SingleStore Helios（エンタープライズ版）およびSingleStore Helios BYOCは、PCI DSS v4.0.1に準拠しました。この評価は、独立した認定セキュリティ評価機関（QSA）であるControlCaseによって実施され、対象となるHeliosクラウドプラットフォーム全体に導入されているセキュリティ対策を検証し、PCI準拠性を確認しました。
PCI DSSは、決済カードデータを扱う環境向けのセキュリティ標準です。PCI準拠とは、独立した評価機関がSingleStore Heliosを標準の要件に照らして評価したことを意味します。Helios上で決済データやその他のカード所有者データを扱うワークロードを実行する場合、アプリケーションの基盤となる管理プラットフォームは既に検証済みのコントロールセットに含まれています。これによりアプリケーションがPCI準拠になるわけではありませんが、プラットフォーム層をゼロから評価し、検証する必要がなくなります。
「セキュリティは、当社にとって単なる法令遵守要件ではなく、お客様への約束です。PCI DSS v4.0.1の取得は、当社のエンジニアリング、クラウドインフラストラクチャ、サイト信頼性、セキュリティ、コンプライアンスチームの努力の賜物です。お客様がSingleStore Helios上でよ り多くの重要なアプリケーションを構築するにつれて、当社は機密性の高いワークロードを安心してプラットフォームに預けていただけるよう、制御とプロセスへの投資を継続していきます。」
ニシャント・シンガラプ、ガバナンス、リスク、コンプライアンス担当アソシエイトディレクター、SingleStore
PCI DSSが重要な理由
ペイメントカード業界データセキュリティ基準（PCI DSS）は、主要カードブランドがカード所有者データの保護に関する共通の基準を定めるために設立した組織であるPCIセキュリティ標準協議会（PCI SSC）によって維持管理されています。この基準は、アクセス制御、暗号化、ネットワークセキュリティ、ログ記録と監視、脆弱性管理など、12の分野にわたる要件を定めています。
v4.0.1は現行の規格バージョンであり、2025年3月以降、そのすべての要件が義務付けられています。現在、規格に準拠するには、規格導入段階中に適用されていた一部の要件を満たすだけでなく、すべての要件を満たす必要があります。
評価の範囲
この評価は2つの製品を対象としています。
- SingleStore Helios（エンタープライズ版）
- SingleStore Helios BYOC（Bring Your Own Cloud）
PCIコンプライアンス評価の一環として、ControlCaseはSingleStoreのフルマネージド型クラウドデータベースプラットフォーム全体のコントロールを検証しました。これには、エンタープライズデータベース・アズ・ア・サービス（DBaaS）サービス、マルチテナント型クラウド環境、クラウドネイティブインフラストラクチャ、およびそれらを支えるストレージとセキュリティサービスが含まれます。Heliosをユーザー自身のクラウドアカウント内で実行するBYOCモデルも、同じ評価対象コントロールセットに含まれます。
Heliosプラットフォーム全体にわたるセキュリティ制御
PCI DSSは、Heliosがデフォルトの運用体制として既に適用している管理策に対応しています。今回の評価では、これらの管理策を複数の領域にわたって検証しました。
IDおよびアクセス管理
本番システムへのアクセスには多要素認証（MFA）が必要で、集中型ID管理を通じて行われます。管理アクセスは、本番環境への直接接続ではなく、セキュアなVPN接続と踏み台ホストを経由して行われます。顧客側では、HeliosはSAMLおよびOIDC IDプロバイダーとSCIMプロビジョニングによるシングルサインオン（SSO）をサポートし、ポータルレベルとデータベースレベルの両方でロールベースアクセス制御（RBAC）を提供します。ID統合とゼロトラストに関する記事では、このアクセスモデルの構築方法について詳しく説明しています。
暗号化と安全な通信
Heliosへの接続には暗号化されたHTTPS/TLSが使用され、クライアント接続、ノード間の内部トラフィック、オブジェクトストレージとの間の転送にはTLS 1.2以上が適用されるため、平文のパスは存在しません。保存データは、クラウド管理のキー管理サービス（KMS）キーを使用してAES-256で暗号化されます。キー主権要件のあるお客様は、顧客管理暗号化キーを通じて独自のキーを提供および管理できます。
継続的なモニタリング
