セキュリティ

Adobe Commerce Pro プランアーキテクチャは、非常に安全な環境を提供するように設計されています。 各お客様は、他のお客様とは別に、独立した独自のサーバ環境に導入されます。 実稼動環境のセキュリティの詳細は、次のとおりです。

Web ブラウザー

クラウド環境に出入りするトラフィックの大半は、コンシューマーの web ブラウザーから得られます。 消費者トラフィックは、web サイト上のすべてのページで HTTPS を使用して保護できます（共有型 SSL 証明書または追加料金を支払う顧客独自の SSL 証明書を使用）。 チェックアウトページとアカウントページは、常に HTTPS を使用して提供されます。 すべてのページを HTTPS で提供することがベストプラクティスです。

コンテンツ配信ネットワーク

Fastly は、コンテンツ配信ネットワーク（CDN）と分散型サービス拒否（DDoS）保護を提供します。 Fastly CDN は、接触チャネルサーバーへの直接アクセスを分離するのに役立ちます。 パブリック DNS は、Fastly ネットワークのみを指します。 Fastly DDoS ソリューションは、非常に破壊的なレイヤ 3 およびレイヤ 4 攻撃、およびより複雑なレイヤ 7 攻撃から保護します。 レイヤー 7 攻撃は、HTTP/HTTPS リクエスト全体に基づくカスタムルールと、ヘッダー、cookie、リクエストパス、クライアント IP を含むクライアントおよびリクエスト条件、または位置情報などの指標に基づくカスタムルールを使用してブロックできます。

クラウドガイドの Fastly サービスの概要 を参照してください。

Web アプリケーションファイアウォール

Fastly Web アプリケーションファイアウォール（WAF）は、追加の保護を提供するために使用されます。 Fastly のクラウドベースの WAF は、OWASP Core Ruleset などの商用およびオープンソースのソースから得られるサードパーティルールを使用します。 また、Adobe Commerce固有のルールが使用されます。 お客様は、インジェクション攻撃や悪意のある入力、クロスサイトスクリプティング、データの抽出、HTTP プロトコル違反、その他の OWASP の 10 の脅威など、主要なアプリケーションレイヤーの攻撃から保護されます。

Adobe Commerceで WAF ルールが更新され、新しい脆弱性が検出された場合、Managed Servicesはソフトウェアパッチの前にセキュリティの問題を「実質的にパッチ」できます。 Fastly WAF は、レート制限またはボット検出サービスを提供していません。 必要に応じて、Fastly と互換性のあるサードパーティのボット検出サービスのライセンスを取得できます。

クラウドガイド _の「Web アプリケーションファイアウォール（WAF）_ を参照してください。

仮想プライベートクラウド

Adobe Commerce Pro プランの実稼動環境は、Virtual Private Cloud （VPC）として設定されるため、実稼動サーバーは分離されており、クラウド環境との間の接続や切り替えの機能が制限されます。 クラウドサーバーへの安全な接続のみが許可されます。 SFTP や rsync などのセキュアなプロトコルをファイル転送に使用できます。

お客様は、SSH トンネルを使用して、アプリケーションとの通信を保護できます。 AWS PrivateLink へのアクセスは、追加料金を支払って提供されます。 これらのサーバへのすべての接続は、環境への接続を制限する仮想ファイアウォールであるAWS セキュリティグループを使用して制御されます。 お客様の技術リソースは、SSH を使用してこれらのサーバーにアクセスできます。

暗号化

ストレージには、Amazon Elastic Block Store （EBS）が使用されます。 すべての EBS ボリュームは、AES-256 アルゴリズムを使用して暗号化されます。つまり、保存時にデータが暗号化されます。 また、CDN とオリジンの間、およびオリジンサーバー間の転送中のデータも暗号化されます。 顧客のパスワードはハッシュとして保存されます。 支払いゲートウェイ資格情報を含む機密性の高い資格情報は、SHA-256 アルゴリズムを使用して暗号化されます。

