.bigqueryCapacityCommitmentsRecommendations.get recommender.bigqueryCapacityCommitmentsRecommendations.list	コスト最適なコミットメントスロットの推奨事項 へのアクセス。
recommender.bigqueryMaterializedViewInsights.get recommender.bigqueryMaterializedViewInsights.list recommender.bigqueryMaterializedViewRecommendations.get recommender.bigqueryMaterializedViewRecommendations.list	マテリアライズドビューの推奨事項 へのアクセス。
recommender.bigqueryPartitionClusterRecommendations.get recommender.bigqueryPartitionClusterRecommendations.list recommender.bigqueryTableStatsInsights.get recommender.bigqueryTableStatsInsights.list	パーティションとクラスタの推奨事項 へのアクセス。

Kubernetes core

以下の目的に必要な権限：

• 実行可能な推奨事項を得るために、DoiT のインサイトが Kubernetes クラスタと連携できるようにする

• Kubernetes Intelligence を利用するために GKE クラスタをオンボーディングする

Google Kubernetes Engine（GKE）: API permissions も参照してください。

アクセスレベル: Organization・Project

Permission	Description
container.clusters.get	特定の GKE クラスタに関する情報を取得。
container.clusters.list	特定のプロジェクト内のすべての GKE クラスタを一覧表示。
container.clusters.connect	GKE クラスタに接続。Kubernetes API サーバーへの接続に必要です。あわせて Authenticate to the Kubernetes API server も参照。

Real-time anomalies – GCE

DoiT の Google Compute Engine 向けリアルタイムコストアノマリー検出は、ほぼリアルタイムでコストの急増を監視するために以下の権限を必要とします。

アクセスレベル: Organization

Permission	Description
logging.sinks.create	ログシンクを作成。
logging.sinks.get	ログシンクが正しく構成されているか確認。
logging.sinks.update	誤った構成が検出された場合にログシンクを更新。
compute.machineTypes.get	コストアノマリー検出の評価に必要なインスタンスのマシンタイプのメタデータを取得。

Real-time anomalies – BigQuery

DoiT の BigQuery 向けリアルタイムコストアノマリー検出は、ほぼリアルタイムでコストの急増を監視するために以下の権限を必要とします。

アクセスレベル: Project

Permission	Description
bigquery.jobs.get	ジョブのステータスやメタデータなど、特定のジョブに関する情報を返す。
bigquery.jobs.list	指定したプロジェクトで自分が開始したすべてのジョブを一覧表示。
bigquery.jobs.listAll	指定したプロジェクト内のすべてのユーザーにまたがるすべてのジョブを一覧表示。
bigquery.reservations.get	特定の BigQuery スロット予約リソースの構成と詳細を返す。
bigquery.reservations.list	指定したプロジェクト内のすべての BigQuery スロット予約と関連メタデータを一覧表示。
monitoring.timeSeries.list	メトリクスの時系列データを返す。
monitoring.metricDescriptors.get	メトリック記述子（メトリック自体に関する情報）を返す。

Insights from BigQuery export

GCP Recommender の BigQuery エクスポートからインサイトを得るためにデータセットを接続する際に必要な権限は以下のとおりです。

アクセスレベル: Project

Permission	Description
bigquery.jobs.create	プロジェクト内でジョブ（クエリを含む）を実行。

アクセスレベル: Dataset

Permission	Description
bigquery.tables.get	テーブルのメタデータを取得。
bigquery.tables.list	テーブルとテーブルのメタデータを一覧表示。
bigquery.tables.getData	テーブルデータを取得。テーブルデータのクエリに必要な権限。

Amazon Web Services

以下のセクションでは、AWS アカウントに必要な権限を示します。

Core functionality

DoiT Platform の機能に必要な最小限の読み取り専用権限です。これらの権限は、AWS アカウントの請求データとセキュリティ体制にアクセスするために必要です。

