preparing-compliance-documentation

コンプライアンス文書の準備

利用可能な認証を特定し、セキュリティ機能をコンプライアンス管理策に対応付け、コンプライアンス対応状況を確認するための設定チェックリストを提示することで、CockroachDB Cloud のデプロイに関するコンプライアンス文書の準備を支援します。SOC 2 Type II、PCI DSS、ISO 27001、HIPAA、GDPR を対象としています。

このスキルを使用する場面

• CockroachDB Cloud に関する顧客のセキュリティ質問票に回答する場合
• SOC 2、PCI DSS、HIPAA のコンプライアンス監査に備える場合
• CockroachDB Cloud の認証文書（SOC 2 レポート、PCI AOC、ISO 認証書）を探す場合
• クラスターの設定が特定のコンプライアンスフレームワークを満たしているか評価する場合
• CockroachDB Cloud の各プランで利用できるコンプライアンス機能を確認する場合

前提条件

• CockroachDB Cloud アカウント — どのプランでも利用できます
• Cloud Console へのアクセス — コンプライアンス文書のダウンロードに必要です
• 組織のコンプライアンス要件に関する理解 — 組織に適用されるフレームワークを把握していること

手順

1. 利用可能な認証を確認する

CockroachDB Cloud は、以下の認証および証明を維持しています。

認証	種別	適用範囲	入手先
SOC 2 Type II	証明レポート	クラウドインフラストラクチャと運用	Trust Center またはサポートへの問い合わせ
PCI DSS	準拠証明書（AOC）	決済データの処理	Trust Center またはサポートへの問い合わせ
ISO 27001	認証	情報セキュリティ管理	Trust Center またはサポートへの問い合わせ
HIPAA	BAA 締結資格	保護対象保健情報	BAA 締結について営業担当に問い合わせ
GDPR	コンプライアンス	EU の個人データ保護	DPA はリクエストに応じて提供

CockroachDB Cloud Trust Center： Trust Center は、コンプライアンス文書をダウンロードするための主要な場所です。Cloud Console からアクセスするか、サポートチケットを通じて文書を請求してください。

2. コンプライアンス管理策を CockroachDB の機能に対応付ける

コンプライアンス管理策と CockroachDB の機能の詳細な対応については、コンプライアンスマトリックスのリファレンスを参照してください。

SOC 2 — 主な管理策

管理領域	CockroachDB の機能	必要な設定
アクセス制御	RBAC、SSO、SCIM	ロールを設定し、SSO を有効化
暗号化	TLS（常時有効）、CMEK	Advanced プランで CMEK を有効化
監査ログ	SQL 監査ログ、ログエクスポート	監査ログとログエクスポートを有効化
ネットワークセキュリティ	IP 許可リスト、プライベートエンドポイント	ネットワーク制限を設定
可用性	マルチリージョン、マネージドバックアップ	すべてのプランに標準搭載
変更管理	クラスターのバージョン管理、Terraform	クラスター管理に IaC を使用

PCI DSS — 主な要件

要件	CockroachDB の機能	備考
要件 1：ネットワークセキュリティ	IP 許可リスト、プライベートエンドポイント	カード会員データ環境へのアクセスを制限
要件 3：保存データの保護	保存データの暗号化（デフォルト）、CMEK	CMEK によって鍵を制御できます
要件 4：通信の暗号化	TLS（常時有効）	デフォルトで強制
要件 7：アクセスの制限	RBAC、最小権限	hardening-user-privileges スキルを使用
要件 8：ユーザーの識別	SQL ユーザー、SSO、MFA	IdP で MFA を設定して SSO を有効化
要件 10：アクセスの追跡	監査ログ、ログエクスポート	監査ログを有効化してエクスポート

HIPAA — 主な安全対策

安全対策	CockroachDB の機能	備考
アクセス制御	RBAC、SSO	最小権限を実装
監査管理策	監査ログ、ログエクスポート	SIEM にエクスポート
完全性	チェックサム、レプリケーション	データの完全性を標準搭載
通信セキュリティ	TLS（常時有効）	デフォルトで強制
暗号化	保存データの暗号化、CMEK	鍵の制御に CMEK を使用

HIPAA の要件： PHI を保存する前に、Cockroach Labs と業務提携契約（BAA）を締結する必要があります。BAA の締結については、担当のアカウントチームにお問い合わせください。

3. コンプライアンス要件に対するクラスター設定の評価

次のチェックリストを使用して、クラスターが一般的なコンプライアンス要件を満たしているか評価します。

ベースライン（すべてのフレームワーク）

-- Check password policy
SHOW CLUSTER SETTING server.user_login.min_password_length;
-- Should be >= 12

-- Check admin user count
SELECT COUNT(*) AS admin_count FROM [SHOW GRANTS ON ROLE admin];
-- Should be minimized (1-3)

-- Check audit logging
SHOW CLUSTER SETTING sql.log.admin_audit.enabled;
SHOW CLUSTER SETTING sql.log.user_audit;
-- Should be enabled

-- Check PUBLIC role privileges
SELECT database_name, privilege_type
FROM [SHOW GRANTS FOR public]
WHERE privilege_type NOT IN ('USAGE')
  AND schema_name = 'public';
-- Should return no rows for application databases

