# ベストプラクティス 8.1 – 保管中のデータを暗号化する 保管中のデータとは、デジタル的に保存されたデータを指します。このデータが承認されたユーザーにのみ表示され、ストレージまたはデータベースへのアクセスがアプリケーションとは無関係に侵害されるときには保護状態を保つように、暗号化を使用します。 **提案 8.1.1 – 暗号化が適用されるレベルを定義する** 一般に、暗号化をデプロイするスタックが多いほど、データの安全性は高まります。このセキュリティ強化には、デプロイと管理の複雑さの増加が伴います。AWS は、サービス内で使用可能な保管中の暗号化オプションを使用することをお勧めします。必要なときには、[セキュリティ] で定義されているオペレーティングシステムまたはデータベースの追加の暗号化を検討してください。 [ベストプラクティス 5.3 - SAP ワークロードの特定のセキュリティコントロールの必要性を評価する](best-practice-5-3.md). **提案 8.1.2 – SAP サービスおよびソリューション向けの AWS 暗号化オプションを理解する** 保管中のデータについて SAP が依存するコアの AWS サービスは、Amazon EC2 (AMI プラス EBS ボリューム)、Amazon FSx for Windows File Server、または共有ファイルシステム向けの Amazon EFS とバックアップまたはその他のオブジェクトストアユースケース向けの Amazon S3 です。 + AWS ドキュメント: [EBS -backed AMI での暗号化の利用](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/AMIEncryption.html) + AWS ドキュメント: [Amazon EBS Encryption](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/EBSEncryption.html) + AWS ドキュメント: [Amazon EFS 暗号化](https://docs.aws.amazon.com/efs/latest/ug/encryption.html) / [Amazon FSx 暗号化](https://docs.aws.amazon.com/fsx/latest/WindowsGuide/encryption.html) + AWS ドキュメント: [Amazon S3 の暗号化](https://docs.aws.amazon.com/AmazonS3/latest/userguide/UsingEncryption.html) これらのサービスの保存されたデータは、AWS または AWS KMS からの顧客管理キーを使用して、保管中に暗号化できます。 オペレーティングシステムの暗号化オプションには、BitLocker、DM-crypt、および SuSE Remote Disk があります。 以下のリンクを参考に、データベースの暗号化オプションに関する情報を見つけてください。 | データベース | Guidance | | --- | --- | | SAP HANA | SAP ドキュメント: [Server-Side Data Encryption Services (サーバー側のデータ暗号化サービス)](https://help.sap.com/viewer/b3ee5778bc2e4a089d3299b82ec762a7/LATEST/en-US/b30fda1483b34628802a8d62bd5d39df.html) | | SAP ASE | SAP ドキュメント: [SAP ASE 暗号化の概要](https://help.sap.com/viewer/833788dd3e9c413799014a0fd002d0b2/LATEST/en-US/a7b86bb3bc2b1014b9b08178723a5ee2.html) | | IBM Db2 | IBM ドキュメント: [Db2 暗号化の概要](https://www.ibm.com/docs/en/db2/11.5?topic=encryption-overview) | | Oracle | SAP Note: [2591575 - Oracle Transparent Data Encryption (TDE) と SAP NetWeaver の使用](https://launchpad.support.sap.com/#/notes/2591575) [SAP ポータルへのアクセス権が必要] | | Microsoft SQL Server | SAP Note: [1380493 - SQL Server Transparent Data Encryption (TDE)](https://launchpad.support.sap.com/#/notes/1380493) [SAP ポータルへのアクセス権が必要] | | SAP MaxDB | SAP ドキュメント: [SAP MaxDB データベース管理 - 暗号化](https://help.sap.com/viewer/2c2effc99b6746019aeb1af52ad59f5d/LATEST/en-US/741a232db1754d1899d23f9837e6052c.html) | **提案 8.1.3 – 暗号化の方法とキー管理ストアを定義する** 一般に、キー管理はエンタープライズレベルで定義され、これにより、SAP ワークロードでの使用が許されるキー管理オプションが決まります。AWS KMS は、AWS サービスの暗号化キーの管理を簡素化するセキュアで回復性の高いサービスです。独自のハードウェアセキュリティモジュール (HSM) を管理する必要がある場合は、AWS CloudHSM を使用できます。 + AWS ドキュメント: [AWS 暗号化ツールおよびサービスのオプション](https://docs.aws.amazon.com/crypto/latest/userguide/awscryp-choose-toplevel.html) + AWS ドキュメント: [AWS Key Management Service (AWS KMS)](https://aws.amazon.com/kms/) + AWS ドキュメント: [AWS CloudHSM](https://aws.amazon.com/cloudhsm/) マスターキーを保護するメカニズムも検討してください。キーのアクセスの制限、ローテーションの管理、および復元力の確保をどのように行いますか? HANA の保管中のデータの暗号化のルートキーは、ファイルシステム内のインスタンスセキュアストア (インスタンス SSFS) または SAP Data Custodian SaaS Solution でのみ安全に保存できることに注意してください。インスタンスストアを使用する場合、マスターキーは [AWS Secrets Manager](https://aws.amazon.com/systems-manager/) にローテーションポリシーとともに保存できます。 + SAP Note: [2154997 - Migration of hdbuserstore entries to ABAP SSFS (hdbuserstore エントリの ABAP SSFS への移行)](https://launchpad.support.sap.com/#/notes/2154997) [SAP ポータルへのアクセス権が必要] + SAP Note: [2755815 - How to Ensure Recoverability of Hana's Data-At-Rest Encryption (HANA の保管中データの暗号化の回復性を確保する方法)](https://launchpad.support.sap.com/#/notes/2755815) [SAP ポータルへのアクセス権が必要]