セキュリティ | Datadog
Dash イベントで発表された新しいサーバーレス、ネットワーク、RUM などの機能をぜひご確認ください! Dash イベントで発表された新機能!

セキュリティ

Datadog はセキュリティを重視しています。セキュリティに関してご質問がある場合、または
問題が発生した場合は、お問い合わせください。

製品のセキュリティ

Datadog にとって製品のセキュリティは最も重要です。Datadog は、一般的なアジャイル原則に沿ったソフトウェア開発ライフサイクルを採用しています。アジャイルリリースサイクル全体にセキュリティ対策を施すことで、長期リリースサイクルの開発手法より迅速にセキュリティ重視のソフトウェア欠陥を検出して解決することができます。ソフトウェアパッチは継続的なインテグレーションプロセスの一環としてリリースされます。エンドユーザーに影響を与える可能性があるパッチは可能な限り迅速に適用されますが、エンドユーザーへの通知やサービス停止時間を必要とする場合もあります。

Datadog は、継続的なインテグレーションに取り組んでいます。このため、機能的な問題にもセキュリティ上の問題にもすばやく対応できます。変更の内容と時期は、明確に定義された変更管理ポリシーおよび手順によって決定されます。この理念は、DevOps のセキュリティと、Datadog の導入を後押ししてきた開発手法の要です。このため、Datadog がセキュリティの脆弱性や機能的な問題を解決するまでの平均時間は極めて短くなっています。Datadog は、反復的手法によって DevOps の実践を継続的に強化しています。

物理的なセキュリティ

Datadog 本稼働インフラストラクチャーは、クラウドサービスプロバイダー (CSP) 環境でホストされています。Datadog 本稼働サーバーの物理的環境的セキュリティにかかわる管理 (建物、ドアの施錠など) は、それらの CSP によって行われます。「物理的なアクセスは、敷地の境界と建物の入口の両方で専門の警備員によって厳重に管理されています。データセンターのフロアに立ち入るには、許可されたスタッフでも、二要素認証を 2 回以上行う必要があります。」1

企業のセキュリティ

Datadog は、最新のネットワークセキュリティと比べて、物理的境界によるセキュリティの比重が低下していることは認識しています。いったん境界が突破されると、ネットワーク境界によるセキュリティ保証に依存するサービスはすぐに停止します。このため、Datadog は、通常セントラル IdP を使用し、可能な限り二要素認証を利用して、トランスポートレベルでネットワークアクセスセキュリティを要求すると共にユーザーを個別に認証する内部サービスを活用しています。

Datadog では、年に一度、全従業員を対象にセキュリティ意識を高めるトレーニングを実施し、テクニカルな役職はもちろん、それ以外の役職も含めたセキュリティ網を構築しています。その結果、全従業員がカスタマーデータと企業資産の保護を強く意識しています。セキュリティに関するトレーニング資料は役割ごとに作成され、従業員は自身の役割に合ったセキュリティ知識を獲得し、業務に活用しています。


  1. AWS Shared Responsibility Model」を参照してください。 [return]

Agent の概要

お客様は、ローカルにインストールされた Agent または HTTP API を使用して Datadog サービスにデータを送信できます。Datadog を使用するうえで、必ずしも Datadog Agent を使用しなければならないわけではありませんが、大半のユーザーは Agent を利用しています。

Datadog Agent はオープンソースです。GitHub で Agent v5Agent v6 のソースコードを 参照できます。Agent v6 は Datadog Agent の最新メジャーバージョンです。コア Agent が Golang で全面的に書き換えられたため、Datadog で並行処理を利用できます。Agent v5 では、フォワーダー、コレクター、DogStatsD、スーパーバイザーを 4 つのプロセスとして個別に実行していましたが、Agent v6 ではこれらが 1 つのプロセスになりました。

Agent v6 には、デフォルトでグラフィカルユーザーインターフェイス (GUI) が付属しており、デフォルトの Web ブラウザで起動します。この GUI は、GUI を起動するユーザーが、Agent の構成ファイルを開く権限も含めて、正しいユーザーアクセス許可を持つ場合にのみ起動されます。GUI には、ローカルネットワークインターフェイス (localhost/127.0.0.1) からのみアクセスできます。最後に、GUI は、GUI サーバーとのすべての通信を認証するために使用するトークンを生成して保存するため、ユーザーの cookie を有効にする必要があります。必要に応じて、GUI を完全に無効にすることもできます。

Agent と Datadog のやり取りについては、https://docs.datadoghq.com/agent/ または https://docs.datadoghq.com/api を参照してください。

認証とアクセス管理

エンドユーザーは、IdP、Datadog がサポートしている Security Assertion Markup Language (SAML)、または「Sign-in with Google」OpenID サービスを使用して Datadog にログインできます。これらのサービスは個人の ID を認証すると共に、情報があらかじめ入力されたサインアップフォームを表示するために、名前、Emailアドレスなどの個人識別情報を Datadog と共有するためのオプションを提供しています。Datadog は SAML をサポートしているため、オーガニゼーションは Datadog への認証を制御し、特定のパスワードポリシー、アカウント復元方法、多要素認証技術などを適用することができます。