Adobe Commerce アプリケーションは、データが休止状態ではない場合や、サーバー間で転送中でない場合は、列レベルまたは行レベルの暗号化または暗号化をサポートしません。 お客様は、アプリケーション内から暗号化キーを管理できます。 システムで使用されるキーはAWS Key Management System に保存されるので、サービスの一部を提供するにはManaged Servicesで管理する必要があります。

エンドポイントの検出と応答

CrowdStrike Falcon は、軽量な次世代 EDR （Endpoint Detection and Response）エージェントが、Adobe内のすべてのエンドポイント（サーバを含む）にインストールされています。 EDR エージェントは、リアルタイムで継続的なモニタリングと収集を行うことで、Adobeデータとシステムを保護し、迅速な脅威特定と対応を可能にします。

侵入テスト

Managed Servicesは、標準のアプリケーションを使用して、Adobe Commerce クラウドシステムの定期的な侵入テストを実施します。 お客様は、カスタマイズされたアプリケーションの侵入テストに責任を負います。

支払いゲートウェイ

Adobe Commerceでは、クレジットカードのデータが消費者のブラウザーから支払い方法に直接渡される支払い方法の統合が必要です。 カードデータは、Adobe Commerce Pro プランのManaged Services環境では使用できません。 E コマースアプリケーションによるトランザクションに対するアクションは、ゲートウェイからのトランザクションへの参照を使用して完了します。

Adobe Commerce アプリケーション

Adobeでは、セキュリティの脆弱性に関してコアアプリケーションコードを定期的にテストしています。 欠陥およびセキュリティ上の問題に対するパッチがお客様に提供されます。 Product Security Team は、OWASP アプリケーション・セキュリティ・ガイドラインに従ってAdobe Commerce製品を検証します。 いくつかのセキュリティ脆弱性評価ツールと外部ベンダーを使用して、コンプライアンスのテストと検証を行っています。 セキュリティツールには次のものが含まれます。

すべてのコードベースは、これらのツールで隔週でスキャンされます。 お客様には、ダイレクトメール、アプリケーション内の通知、および セキュリティセンターを通じて、セキュリティパッチが通知されます。

お客様は、PCI ガイドラインに従って、リリース後 30 日以内に、これらのパッチをカスタマイズされたアプリケーションに適用する必要があります。 また、Adobeでは セキュリティスキャンツールを提供しています。このツールを使用すると、マーチャントはサイトを定期的に監視し、既知のセキュリティリスク、マルウェアおよび不正アクセスに関する更新を受け取ることができます。 セキュリティスキャンツールは無料のサービスで、あらゆるバージョンのAdobe Commerceで実行できます。

セキュリティ研究者が脆弱性を特定して報告することを奨励するために、Adobe Commerceには、内部テストに加えて バグバウンティプログラムがあります。 さらに、必要に応じて、顧客が独自にレビューするために、アプリケーションの完全なソースコードを提供します。

読み取り専用ファイルシステム

すべての実行可能コードは、読み取り専用のファイルシステムイメージにデプロイされるため、攻撃に使用できるサーフェスが大幅に減少します。 このデプロイメントプロセスは、PHP またはJavaScript コードをシステムに挿入したり、Adobe Commerce アプリケーションファイルを変更したりする機会を減らすために、Squash-FS イメージを作成します。

リモートデプロイメント

実行可能コードをManaged Services実稼動環境に取り込む唯一の方法は、プロビジョニングプロセスを通じてコードを実行することです。 プロビジョニングでは、ソースコードをソースリポジトリからリモートリポジトリにプッシュして、デプロイメントプロセスを開始します。 そのデプロイメントターゲットへのアクセスは制御されるので、誰がデプロイメントターゲットにアクセスできるかを完全に制御できます。 非実稼動環境へのアプリケーションコードのデプロイメントはすべて、顧客が制御します。

