当社のGPUクラウドのセキュリティとコンプライアンスは、分離から始まります。レンタルするサーバーはお客様専用であり、HGX B300クラスターではネットワークもお客様専用です。これを基盤として、当社が選定する施設、お客様のハードウェアへのアクセスの管理と記録の方法、どのような企業を顧客として受け入れるかを定めています。
専用のハードウェアとネットワーク
当社がレンタルするサーバーはすべてシングルテナントです。他の顧客がそのサーバーで処理を実行することはなく、お客様のソフトウェアとGPUの間にハイパーバイザーはありません。
シングルテナントのサーバー
サーバーは丸ごとレンタルいただきます。複数の顧客で分割したり、仮想化によって共有したりすることは一切ありません。
専用ファブリック
HGX B300クラスターでは、お客様のGPU間をつなぐEast-Westファブリックがお客様専用であり、North-Southネットワークも同様に専用です。
お客様専用のアドレス
HGX B300クラスターでは、専用のパブリックサービスアドレスと専用のSNATアドレスを提供するため、他の顧客のトラフィックがお客様のIPアドレスから送出されることはありません。
専用ファブリックにより、お客様のGPU間トラフィックが他の顧客のトラフィックとスイッチを共有することはありません。専用アドレスにより、取引先がお客様のIPアドレスを許可リストに登録した場合、許可されるのはお客様だけです。
当社の納品仕様書に沿って構築したHGX B300クラスターでは、エッジに次の保護機能を追加します。
- DDoSスクラビング：実績のあるプロバイダーによるレイヤー3およびレイヤー4のボリューム型攻撃のスクラビングで、BGP経由で5分以内に有効化します。処理能力は1 Tb/s以上です。
- エッジACL：お客様のルールに沿って設定するアクセス制御リストで、変更は1営業日以内に反映します。
- ルーティングのセキュリティ：BGPセッション認証を行い、エッジがお客様独自のIPアドレス空間を広報する際には、お客様のRPKI ROAに従います。
- 暗号化ドライブ：お客様独自のストレージソフトウェア用にストレージノードを選択する場合は、自己暗号化ドライブに対応しています。
施設に求める要件
クラスターを施設に設置する前に、当社はその施設に対し、主張ではなく、どのように構築・運用されているかを示すエビデンスを求めます。
エビデンスは1Legionではなく施設に帰属するものです。当社は参照番号付きで、NDAに基づき開示可能な形での提出を求めます。参照番号があれば、証明書や報告書を発行機関に照会して確認できますが、ウェブサイト上のロゴではそれができません。
| エビデンス | 示す内容 |
|---|---|
| Tier IIIの設計文書 | 同時保守が可能な設計：IT負荷を停止せずに電源と冷却の機器を保守できること |
| Uptime Institute認証（種別を正確に明記） | 拠点が保有するUptime Institute認証の正確な種別（設計と建設済みの施設は別々に認証されるため） |
| TIA-942 | データセンターインフラに関するANSI/TIA-942規格に対する拠点のレーティング |
| EN 50600 | データセンターの施設とインフラに関する欧州規格シリーズへの適合 |
| SOC 2 | 事業者の統制に関する独立監査人の報告書 |
| ISO 27001 | 国際規格に照らして監査された情報セキュリティマネジメントシステム |
また、プライベートケージまたは専用ホール内の連続したスペース、稼働開始前からの24/7の常駐スタッフ体制、アウトオブバンドネットワークも求めています。要件の一覧はデータセンターのページに掲載しています。
アクセス制御
お客様のハードウェアへのアクセスは管理・記録されています。アウトオブバンドアクセスは監査の対象となり、変更は書面による変更管理を経て行われます。
- アウトオブバンドアクセス：OSより下層にあるサーバーのBMCへの管理経路では、サーバーの電源の再投入、ファームウェアの変更、コンソールの操作ができます。そのため、監査の対象としています。