Permission	Description
arn:aws:iam::aws:policy/SecurityAudit	セキュリティ監査テンプレートは、セキュリティ構成メタデータの読み取りアクセスを付与。
arn:aws:iam::aws:policy/AWSSavingsPlansReadOnlyAccess	Savings Plans サービスへの読み取り専用アクセスを付与。
arn:aws:iam::aws:policy/job-function/Billing	請求・コスト・支払い方法・予算・レポートの管理に対するフル権限を付与。

AWS quota monitoring

AWS Quotas の監視をプロアクティブに行うために必要な権限：

support:DescribeTrustedAdvisorCheckSummaries
support:DescribeTrustedAdvisorCheckRefreshStatuses
support:DescribeTrustedAdvisorChecks
support:DescribeSeverityLevels
support:RefreshTrustedAdvisorCheck
support:DescribeSupportLevel
support:DescribeCommunications
support:DescribeServices
support:DescribeIssueTypes
support:DescribeTrustedAdvisorCheckResult
trustedadvisor:DescribeNotificationPreferences
trustedadvisor:DescribeCheckRefreshStatuses
trustedadvisor:DescribeCheckItems
trustedadvisor:DescribeAccount
trustedadvisor:DescribeAccountAccess
trustedadvisor:DescribeChecks
trustedadvisor:DescribeCheckSummaries

Cloud Diagrams

Cloud Diagrams は、AWS アカウントの AWS クラウドインフラストラクチャのダイアグラムを生成します。

support:DescribeTrustedAdvisorCheckSummaries
support:DescribeTrustedAdvisorCheckRefreshStatuses
support:DescribeTrustedAdvisorChecks
support:DescribeSeverityLevels
support:RefreshTrustedAdvisorCheck
support:DescribeSupportLevel
support:DescribeCommunications
support:DescribeServices
support:DescribeIssueTypes
support:DescribeTrustedAdvisorCheckResult
trustedadvisor:DescribeNotificationPreferences
trustedadvisor:DescribeCheckRefreshStatuses
trustedadvisor:DescribeCheckItems
trustedadvisor:DescribeAccount
trustedadvisor:DescribeAccountAccess
trustedadvisor:DescribeChecks
trustedadvisor:DescribeCheckSummaries

Cloud Diagrams

Cloud Diagrams は、AWS アカウントの AWS クラウドインフラストラクチャのダイアグラムを生成します。

Permission	Description
apigateway:GET	特定のゲートウェイを取得します。
ec2:SearchTransitGatewayRoutes	指定した Transit Gateway ルートテーブル内のルートを検索します。
eks:ListTagsForResource	Amazon EKS リソースのタグを一覧表示します。
eks:ListFargateProfiles	指定したリージョンの AWS アカウント内で、指定したクラスタに関連付けられている AWS Fargate プロファイルを一覧表示します。
eks:DescribeFargateProfile	AWS Fargate プロファイルを削除します。
elasticfilesystem:DescribeTags	ファイルシステムに関連付けられているタグを返します。
glacier:ListTagsForVault	ボールトにアタッチされているすべてのタグを一覧表示します。
glacier:GetVaultNotifications	ボールトに設定された通知設定のサブリソースを取得します。
glue:GetConnections	Data Catalog から接続定義の一覧を取得します。
glue:GetCrawler	指定したクローラのメタデータを取得します。
glue:GetDatabase	指定したデータベースの定義を取得します。
health:DescribeEventDetails	指定した 1 つ以上のイベントに関する詳細情報を返します。
networkmanager:Get*	ネットワークパフォーマンスデータを取得します。
networkmanager:List*	ネットワークパフォーマンスデータを一覧表示します。
ram:GetResourceSharest*	自分が所有する、または共有を受けているリソース共有の詳細を取得します。
wafv2:GetLoggingConfiguration	指定した Web ACL の LoggingConfiguration を返します。
wafv2:GetRuleGroup	指定した RuleGroup を取得します。
waf:GetLoggingConfiguration	指定した Web ACL の LoggingConfiguration を返します。
waf-regional:GetLoggingConfiguration	指定した Web ACL の LoggingConfiguration を返します。
eks:ListAccessPolicies	利用可能なアクセスポリシーを一覧表示します。
eks:ListAccessEntries	クラスタのアクセスエントリを一覧表示します。
eks:DescribeCluster	Amazon EKS クラスタの詳細を記述します。
eks:ListClusters	指定した AWS リージョン内の AWS アカウントにある Amazon EKS クラスタを一覧表示します。

