個別に範囲を定めるソブリン導入。

顧客のセキュリティ部門と進める導入契約。ダウンロード製品ではありません。

ソブリン導入は、範囲を定め、見積もり、実装する個別契約です。顧客のインフラ、管轄区域、セキュリティ管理策を前提に、顧客のセキュリティ部門と強化・検証の計画を合意します。セルフサービスのインストーラーや試用環境は提供しません。この種の導入は、顧客とともに設計すべきだからです。

境界は暗黙にせず明示します。この構成をエアギャップとして販売しません。以下の外部タイムスタンプ接続方式では、記録のSHA-256ハッシュ値だけを独立した時刻認証機関に送ります。事業者が自分で付けた時刻だけでは第三者への証明力が限られるためです。完全な隔離が必要な顧客は独立したタイムスタンプを無効にできます。その場合、記録について主張できる範囲も下がることを、書面で明示します。いずれの構成も、後から判明することのないよう事前に説明します。

外部依存の機能ごとに選択肢があり、各選択の影響を明示します。

プラットフォームの外部接続機能は、共通のインターフェース、用途が明示されたアダプター、選択した構成を通じて利用します。ソブリン導入では、各機能を無効、顧客提供型、Exedra Gate運用型のいずれかに、契約ごとに設定します。構成によって記録から何を主張できるかが変わるため、その影響を表に示します。構成と説明のずれを防ぐためです。

この説明は構成ごとに成立するため、構成を明示します。本人確認、スクリーニング、メールを顧客提供型または無効とし、タイムスタンプを現地発行または無効にした場合、通常運用で文書、鍵、イベントが顧客の管理領域外に出ることはありません。運用型サービスに切り替えたモジュールは、対応する行に記載したデータ送信だけを追加します。

独立したタイムスタンプは証拠の主張を支える重要な選択です。慎重に決めます。

どの方式でも、証拠パックには署名とハッシュチェーンが付きます。異なるのは、誰が時刻を証明し、そのために何を外部へ送り、記録について何を主張できるかです。稼働前に契約で方式を定めます。標準は外部接続型です。顧客自身で信頼サービスを調達せずに、独立した時刻証明を得られるためです。適格な提供事業者を自ら利用したい顧客には、二つ目の方式があります。

• 標準

  外部接続型：Exedra Gateが指定する機関が時刻を証明。標準の方式です。 RFC 3161によるタイムスタンプのために、SHA-256のハッシュ値だけを外部に送ります。独立した時刻証明は維持され、導入環境は「外部接続があるプライベート環境」と説明します。「隔離環境」とは呼びません。指定する機関はExedra Gateから独立しており、Exedra Gate自体は適格信頼サービスプロバイダーではありません。欧州の制度上の適格な法的推定が必要な契約では、指定先で適格な提供事業者からタイムスタンプを購入し、自己発行はしません。提供事業者とその地位を契約に記録します。

• 顧客指定の適格提供事業者

  顧客が手配した適格な機関が時刻を証明。上位の構成です。 ハッシュ値は顧客自身が契約する信頼サービス事業者へ送られます。欧州の枠組みでは、適格なタイムスタンプには通常のものにない法的推定があります（eIDAS第41条第2項）。既存の適格な提供事業者を利用する顧客は、その効果を自社の契約関係の中に保ちます。Exedra Gateはその関係の外にあります。

• 現地発行

  管理領域内で時刻を付けます。 外部への送信はありません。その代わり、主張できる範囲が下がることを契約と記録自体に明示します。証拠保管を管理する同じ運用者が時刻も証明するため、記録には内部時刻が付き、形式は外部で検証できますが、独立した時刻証明として販売しません。

• 無効

  タイムスタンプなし。 パックの署名とハッシュチェーンは残りますが、主張できるのは完全性と順序、運用者自身の時計による日付までです。完全な隔離を要する顧客のために設けた選択肢であり、失われる性質を明確に示します。

ソブリン導入では、顧客自身の管理策が適用されます。

クラウド事業者は顧客データを預かるため、自社の認証を示してセキュリティを説明します。ここではプラットフォームが顧客の管理領域内で稼働します。更新は署名済みの成果物として提供され、顧客のセキュリティ担当者が導入前に確認・承認します。監査の対象範囲も顧客が管理します。標準構成で通常時に外部へ送るのは、独立したタイムスタンプ用の文書のハッシュ値だけです。この点は隠さず明示します。

通常の監査ログは管理者が書き換えられる表です。この記録は、書き換えを検出できます。

セキュリティ担当者が証拠システムについて問うのは、管理者自身が何をできるかです。多くのプラットフォームでは監査ログはデータベースの行として保存され、権限を持つ人が後から変更できることがあります。ここでは各操作をハッシュチェーンに順序付け、各項目に直前の項目のハッシュ値を含めます。記録にはEd25519署名を付け、外部接続型では独立したRFC 3161タイムスタンプでも裏付けます。後から項目を変更または削除すると連鎖が途切れ、誰がどの権限で変更した場合でも、検証時にその不一致が示されます。

これは「改ざん不可能」という業界でよく使われる表現より範囲を狭めた、検証できる主張です。高い権限を持つ内部関係者の行動を防ぐとは約束できません。この記録基盤が行うのは、後からの改変を検出し、関係する記録をたどれるようにすることです。改変前の記録を検証でき、改変された記録は検証に失敗します。「検出可能」はその場で示せます。「変更不可能」は主張するしかありません。

記録基盤そのものは、常に顧客の管理下にあります。

すべての構成で、第三者の電子署名事業者を経由しない内製の署名エンジン、人ごと・文書ごとのアクセス制御と行レベルのテナント分離、ハッシュチェーン型の監査記録を提供します。証拠パックは標準形式を用い、ハッシュ値にはSHA-256、署名にはEd25519、構成に含まれる場合はRFC 3161トークンを使います。無料の標準的なツールでオフライン検証できます。更新は顧客のセキュリティ担当者が承認してから適用されます。

制度上の要件が具体的な九つの分野。

各分野のページには、一次資料に基づく規制状況、ソブリン導入で変わる点、想定されるモジュール構成、Exedra Gateでは解決しない点を示します。最後の項目をすべてのページに載せているのは、意図的なことです。