ログ

すべてのAWS アクティビティは、AWS CloudTrail に記録されます。 オペレーティングシステム、アプリケーションサーバー、データベースログは、実稼動サーバーに保存され、バックアップに保存されます。 すべてのソースコードの変更が Git リポジトリに記録されます。 配置履歴は、Adobe Commerce Project Web インターフェイスで使用できます。 すべてのサポートアクセスがログに記録され、サポートセッションが記録されます。

クラウドガイドの ログの表示と管理 を参照してください。

機密データ

機密データには、コンシューマーからの個人情報やManaged Servicesのお客様からの機密データが含まれる場合があります。 Adobe Commerce Managed Servicesでは、機密性の高い顧客データおよび消費者データの保護が重要な義務となっています。 Managed ServicesおよびAdobeのお客様は、どちらも個人を特定できる情報に関する法的義務を負っています。 アーキテクチャのセキュリティ機能に加えて、機密データの配布とアクセスを制限する制御が他にもあります。

顧客は自分のデータを所有し、そのデータの場所を制御できます。 顧客は、実稼動インスタンスと開発インスタンスが存在する場所を指定します。 また、CommerceでAdobe Commerce レポート環境に使用する場所と、Adobe Commerce レポートアプリケーションが個人を特定できる情報にアクセスできるかどうかを指定します。 実稼動インスタンスはほとんどのAWS リージョンで使用できますが、開発環境とAdobe Commerce レポート環境は、現在、米国または欧州連合で使用できます。

機密データは Fastly CDN サーバーネットワークを通過する可能性がありますが、Fastly ネットワークには保存されません。 Managed Services製品に含まれるすべてのパートナーは、機密データの保護を確実にする契約上の義務を負います。 Managed Servicesは、お客様が指定した場所から機密性の高い顧客データや消費者データを移動しません。

Managed Services製品に含まれるサービスの提供の一環として、Managed Servicesのスタッフは、機密データを含む実稼動システムにアクセスする必要があります。 これらの従業員は、顧客および消費者の機密データを保護する義務についてトレーニングを受けています。 これらのシステムへのアクセスは、アクセスを必要とする従業員に制限されています。 これらの従業員は、これらのサービスの提供に必要な時間のみアクセスできます。

EU 一般データ保護規則

EU 一般データ保護規則（GDPR）は、欧州連合（EU）内の個人の個人情報の収集と処理に関するガイドラインを設定する法的枠組みです。 これらの規制は、サイトの所在地に関係なく適用され、EU の訪問者がアクセスできます。

訪問者には、サイトが訪問者から収集するデータを通知し、情報収集に明示的に同意する必要があります。 当サイトは、当サイトが保有する個人情報が侵害された場合には、その旨を訪問者に通知しなければなりません。

サイトを運営するマーチャントまたは会社には、サイトのデータセキュリティを監督する専任のデータ保護責任者が必要です。 訪問者がデータの消去をリクエストした場合は、データプライバシー責任者（または web サイト管理チーム）に連絡してください。

GDPR では、収集された個人を特定できる情報（名前、人種、生年月日など）を匿名化または偽名化するよう求めています。

バックアップ

過去 24 時間の操作について、バックアップは 1 時間ごとに実行されます。 24 時間が経過すると、バックアップはAWS EBS Snapshot サービスを使用してスケジュールに保持されます。 Cloud Guide🔗 の 保持ポリシー を参照してください。

このサービスは、冗長ストレージに独立したバックアップを作成します。 EBS ボリュームは暗号化されるため、バックアップも暗号化されます。 また、Managed Servicesは、お客様の要求に応じてオンデマンドバックアップを実行します。

Managed Servicesのバックアップと回復のアプローチでは、高可用性アーキテクチャとフルシステムバックアップを組み合わせて使用します。 各プロジェクト（すべてのデータ、コード、アセット）が 3 つの異なるAWS可用性ゾーン（各ゾーンに別々のデータセンターがある）にレプリケートされます。

クラウドガイドの スナップショットとバックアップの管理 を参照してください。