Cloud Insights 本番インフラは、 Amazon Web Services （ AWS ）でホストされます。建物やドアで使用されるロックやキーなど、 Cloud Insights 本番サーバの物理的および環境的なセキュリティ関連制御は、 AWS によって管理されます。AWS によると、「ビデオ監視、侵入検知システム、その他の電子的手段を利用して、専門のセキュリティスタッフが、境界と建物の両方で物理アクセスを制御します。認定スタッフは、多要素認証メカニズムを利用してデータセンターのフロアにアクセスします。」

Cloud Insights は、のベストプラクティスに従います "共有責任モデル" AWS で説明されています。

Cloud Insights はアジャイルの原則に沿った開発ライフサイクルを採用しているため、リリースサイクル開発の方法論よりもセキュリティ指向のソフトウェアの不具合に迅速に対応できます。継続的な統合手法を使用することで、機能とセキュリティの両方の変化に迅速に対応できます。変更管理手順とポリシーは、変更がいつどのように発生するかを定義し、本番環境の安定性を維持するのに役立ちます。インパクトのある変更は、正式に伝達され、調整され、適切にレビューされ、本番環境にリリースされる前に承認されます。

Cloud Insights 環境内のリソースへのネットワークアクセスは、ホストベースのファイアウォールによって制御されます。各リソース（ロードバランサや仮想マシンインスタンスなど）にはホストベースのファイアウォールがあり、インバウンドトラフィックを、そのリソースが機能を実行するために必要なポートだけに制限します。

Cloud Insights は、侵入検知サービスなどのさまざまなメカニズムを使用して、本番環境のセキュリティ異常を監視します。

Cloud Insights チームは、正式なリスク評価プロセスに従い、リスクを識別して評価するための体系的かつ反復可能な方法を提供し、リスク治療計画を使用して適切に管理できるようにします。

Cloud Insights の本番環境は、すべてのサービスおよびコンポーネントに複数のアベイラビリティゾーンを使用して、高度に冗長化されたインフラストラクチャでセットアップされます。可用性の高い冗長なコンピューティングインフラを利用するとともに、重要なデータを定期的にバックアップし、リストアを定期的にテストします。正式なバックアップ・ポリシーと手順により ' ビジネス・アクティビティの中断による影響を最小限に抑え ' 情報システムや災害の影響からビジネス・プロセスを保護し ' 適切なタイミングで適切な再開を実現します

Cloud Insights へのすべてのお客様アクセスは、 HTTPS を介したブラウザ UI インタラクションを通じて行われます。認証は、サードパーティのサービスである Auth0 を介して行われます。ネットアップでは、すべてのクラウドデータサービスの認証レイヤとして、この機能を一元化しています。

Cloud Insights は、 Cloud Insights 本番環境への論理アクセスに関する「最小特権」や「役割ベースのアクセス制御」など、業界のベストプラクティスに従っています。アクセスは厳密な必要性に基づいて制御され、多要素認証メカニズムを使用する一部の承認された担当者にのみ許可されます。

すべてのお客様のデータは、パブリックネットワークを経由して転送中に暗号化され、保存中に暗号化されます。Cloud Insights は、システムのさまざまなポイントで暗号化を利用し、 Transport Layer Security （ TLS ）や業界標準の AES-256 アルゴリズムなどのテクノロジを使用してお客様のデータを保護します。

E メール通知はさまざまな間隔で送信され、お客様のサブスクリプションが期限切れになることを通知します。サブスクリプションの期限が切れると、 UI は制限され、データ収集の猶予期間が始まります。その後、お客様に E メールで通知します。トライアルサブスクリプションには 14 日間の猶予期間があり、有料サブスクリプションアカウントには 28 日間の猶予期間があります。猶予期間が終了すると、お客様にはアカウントが 2 日以内に削除されることを電子メールで通知します。有料のお客様は、サービスを利用しないよう直接リクエストすることもできます。

期限切れのテナントおよび関連するすべての顧客データは、猶予期間の終了時、または顧客のアカウント終了要求の確認時に、 Cloud Insights Operations （ SRE ）チームによって削除されます。どちらの場合も、 SRE チームは API 呼び出しを実行してアカウントを削除します。API 呼び出しで、テナントインスタンスとすべての顧客データが削除されます。カスタマーの削除は、同じ API を呼び出し、カスタマーテナントのステータスが「削除済み」であることを確認することで確認できます。

Cloud Insights は、ネットアップの Product Security Incident Response Team （ PSIRT ）プロセスと統合されており、既知の脆弱性の検索、評価、解決に利用できます。PSIRT は、カスタマーレポート、内部エンジニアリング、 CVE データベースなどの広く認識されているソースなど、複数のチャネルから脆弱性情報を取得します。

Cloud Insights エンジニアリングチームが問題を検出すると、チームは PSIRT プロセスを開始し、評価を行い、問題を修正する可能性があります。

また、 Cloud Insights のお客様や調査担当者が、 Cloud Insights 製品を使用してセキュリティ問題を特定し、問題をテクニカルサポートに報告したり、ネットアップのインシデント対応チームに直接報告したりすることも可能です。このような場合、 Cloud Insights チームは PSIRT プロセスを開始し、問題を評価し、修正する可能性があります。

Cloud Insights は業界のベストプラクティスに従い、社内外のセキュリティプロフェッショナルと企業を使用して、定期的な脆弱性および侵入テストを実行します。

すべての Cloud Insights 担当者は、個々の役割向けに開発されたセキュリティトレーニングを受けて、各従業員がそれぞれの役割の特定のセキュリティ指向の課題に対応できるようにします。

Cloud Insights は、 SOC 2 監査の完了を含め、外部のライセンス済み CPA 企業のセキュリティ、プロセス、およびサービスについて、第三者による監査および検証を独立して実施します。

ネットアップが提供しているセキュリティアドバイザリを表示できます。 "こちらをご覧ください"。