インフラストラクチャとアプリケーションからのログは一元管理されるため、セキュリティチームは不審なアクティビティを検知、調査、対応することができます。監査ログは、コントロールプレーンとデータベースレベルの両方の操作を網羅しており、このような評価に必要な証拠となるログを生成します。
脆弱性管理
プラットフォームは定期的に脆弱性スキャンが実施され、スキャンで明らかになった脆弱性を修正および追跡するための明確な修復および変更管理プロセスが定められています。
安全なクラウドインフラストラクチャ
HeliosはAmazon Web Services（AWS）上で動作します。各デプロイメントはクラウドリージョン内の個別のAWSアカウントに配置され、専用の仮想プライベートクラウド（VPC）とネットワークセグメンテーションを使用してコンピューティングを分離します。また、クラスターごとに専用のオブジェクトストレージバケットが用意され、インフラストラクチャ層にはクラウドネイティブのセキュリティ制御が適用されます。クラスターエンドポイントはデフォルトではパブリックインターネットに公開されておらず、アクセスするには明示的なIPアドレスの許可リストへの登録が必要です。セキュリティに関するドキュメントには、プラットフォームの基本要件がすべて記載されています。
PCI DSSがSingleStoreの他の認証とどのように関連しているか
PCI DSSは、プラットフォームが独立した評価を受けた最初のセキュリティ基準ではありません。Heliosは既にSOC 2 Type IIおよびISO/IEC 27001の認証を取得しており、HIPAA、GDPR、CCPAの義務を負う顧客をサポートしています。PCI DSS v4.0.1では、この基準に決済カードデータが追加されました。プラットフォームを評価するチームにとって、これは、どのフレームワークに基づいて報告を行うかにかかわらず、既に評価済みの基盤からコンプライアンス範囲をより多く継承できるという実質的なメリットとなります。コンプライアンス認証に関する記事では、この継承の仕組みについて説明しており、セキュリティページでは現在の認証基準の一覧をご覧いただけます。
共同責任：その内容と、あなた自身が負うべきこと
SingleStoreのコンプライアンスは、Heliosが提供するインフラストラクチャ、運用管理、セキュリティ機能といった管理対象プラットフォームを対象としています。その上に展開するアプリケーションやデータには適用されません。
共有責任モデルでは、SingleStoreがプラットフォームを保護し、お客様はプラットフォームの使用方法を保護します。具体的には、SingleStoreは暗号化のデフォルト設定、ネットワーク分離、パッチ適用、および評価の背後にある運用制御を所有します。お客様は、IP許可リスト、IDプロバイダーとの統合とグループとロールのマッピング、データベースRBAC設計、CMEKを使用している場合は独自のキー、およびアプリケーションが扱うカード所有者データの処理方法を所有します。プラットフォームは準拠した基盤を提供しますが、アプリケーション自体が準拠するわけではありません。共有責任に関する投稿と共有責任に関するドキュメントには、その境界線が明確に示されています。
コンプライアンスを業務上の責務として捉える
PCI DSS v4.0.1への準拠は一度きりの認証ではなく、v4.0はまさにそのような扱いを避けるように策定されました。PCI DSSへの準拠を維持するには、継続的な作業が必要です。定期的な評価、脆弱性管理、変更管理、そしてプラットフォームを運用するエンジニアリング、インフラストラクチャ、サイト信頼性、セキュリティ、コンプライアンス、運用チーム間の連携が不可欠です。お客様にとって、PCI DSS v4.0.1は、構築するプラットフォームにおける独立検証済みのコントロールの1つであり、SingleStoreはこれを維持していく予定です。
さらに読む
今回の発表は、プラットフォームのセキュリティの各レイヤーをより詳細に解説する「SingleStore Heliosによるエンタープライズセキュリティ」シリーズと並行して行われるものです。
- 企業が最初に尋ねるコンプライアンスに関する質問
- 企業アイデンティティを、あなた独自の方法で実現（SSO、SCIM）
- ゼロトラストはチェックボックスではない
- 何か問題が発生した場合（災害復旧）はどうなるのか
- 暗号化制御スペクトル（CMEK）
- 責任の共有がリスク移転ではない理由
- セキュリティ機能だけでなく、セキュリティエンジニアリングも重要です。
アーキテクチャの詳細については、SingleStore Helios Cloud Securityのホワイトペーパーを参照してください。