# Check network security
ccloud cluster networking allowlist list <cluster-id> -o json
# Should NOT contain 0.0.0.0/0

# Check SSO configuration (Cloud Console)
# Verify in Cloud Console > Organization Settings > Authentication

# Check CMEK (Advanced plan)
ccloud cluster info <cluster-name> -o json
# Check for cmek_config

# Check log export (Advanced plan)
# Look for log_export_config in cluster info output

高度なコンプライアンス（SOC 2 + PCI DSS + HIPAA）

チェック項目	コマンド／場所	期待される状態
SSO の有効化	Cloud Console	有効化され、適用されている
SCIM プロビジョニング	Cloud Console	有効
CMEK の有効化	ccloud cluster info	有効で、有効なキーが設定されている
監査ログ	SQL: SHOW CLUSTER SETTING sql.log.admin_audit.enabled	true
ログのエクスポート	ccloud cluster info	設定済みで、有効
IP 許可リスト	ccloud cluster networking allowlist list	0.0.0.0/0 が含まれていない
プライベートエンドポイント	Cloud Console: Networking > Private endpoint	設定済み（推奨）
パスワードポリシー	SQL: min_password_length	>= 12
管理者数	SQL: admin role grants	<= 3
PUBLIC 権限	SQL: SHOW GRANTS FOR public	最小限

4. セキュリティ質問票への回答

顧客や監査人からの質問票に回答する際は、次の標準回答を参照してください。

保存データの暗号化：

• CockroachDB Cloud は、保存データをすべて AES-256 で暗号化します。
• 顧客管理キーを使用するための CMEK は、Advanced Security Add-on を利用した Advanced プランで使用できます。
• キー管理は、クラウドプロバイダーのベストプラクティス（AWS KMS、GCP Cloud KMS、Azure Key Vault）に従います。

転送中のデータの暗号化：

• すべての接続で TLS 1.2 以降が必須であり、無効化できません。
• クライアント証明書認証（mTLS）に対応しています。

データレジデンシー：

• データレジデンシー要件を満たすため、特定のリージョンにクラスターをデプロイできます。
• マルチリージョンクラスターでは、データが指定されたリージョン内に保持されます。

バックアップと復旧：

• すべてのプランでマネージドバックアップが自動的に実行されます。
• RPO と RTO は、プランの種類と設定によって異なります。
• バックアップは暗号化され、同じクラウドプロバイダーに保存されます。

インシデント対応：

• Cockroach Labs は、文書化されたインシデント対応計画を維持しています。
• 詳細は SOC 2 Type II レポートで確認できます。

5. コンプライアンス監査の準備

監査前：

1. auditing-cloud-cluster-security スキルを実行して、問題点を特定します。
2. 関連する修正スキルを使用して、FAIL の検出結果を修正します。
3. Trust Center から最新のコンプライアンス文書をダウンロードします。
4. スクリーンショットまたは Terraform の状態を使って、CockroachDB Cloud の設定を記録します。

監査中：

1. CockroachDB Cloud の管理策を示すため、SOC 2 Type II レポートを提示します。
2. 自組織の管理策を示すため、クラスター設定（セキュリティ監査レポート）を提示します。
3. 監査ログのエクスポートとレビュー機能を実演します。
4. RBAC の設定とアクセス制御ポリシーを提示します。

準備しておくコンプライアンス文書：

• SOC 2 Type II レポート（Trust Center から入手）
• PCI AOC（決済データを処理する場合）
• ISO 27001 認証書（必要な場合）
• BAA（PHI を保存する場合 — Cockroach Labs と締結済みのもの）
• DPA（EU の個人データを処理する場合）
• 自組織のセキュリティ監査レポート（auditing-cloud-cluster-security スキルから取得）

安全上の考慮事項

• このスキルは読み取り専用です。 クラスター設定は変更されません。
• コンプライアンス文書には機密情報が含まれる場合があります。 SOC 2 レポートと PCI AOC は、自組織の情報分類ポリシーに従って取り扱ってください。
• コンプライアンスは共有責任です。 CockroachDB Cloud はプラットフォームの管理策を提供します。これらを適切に設定し、使用する責任は自組織にあります。

参考資料

スキルの参考資料：

• コンプライアンス管理マトリックス

関連スキル：

• auditing-cloud-cluster-security — セキュリティ態勢の自動評価
• configuring-audit-logging — コンプライアンスのための監査ログ記録を有効化
• enabling-cmek-encryption — 顧客管理の暗号化キーを有効化
• configuring-sso-and-scim — SSO と自動プロビジョニングを有効化
• hardening-user-privileges — 最小権限アクセスを実装
• enforcing-password-policies — パスワード要件を設定
• configuring-ip-allowlists — ネットワークアクセス制御
• configuring-private-connectivity — プライベートネットワークエンドポイント
• configuring-log-export — コンプライアンス上の保持のためにログをエクスポート

CockroachDB 公式ドキュメント：

• CockroachDB Cloud のセキュリティ概要
• コンプライアンス
• SOC 2 コンプライアンス