Datadog API へのすべてのリクエストに認証が必要です。データ書き込みリクエストには、少なくともレポートアクセス権と API キーが必要です。データ読み取りリクエストには、完全なユーザーアクセス権とアプリケーションキーが必要です。これらのキーは、Datadog サービス機能へのアクセスを許可するベアラートークンとなります。

カスタマーデータの保護

認証済みユーザーによって Datadog サービスに送信されたデータは、機密データと見なされます。このデータは、公共ネットワークを介して送信される際には保護され、保存時には暗号化されます。お客様からの要求があった場合などの一部の例外を除き、カスタマーデータの Datadog 本稼働サービス環境外部への転送は許可されません。

Datadog と Datadog ユーザーの間で送信されるすべてのデータは、Transport Layer Security (TLS) および HTTP Strict Transport Security (HSTS) を使用して保護されます。暗号化通信が途切れた場合、Datadog アプリケーションにはアクセスできなくなります。

現在、カスタマーデータは米国にあり、そのほとんどはバージニア州にあります。Datadog は、さまざまなポイントで暗号化を使用して、カスタマーデータと Datadog の機密情報を保護しています。たとえば、Encryption At Rest (AES-256 など)、システムバックアップ時には非対称暗号化 (PGP など)、機密情報 (パスワード、アクセストークン、API キーなど) の保護時には KMS ベースの保護、GPG 暗号化などです。

カスタマーデータへのアクセスは、それをビジネス要件とする機能に制限されます。Datadog は、管理目的のロールと権限に対して複数レイヤーのアクセス制御を実装しています。カスタマーデータを含む環境にアクセスするには、多要素認証 (MFA) を含む一連の認証/承認制御を経る必要があります。Datadog は、カスタマーデータへのアクセスに対して最小権限原則と Need to Know 原則を適用し、これらの環境へのアクセスは、セキュリティの目的で監視され、記録されます。Datadog は、管理資格情報とアクセス機構の整合性と機密性を確保するように制御を行い、ワークステーションにフルディスクの暗号とユニーククレデンシャルを適用しています。

Datadog は、重要なインフラストラクチャーのセキュリティ関連イベントを監視するために、オープンソース技術と商用技術をカスタマイズして実装しています。API の呼び出しやオペレーティングシステムレベルの呼び出しなどのアクティビティデータは、一元的に記録されます。それらの情報は複数のカスタムルールに基づいて試験され、不正な動作や承認されない動作が識別されます。ルールの結果はオーケストレーションプラットフォームに送付され、セキュリティチームに直接アラートを送信する、追加の認証を要求するなどのアクションが自動的にトリガーされます。

証明、認証、フレームワーク

Datadog は、EU-U.S. Privacy Shield Framework への準拠を証明しています。また、クラウドセキュリティアライアンス (CSA) の STAR 登録者です。さらに、Datadog は、自社のセキュリティ、プロセス、およびサービスに対して、SOC 2 Type 2 監査を含む主要な独立第三者検証を推進しています。

法令と規制

Datadog のソリューションは、Datadog が提供するサービスに適用されるすべてのデータ保護法令および規制に準拠しています。

Datadog は、2018 年 5 月 25 日の時点で、一般データ保護規則 (GDPR) に準拠しています。Datadog は、データ処理者としての義務を果たすために、その製品、プロセス、および手順の強化に努めています。

GDPR への対応

GDPR は、個人データに関する EU の規制を標準化し、EU 居住者 (データサブジェクト) の権利を拡大すると共に、個人データを構成する要素の定義も拡大しています。GDPR は、データサブジェクトが自身の個人データを制御および削除する権利を拡大し、特殊なカテゴリの個人データの処理を広く禁じています。データサブジェクトの個人データを処理する組織または団体は、GDPR を理解して遵守する必要があります。

GDPR の詳細については、https://www.datadoghq.com/gdpr/ を参照してください。

Datadog による GDPR の遵守

Datadog は、データ処理者 (プロセッサー) としての義務を果たすために、その製品、プロセス、および手順を変更してきました。Datadog が処理する情報に個人データが含まれていることがお客様から通知された場合、Datadog は GDPR の要件と両者間のデータ処理契約の条項に従ってその義務を果たすことができるようにお客様を支援します。この場合、お客様はデータコントローラー (コントローラー) と見なされ、Datadog はプロセッサーまたはサブプロセッサーと見なされます。

サポートプロセス

Datadog は、受け取った Data Subject Access Request (DSAR) に基づくお客様リクエストを受領、確認、および処理するためのオンラインポータルを実装しています。DSAR の結果、お客様は、Datadog がデータサブジェクトの個人データを安全に削除または返却することを要求できます。その機密性を考慮し、Datadog はデータの削除/返却リクエストを個別に処理します。

GDPR に関するご質問またはお問い合わせは、gdpr@datadoghq.com にお送りください。

問題の公表について

Detadog のセキュリティにバグを発見された場合、security@datadoghq.com にご連絡ください。24 時間以内に (通常はさらに早く) 対応いたします。Datadog との通信を暗号化する必要がある場合は、Datadog の PGP キーをダウンロードできます。発見した問題が解決されるまで、問題を公表されないようにお願いいたします。

SOC
CSA