Confluence Server および Data Center での処理の安全性
GDPR では、対象の個人データに適した安全性を確保する方法で、個人データを処理する必要があります。これには、未認証または非合法な処理や不慮の損失の防止、破壊または破損の防止が含まれます。個人データの保護に使用する方法は、処理する個人データのタイプや、個人および関連する業界標準のプラクティスに対するリスクに応じて異なります。実装されるセキュリティ対策は場合によって異なるため、弁護士に相談して選択することをおすすめします。特定のアトラシアン製品で利用可能なセキュリティ ツールおよび設定の概要と実装方法を、以下に示します。
アトラシアンでは、ネットワークと Confluence インスタンスの両方を保護するためのいくつかのベスト プラクティスをドキュメントとして案内しています。「Confluence サイトのセキュリティ設定に関するガイドライン」を確認し、適切に適用されていることをご確認ください。
アトラシアンではお客様に対し、アトラシアン アプリケーションをホストしているインフラストラクチャでは、ユーザーのデータを保護するために安全で信頼性の高いネットワークを実装することをおすすめしています。
セキュリティに関する考慮事項
Confluence には、管理者が認識し、必要に応じて適切な軽減措置を講じる必要がある、いくつかのセキュリティ上の考慮事項があります。
- Confluence は、データベース内やファイルシステム内に保存されているデータに対するデータ暗号化機能を提供していません。
- Confluence Data Center では、ノード間の通信は TCP ソケット経由で行われ、暗号化されません。
- Confluence と Synchrony クラスタとの間の通信は HTTP 経由で行われ、暗号化されません。
- ユーザーのブラウザと Synchrony との間の通信は HTTP 経由で行われ、暗号化されません。SSL ターミネーションを構成したロード バランサを設定し、ブラウザと Synchrony との間に暗号化を実現することをおすすめします。
インフラストラクチャの保護
アトラシアンではお客様に対し、Confluence とユーザー間、またはそれらとやり取りするその他のシステム間の TCP 通信を保護するため、SSL の実装を強くおすすめしています。これには、データベースおよび LDAP (外部ユーザー ディレクトリ用) が含まれます。詳細については、SSL または HTTPS 上で Confluence を実行する方法のドキュメントを参照してください。
Confluence + その他のアトラシアン製品
Confluence が他のアトラシアン製品 (例: Jira、Bitbucket、Bamboo...) と接続している場合、他の製品が HTTPS を使用していて、これらのシステム間の通信の安全性が確保されていることをご確認ください。
Confluence + Synchrony
Confluence 6.0 以降では、共同編集機能には (Confluence にバンドルされている) Synchrony が必要です。Confluence Data Center を実行する際、管理者は Confluence クラスタとは別に Synchrony を実行する必要があります。Confluence ユーザーは Synchrony クラスタに直接接続し、Confluence Data Center ノードも Synchrony クラスタと直接接続します。Synchrony クラスタ ノードの保護の詳細については、「共同編集の管理」ドキュメントを参照してください。
Confluence Data Center + ロード バランサ
Confluence Data Center では、クラスタ ノード全体で負荷を分散させるため、ロード バランサが必要です。セキュリティを向上させるため、ロード バランサと Confluence ノードとの間の通信を保護することをおすすめします。Data Center ドキュメントの「ロード バランサの設定オプション」、特に「SSL ターミネーション」を参照してください。
オンプレミス クラウド
Confluence インスタンスをクラウド サービス (AWS や Microsoft Azure など) でホストしている場合、本番環境を保護するにはクラウド サービス プロバイダと連携してください。
バックアップと冗長性
Confluence にはインスタンスのバックアップ機能とバックアップの復元機能があります (「バックアップと復元」に記載)。この機能にはサイズ制限があり、膨大な量のデータまたはユーザーを持つ Confluence インスタンスの場合、インスタンスをホストしているハードウェアの空きメモリや CPU によっては、バックアップまたは復元を実行できない場合があります。
障害に対する冗長性を保持するため、データベースやオペレーティング システムのネイティブ バックアップ機能を使用することをお勧めします。バックアップの詳細やガイドラインについては、「本番環境のバックアップ戦略」のドキュメントを参照してください。
アトラシアンのセキュリティおよびバグ報奨金プログラム
アトラシアンでは、お客様に脆弱性についてお知らせするセキュリティ勧告レポートを定期的にリリースしています。これらは「Confluence のセキュリティの概要」で確認および追跡できます。これらの勧告を参照し、Confluence インスタンスが既知の問題に対して脆弱ではないことをご確認ください。
さらに、アトラシアンでは外部に対し、脆弱性バグ報奨金プログラムを通じてアトラシアン製品のセキュリティ強化に貢献する方法を提供しています。このプログラムはアトラシアンに脆弱性を報告した投稿者に報奨金を提供し、問題を早期に発見することで製品の全体的なセキュリティを高めます。