セキュリティとGDPR要件に対応するAEMのCookie分類、動作、コンプライアンス検証
Cookieは多くの場合、AEMを搭載したサイト上に表示され、その由来、目的、分類が明確に示されないため、GDPRとコンプライアンスのリスクが生じます。これは特に、Cookieが同意前に読み込まれる場合や、個人情報を保存するかどうかを文書化する必要がある場合に顕著です。 AEMとAdobe Experience Cloudの統合により、機能的およびID関連のCookieが期待される動作として設定され、これらは通常、個人データを直接保存しません。同意管理プラットフォームでは、デフォルトで誤って分類される可能性があり、一部のCookieはインフラストラクチャまたはサードパーティから送信されます。
これを解決するには、各Cookieとそのソースを特定し、個人データが保存されているかどうかを判断し、同意ツールに対して正しく分類し、サポートされているセキュリティ属性を適用します。
説明 description
環境
- Adobe Experience Manager as a Cloud Service
- Adobe Experience Manager Managed Services
- Adobe Experience Manager 6.5 （ContextHub）
問題/症状
- Cookieは、明確な起源、目的、分類なくサイトに表示されます。
- 特定のCookie （
AMCV_、AMCVS_、affinity、demdex、AWSALBなど）は、個人データを保存しているかどうかを確認する必要があります。 - Cookieは、同意管理プラットフォームではユーザーの同意よりも前に表示されます。
- Adobe Cloudへの移行後に、不明なCookie （
dextpなど）が表示されます。 - コンプライアンス部門または法務部門は、CookieがIP アドレスまたは個人データを保存するかどうかについて、文書を作成する必要があります。
根本原因
AEMとAdobe Experience Cloudの統合では、想定される行動の一環として機能的およびID関連のCookieを設定しますが、これらは通常、個人データを直接保存しません。 Analytics、Audience Manager、TargetなどのAdobe サービスを有効にすると、関連するCookie （例：demdex、AMCV、mbox、at_check）が表示されます。 AWS Application Load Balancerなどのインフラストラクチャレベルのサービスは、独自のCookieを設定します。 同意管理プラットフォームは、デフォルトでCookieを誤って分類し、同意前に読み込まれることがあり、一部のCookie （RTなど）はサードパーティから送信されます。
再現手順
- アプリケーション/ストレージ
>Cookieの下にあるブラウザー開発者ツールでCookieを調査し、各Cookieのドメイン、パス、名前を確認します。 - 各Cookieを、既知のAdobe、インフラストラクチャ、サードパーティのデータソースと比較します。
- Cookieの値を調べて、読みやすい個人データが含まれていないことを確認します。
解決策 resolution
問題を修正するには：
-
Cookieとそのソースを特定する。 ブラウザーの開発者ツールを開き、 アプリケーション/ストレージ
>Cookieに移動し、ドメイン、パス、名前を確認して、各Cookieをそのオリジンにマッピングします。AMCV_、AMCVS_、TEST_AMCV_COOKIE_WRITE- Adobe Experience Cloud ID サービスdemdex、dextp- Adobe Audience ManagerAWSALB、AWSALBCORS- AWS Application Load Balancermbox、at_check、mboxEdgeCluster- Adobe Targetaffinity- AEM ロードバランサーのルーティング CookieRT- サードパーティのリアルユーザーモニタリング Cookie
-
Cookieが個人データと機密データのどちらを保存しているかを判断します。
AMCV/AMCVSにはECID （匿名の訪問者ID）が保存され、PIIが含まれていません。demdex、dextpは訪問者IDの同期を提供し、PIIを保存しません。AWSALBCookieはPIIを保存しません。mbox/at_checkはアクティビティとセッション情報を保存しますが、PIIは保存しません。affinityはPIIを保存しません。RTはAdobeによって設定されていないため、通常はサードパーティのパフォーマンス Cookieです。
-
GDPRおよび同意ツール用にCookieを分類し、その分類を法務またはプライバシー部門と確認します。
- 厳密に必要/技術的：コア機能に必要な場合、
affinity、AWSALB、TEST_AMCV_COOKIE_WRITE、および多くのECID Cookie。 - 分析、パーソナライゼーション、またはオーディエンスの構築に使用されるパフォーマンス/ターゲティング：
AMCV、AMCVS、demdex、mbox。 - サードパーティ：
RT。
- 厳密に必要/技術的：コア機能に必要な場合、
-
必要に応じて、Cookieが同意前に読み込まれないようにします。 同意ツールで、Cookieを前の手順で定義したグループに分類します。 次に、ブラウザーのストレージをクリアし、ページを再読み込みし、同意が与えられるまで同意必須のCookie （
demdexやAMCVなど）が存在しないことを確認します。 承認するまで、Adobe ライブラリ（Analytics、Target、Launch）が同意スクリプトによってブロックされていることを確認します。 -
コンプライアンスで必要な場合は、セキュアフラグまたはHttpOnly フラグを設定します（AEM as a Cloud ServiceではなくManaged Servicesのみ）。 AEM Web コンソールで、/system/console/configMgrに移動し、
org.apache.felix.http設定を開き、標準HTTP Cookieのセキュアフラグを有効にします。 サイトがHTTPS経由でのみ提供されることを確認します。これは、セキュアフラグに必要です。 JavaScriptへのアクセスが必要なため、AMCV/AMCVSCookieにはHttpOnlyを適用できません。 -
ContextHubのクライアントサイドストレージを検証します（AEM 6.5 Managed Servicesのみ）。 開発者ツールで アプリケーション
>ローカルストレージ を使用して、明示的に設定されていない限り、データがブラウザー localStorage または sessionStorage に保存されていることを確認します。 -
結果を検証します。 ブラウザーのストレージとリロードをクリアして、Cookieが正しい規制カテゴリーでのみ読み込まれることを確認し、Cookieの値を調べて個人データが含まれていないことを確認し、設定されたHTTPS ページでセキュアフラグが正しく適用されることを確認します（Managed Servicesのみ）。
-
Cookieが識別できない、読み取り可能な個人情報を保存するように見える、または分類後に同意前に読み込まれる場合は、Cookieの値、環境タイプ（AEMaaCSまたはManaged Services）、有効なAdobe ソリューションのリスト（Analytics、Target、Audience Manager）、および同意ツールの設定のスクリーンショットを使用して、Adobe サポート にお問い合わせください。