- 変更管理：お客様のクラスターへの変更は書面で定めたプロセスに従うため、変更ごとに記録が残ります。
- インベントリとドリフト検出：正式なインベントリがすべてのラック、ノード、GPU、NIC、ドライブ、スイッチ、ポート、トランシーバー、ケーブルを網羅し、ドリフト検出が合意済みのベースラインとの差異を検出します。
これらの管理策は、インシデント対応やハードウェア障害の対応とともに、書面で定めた当社の運用コミットメントの一部です。
オンボーディングと審査
当社はすべての顧客をカナダおよび米国の輸出管理・制裁規則に基づいて審査し、サーバーを実際に使用する企業には、契約締結前に3種類のオンボーディング書類に記入していただきます。
3種類のオンボーディング書類
- 顧客オンボーディングおよびデューデリジェンス：KYC（顧客確認）情報。企業を最終的に所有または支配する人物である実質的支配者の情報を含みます。
- 輸出管理・制裁・最終用途／最終需要者に関する誓約書：サーバーの用途と使用者を記載した署名入りの申告書。
- 適正利用ポリシー確認書：顧客が当社の適正利用ポリシーを読み、同意していることの確認。
ブローカーが書類を取り次ぐことはできますが、署名はエンドユーザー、つまりサーバーを実際に使用する企業が行います。
審査ルール
当社はすべての顧客を、最終親会社の本社所在地を含め、カナダおよび米国の規則に基づいて審査します。
- サーバーの利用地域：キューバ、イラン、北朝鮮、シリア、クリミア・ドネツク・ルハンスク・ヘルソン・ザポリージャの各地域、ロシア、ベラルーシからのアクセスと、これらの国・地域への結果の送信は禁止しています。
- 取引制限対象者：OFACの特別指定国民（SDN）リスト、BISのエンティティリスト、取引禁止顧客リスト（Denied Persons List）または未検証リスト（Unverified List）、カナダのSEMAまたは国連の制裁リストに掲載されている者は受け入れません。当社は50%所有ルールを適用し、掲載者が50%以上を所有する企業は掲載者として扱います。
- 親会社：最終親会社の本社が中国、香港、マカオ、ロシア、または禁輸対象の国・地域にある顧客は受け入れません。このルールは最終親会社までさかのぼって適用されるため、契約当事者の企業が他の国・地域で設立されている場合でも適用されます。
認証への対応状況
SOC 2およびISO 27001の取得に向けて取り組んでいます。現在のセキュリティ関連資料は、NDAに基づきご提供できます。
上記のSOC 2およびISO 27001のエビデンスは当社が施設に求めるものであり、1Legion自身についての表明ではありません。当社の資料をご希望の場合は、お問い合わせください。
適正利用
導入検討時のよくあるご質問
SOC 2およびISO 27001への対応状況はどうなっていますか？
SOC 2およびISO 27001の取得に向けて取り組んでいます。現在のセキュリティ関連資料は、NDAに基づきご提供できます。
ハードウェアは他の顧客と共有されますか？
いいえ。他の顧客が使用しないサーバーを丸ごとレンタルいただき、ハイパーバイザーもありません。HGX B300クラスターでは、East-WestファブリックとNorth-Southネットワークもお客様専用です。
どの国・地域が対象外ですか？
キューバ、イラン、北朝鮮、シリア、クリミア・ドネツク・ルハンスク・ヘルソン・ザポリージャの各地域、ロシア、ベラルーシからのアクセスと、これらの国・地域への結果の送信は禁止しています。
親会社が中国にある顧客を受け入れていますか？
いいえ。最終親会社の本社が中国、香港、マカオ、ロシア、または禁輸対象の国・地域にある顧客は受け入れません。
ブローカーが代わりにオンボーディング書類に記入できますか？
ブローカーが書類を取り次ぐことはできますが、記入と署名はサーバーを実際に使用する企業が行います。
施設にはどのような認証を求めていますか？
Tier IIIの設計文書、種別を正確に明記したUptime Institute認証、TIA-942、EN 50600、SOC 2、ISO 27001を、参照番号付きで、NDAに基づき開示可能な形で求めています。これらは1Legionではなく施設に帰属するものです。