# ベストプラクティス 8.2 – 送信中のデータを暗号化する 送信中のデータの暗号化を使用すると、データがあるポイントから別のポイントへ移動しているときの傍受、アクセス、または改ざんがより困難になります。セキュアなプロトコルとネットワークレベルの暗号化が設定されていて、潜在的な脅威を最小化し、要件に応じた保護レベルを提供していることを確認します。 Well-Architected Framework [セキュリティ]: [伝送中のデータの保護](https://docs.aws.amazon.com/wellarchitected/latest/security-pillar/protecting-data-in-transit.html) **提案 8.2.1 – SAP およびデータベースプロトコルに基づくアプリケーショントラフィックを暗号化する** SAP プロトコルを使用するアプリケーショントラフィックの場合 (SAPGUI Dialog、RFC、および CPIC) は、SAP SNC を使用してトランスポートレイヤーセキュリティを適用します。 + SAP ドキュメント: [SAP システムにおける SNC で保護された通信パス](https://help.sap.com/viewer/621bb4e3951b4a8ca633ca7ed1c0aba2/LATEST/en-US/ad38ff4fa187622fe10000000a44176d.html) データベーストラフィックについては、可能な場合、クライアントとデータベース間のセキュアな接続を使用します。 | データベース | Guidance | | --- | --- | | SAP HANA | SAP ドキュメント: [SAP HANA: データ通信の保護](https://help.sap.com/viewer/b3ee5778bc2e4a089d3299b82ec762a7/LATEST/en-US/dda2ae94bb571014a48fc3b22f8e919e.html) | | SAP ASE | SAP ドキュメント: [SAP ASE における SSL](https://help.sap.com/viewer/2705a3b1e3df4514ab089cfedf87750d/LATEST/en-US/a947184cbc2b10149416e3140b2f61aa.html) | | IBM Db2 | SAP Note: [2385640 - DB6: database connection using SSL encryption (DB6: SSL 暗号化を使用したデータベース接続)](https://launchpad.support.sap.com/#/notes/2385640) [SAP ポータルへのアクセス権が必要] | | Oracle | SAP Note: [973450 - Oracle Database network encryption and data integrity (Oracle データベースネットワークの暗号化とデータの整合性)](https://launchpad.support.sap.com/#/notes/973450) [SAP ポータルへのアクセス権が必要] | | Microsoft SQL Server | SAP Note: [1570930 - SQL Server network encryption with SAP (SAP による SQL Server ネットワークの暗号化)](https://launchpad.support.sap.com/#/notes/1570930) [SAP ポータルへのアクセス権が必要] | | SAP MaxDB | SAP ドキュメント: [MaxDB ネットワークと通信](https://help.sap.com/viewer/b255f72263a84a48b22eb41f4d381dda/LATEST/en-US/44bb54e8e00215b2e10000000a155369.html) | **提案 8.2.2 – インターネットプロトコルに基づく SAP アプリケーショントラフィックを暗号化する** インターネットプロトコル (HTTP、P4 (RMI)、LDAP) に基づくアプリケーショントラフィックについては、SSL/TLS を使用して、トランスポートレイヤーセキュリティを適用します。 + SAP ドキュメント: [トランスポートレイヤーセキュリティ](https://help.sap.com/viewer/621bb4e3951b4a8ca633ca7ed1c0aba2/LATEST/en-US/5f0f558b8a7841049139f0fb558ac62c.html) **提案 8.2.3 – ファイル転送またはメッセージ転送プロトコルに基づくデータ交換を暗号化する** ファイルベースの転送の場合、AWS は、SFTP または FTPS 経由でのセキュアなファイル交換のために、AWS Transfer Family を提供します。AWS Transfer Family は Amazon S3 と Amazon EFS 管のデータの転送をサポートします。 + AWS ドキュメント: [AWS Transfer Family](https://aws.amazon.com/aws-transfer-family) メッセージレベルのデータ整合性チェックを使用すると、データが送信中に改ざんされていないことを確認できます。SAP によってサポートされている 1 つ以上のメッセージレベルセキュリティスタンダードを使用して、メッセージ内のデータに署名し、その整合性を確認することを検討してください。 + SAP ドキュメント: [SAP ABAP ウェブサービスメッセージレベルセキュリティ](https://help.sap.com/viewer/684cffda9cbc4187ad7dad790b03b983/1709 000/en-US/47ac469337a24845e10000000a421138.html?q=netweaver%20security%20guide%20message%20level%20security) + SAP ドキュメント: [SAP NetWeaver プロセス統合セキュリティガイド](https://help.sap.com/doc/saphelp_nwpi711/7.1.1/en-US/f7/c2953fc405330ee10000000a114084/frameset.htm) + SAP ドキュメント: [SAP クラウド統合メッセージレベルセキュリティ](https://help.sap.com/viewer/368c481cd6954bdfa5d0435479fd4eaf/Cloud/en-US/463a9085156d4672bc4ee9095277e453.html) IDOC ベースのメッセージについては、SNC を使用して、ALE によって使用される RFC 接続を保護します。 + SAP ドキュメント: [IDocs での機密データの取り扱い](https://help.sap.com/viewer/621bb4e3951b4a8ca633ca7ed1c0aba2/LATEST/en-US/7f2e71922f4a4d7081e1d2032b0934f7.html) **提案 8.2.4 – 管理アクセスを暗号化する** SAP の管理には、Windows と SSH ベースの両方のツールを使用するのが一般的です。Bastian Hosts などのセキュリティコントロールに加えて、このトラフィックの暗号化が可能かどうか検討します。 または、[AWS Systems Manager セッションマネージャー](https://docs.aws.amazon.com/systems-manager/latest/userguide/session-manager.html) は、暗号化に TLS を使用して AWS 管理コンソール経由でオペレーティングシステムにアクセスするセキュアなメカニズムを提供します。 + AWS ドキュメント: [Amazon EC2 Windows ガイド - 送信中の暗号化](https://docs.aws.amazon.com/AWSEC2/latest/WindowsGuide/data-protection.html) + AWS ドキュメント: [Amazon EC2 Linux ガイド - 送信中の暗号化](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/data-protection.html) + AWS ドキュメント: [AWS Systems Manager でのデータ保護 – データ暗号化](https://docs.aws.amazon.com/systems-manager/latest/userguide/data-protection.html#data-encryption) **提案 8.2.5 – 送信中の暗号化を可能にする AWS サービスの機能を評価する** アプリケーションベースの暗号化に加えて、多くの AWS サービスは送信中の暗号化機能を備えています。各サービスについて、会社のスタンダード、実装の取り組み、および関連する利点を評価します。以下は、SAP ワークロードに関連する例です。 + AWS ドキュメント: [Amazon S3 - 送信中の暗号化](https://docs.aws.amazon.com/AmazonS3/latest/userguide/UsingEncryption.html) - デフォルトで有効であり、Amazon S3 へのバックアップに推奨。 + AWS ドキュメント: [Amazon EFS - 送信中の暗号化](https://docs.aws.amazon.com/efs/latest/ug/encryption-in-transit.html) / [Amazon FSx](https://docs.aws.amazon.com/fsx/latest/WindowsGuide/encryption-in-transit.html) - 共有ファイルシステムの場合に必要なことがあります。 + AWS ドキュメント: [Elastic Load Balancing](https://docs.aws.amazon.com/elasticloadbalancing/latest/userguide/data-protection.html) - この機能はすべてのタイプのロードバランサーで使用できるわけではないため、暗号化要件と、エンドツーエンドな TLS パススルーが必要かどうかをレビューします。 + AWS ドキュメント: [Amazon EC2 - 送信中の暗号化](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/data-protection.html) - より新しい世代のインスタンスタイプのみが、この機能を備えています。 **提案 8.2.6 – ネットワークレベルの暗号化を実装する** SAP のお客様は、一般に、Direct Connect または Direct Connect と VPN の組み合わせのいずれかを使用して、AWS 上のリソースへの信頼できる接続性を提供しています。 AWS Direct Connect は、送信中のトラフィックを暗号化しません。暗号化が必要な場合は、例えば、VPN over Direct Connect を使用して、トランスポートレベルの暗号化を実装してください。 AWS は、ネットワークチャネルの暗号化に使用できるサイト間 VPN を提供します。AWS Marketplace から、または Bring-Your-Own-License で Open VPN などのサードパーティー VPN ソリューションをデプロイすることもできます。 + AWS ドキュメント: [AWS マネージド VPN](https://docs.aws.amazon.com/whitepapers/latest/aws-vpc-connectivity-options/aws-managed-vpn.html) + AWS ドキュメント: [AWS Direct Connect \+ VPN](https://docs.aws.amazon.com/whitepapers/latest/aws-vpc-connectivity-options/aws-direct-connect-vpn.html) + AWS ドキュメント: [ソフトウェアサイト間 VPN](https://docs.aws.amazon.com/whitepapers/latest/aws-vpc-connectivity-options/software-site-to-site-vpn.html)