PerfectScale for Spot

PerfectScale for Spot は、コストと使用状況に基づいて Auto Scaling Group を分析し、オンデマンド EC2 インスタンスを Spot インスタンスに置き換えるための推奨事項を提供します。

ec2:Describe*
ec2:CreateLaunchTemplate
ec2:CreateLaunchTemplateVersion
ec2:ModifyLaunchTemplate
ec2:RunInstances
ec2:TerminateInstances
ec2:CreateTags
ec2:DeleteTags
ec2:CreateLaunchTemplateVersion
ec2:CancelSpotInstanceRequests
autoscaling:CreateOrUpdateTags
autoscaling:UpdateAutoScalingGroup
autoscaling:Describe*
autoscaling:AttachInstances
autoscaling:BatchDeleteScheduledAction
autoscaling:BatchPutScheduledUpdateGroupAction
cloudformation:ListStacks
cloudformation:Describe*
iam:PassRole
events:PutRule
events:PutTargets
events:PutEvents

Kubernetes core

Kubernetes Intelligence を使用するために EKS クラスタをオンボーディングする際に必要な権限です。

Permission	Description
eks:ListAccessPolicies	利用可能なアクセスポリシーを一覧表示します。
eks:ListAccessEntries	クラスタのアクセスエントリを一覧表示します。
eks:DescribeCluster	Amazon EKS クラスタの詳細を記述します。
eks:ListClusters	指定した AWS リージョン内の AWS アカウントにある Amazon EKS クラスタを一覧表示します。

Real-time anomalies

DoiT の AWS 向けリアルタイムコストアノマリー検出 は、コストスパイクをほぼリアルタイムで監視するために次の権限を必要とします。

Permission	Description
ec2:DescribeImages	AWS アカウントが所有するプライベートイメージ内の EC2 インスタンス属性情報を取得するために必要な権限です。
kms:Decrypt	KMS キーで暗号化された暗号文を復号します。
s3:GetBucketLocation	IAM ロールを自動的に作成 する場合にのみ必要です。バケットが存在するリージョンを返します。
s3:GetBucketNotification	バケットの通知設定を返します。
s3:GetObject	Amazon S3 からオブジェクトを取得します。
s3:ListBucket	ユーザーが Amazon S3 の ListObjectsV2 オペレーションを使用できるようにします。詳細は Policies and permissions in Amazon S3 を参照してください。
s3:PutBucketNotification	IAM ロールを自動的に作成 する場合にのみ必要です。バケットに対して指定したイベントの通知を有効にします。
ec2:DescribeInstances	EC2 インスタンスを記述します。

Cost Optimization Hub insights

DoiT の Insights は、AWS Cost Optimization Hub API と連携するために次の権限を必要とします。

Permission	Description
cost-optimization-hub:ListRecommendations	推奨事項の一覧を返します。

Trusted Advisor insights

DoiT の Insights は、AWS Trusted Advisor API と連携するために次の権限を必要とします。

Permission	Description
trustedadvisor:GetRecommendation	特定のグローバル推奨事項を取得します。
trustedadvisor:ListRecommendations	フィルター可能なグローバル推奨事項のセットを一覧表示します。
trustedadvisor:ListRecommendationResources	グローバル推奨事項のリソースを一覧表示します。

Security Hub insights

Security Hub インサイト

DoiT Insights が AWS Security Hub API と連携するには、次の権限が必要です。

Permission	Description
securityhub:GetFindings	指定された条件に一致する検出結果の一覧を返します。

Microsoft Azure

Azure Advisor インサイト

DoiT Insights が Azure Advisor REST API と連携するには、次の権限が必要です。

Permission	Description
Management Group/Reader	既存の管理グループ階層設定を一覧表示します。