お客様が管理する暗号キー

セキュリティを重視する方のための安心。

CMEK のリリース目的

CMEK は、独自の暗号キーを管理する必要がある機密データまたは規制対象データを有する組織を対象としています。CMEK を使用すると、エンタープライズ組織はオンプレミスのインストールと同等のデータコントロールを維持しながら、クラウド SaaS アプリケーションを使用できます。CMEK は、お客様が管理する暗号化レイヤーを Smartsheet のデータストレージに追加し、高度なデータセキュリティとガバナンスポリシーをサポートします。

Smartsheet では、CMEK を使用して組織のデータを暗号化することで、常に組織が管理できるようにしています。具体的には、Smartsheet はこれらの暗号化キーを保存または管理せず、Smartsheet がシートデータにアクセスする必要があるたびに、Smartsheet はお客様の AWS Key Management Service (KMS) にこのようなキーをリクエストして取得する必要があります。

AWS Key Management System (KMS) に保存されている CMEK を管理している組織は、Smartsheet からの CMEK へのアクセス (つまり、組織のデータへのアクセス) をいつでも取り消すことができます。AWS Key Management System (KMS) のマスターキーを破棄することで、組織は Smartsheet システムからデータを効果的に削除できます。それでも、Smartsheet のデータベース、ソースコード、クラウド暗号化キーのコピーを持つ悪意のある当事者が CMEK で暗号化されたデータを読み取ることはできません。

CMEK で解決できること

問題点: 規制の厳しい業界では、独自の暗号キーがコンプライアンス要件の一部として不可欠なため、機密データを含むプロジェクトに Smartsheet を使用する際に問題が発生していました。
ソリューション: 現在、最も高いセキュリティ要件を持つ組織でも、機密データに Smartsheet を使用できるようになりました。CMEK は、組織のセキュリティコンプライアンス要件を満たし、お客様が独自のキーの管理を完全に制御できるようにします。

CMEK の仕組み

CMEK を導入していないお客様と、CMEK をアクティブ化したお客様のエンドユーザーエクスペリエンスに違いはありません。CMEK の暗号化と設定は、バックエンドのデータベース層で行われます。お客様は AWS KMS アカウントを設定し、Smartsheet にキーへのアクセスを許可する特定のポリシーで暗号化キーを作成し、Smartsheet にキーの ARN を提供します。Smartsheet はキーを使用してお客様のデータを暗号化し、データを暗号化/暗号化解除するためにキーに継続的にアクセスできるよう監視します。データの暗号化と暗号化はバックエンドのデータベース層で行われるためです。

アクティブ化プロセスの内容

CMEK のアクセスを持つお客様がアクティブ化を希望する場合、Smartsheet チームが CMEK の顧客オンボーディングシートに新しいエントリを追加します。
Smartsheet の顧客オンボーディングチームは、ARN および AWS の管理者の連絡先情報取得に関するリクエストをお客様に送信し、この情報で CMEK の顧客オンボーディングシートを更新します。
- Smartsheet はお客様に AWS Cloud Formation Script を提供し、お客様が AWS アカウント ID を使用して実行する必要があることを示します。Cloud Formation Script が実行されると、AWS KMS ARN が生成されます。
- Smartsheet は、AWS KMS ARN と AWS 管理者の連絡先情報の更新リクエストをお客様に送信します。
- Smartsheet は、上記の情報で CMEK の顧客オンボーディングシートを更新します。
Smartsheet の顧客オンボーディングチームは、CMEK の新規のお客様を有効化する必要があることを社内で伝達します。
Smartsheet のグリッドストレージチームが新しいデータベースインスタンスを作成し、エンジニアリングデータベース管理者が CMEK の顧客オンボーディングシートを更新して、新しいインスタンスの設定が完了したことを示します (表示例: CMEK-Created = TRUE)。
CMEK-Created が TRUE に設定されると、Smartsheet の自動化機能を通じて実行の準備ができていることがチームに通知されます。
チームに通知されると、フルフィルメントチームが社内のアクティブ化システムに機能フラグを設定します。
フルフィルメントチームは、CMEK を含む注文がアクティブ化されると、登録されているお客様の連絡先にフルフィルメントメールを送信し、CMEK がアクティブ化されたことを通知します。

CMEK について知っておくべきこと

CMEK のユーザーが暗号キーを管理するには、AWS KMS へのアクセスと関連するガバナンスポリシーの設定が必要です。
CMEK のユーザーは、Amazon Resource Name (ARN) を使用して、Smartsheet に暗号キーへのアクセス権限を付与する必要があります。
暗号キーに Smartsheet がアクセスするための固有のポリシーを付与する設定が必要です。
Smartsheet は Cloud Formation Script を提供しています。これにより、キーの設定が容易になります。
CMEK のアクティブ化は、お客様側と Smartsheet 側の両方のタイムラインにより、2 ～ 4 週間かかる場合があります。
シートのデータのみが CMEK で暗号化され、添付ファイル/リンク、レポート、ダッシュボード、WorkApps などの他のデータは Smartsheet の現在の暗号化が使用されます。
Smartsheet を使用している場合は、お客様が所有している既存のデータは、順次 CMEK の暗号化に移行します。
CMEK は、2024 年 8 月 16 日より前にスタンドアロンとして、またはパッケージの一部として CMEK を購入したお客様にご利用いただけます。Smartsheet では現在、CMEK の導入プロセスの合理化に取り組んでおり、この作業が完了するまでは、いかなる方法でも CMEK の提供を行う予定はありません。