Amazon Web Services ブログ
イベント開催報告 AWS Security Roadshow Japan 2020
皆様、こんにちは。アマゾン ウェブ サービス ジャパン株式会社 セキュリティソリューションアーキテクトの高橋 悟史です。
10月28日（水）に AWS Security Roadshow Japan 2020を開催致しました。多くのAWS をご利用頂いているお客様、パートナー様、 AWS をこれからご利用される検討を頂いているお客様にご参加頂き、最新のセキュリティ・コンプライアンスの学習の機会をご提供致しました。このブログポストでは、イベントで発信させて頂いたキーメッセージをお伝えします。
基調講演
AWS CISO の Steve Schmidt より今求められる職場環境と革新的なセキュリティカルチャーと題して講演させて頂きました。
冒頭で、在宅勤務などの新しい働き方の形が普及してきており、それに伴い個人デバイスを業務に使うことが多くなってきていることから、デバイスのOSのイメージを企業で管理することや、社員に対するセキュリティを啓蒙する短時間（10分程度）のトレーニングの有効性についてお話いたしました。また、最近のセキュリティサービスのアップデート、例えば AWS Single Sign-On が東京リージョンで利用可能になった件や、AWS Security Hub で自動応答と修復ソリューションが提供されたことを紹介しました。
次に、セキュリティ文化とイノベーションについて説明させて頂きました。注目を集めているセキュリティに対するアプローチであるゼロトラストについて、ネットワーク境界による防御とアイデンティティベースのコントロールのどちらか一方ではなく両方を実施していくことが重要であることをご説明しました。また、AWS の多くのサービスでゼロトラストのコンセプトが提唱される以前から、ネットワークベースのコントロールとアイデンティティベースのコントロールを組み合わせた上できめ細かい制御を出来る機能をご提供してきたことをご説明しました。例として Amazon VPC Security Groupや、IAM のサービスにリンクされたロール、AWS IoT におけるデバイスの証明書認証、Amazon API Gateway のきめ細かな認証認可機能や、攻撃からの防御、流量制御などの例をご説明しました。
最後に考慮すべき3つの事項として、ユーザーフェデレーション、外部暴露の最小化、パッチ適用についてご説明しました。
Steve Schmidt の基調講演ビデオをご覧になれます。
Steve Schmidt 基調講演資料リンク
パネルディスカッション
奈良先端技術大学院大学の門林 雄基様、情報通信機構（NICT）サイバーセキュリティ研究室長の井上 大介様、内閣官房 情報通信技術（IT）総合戦略室 政府 CIO 補佐官の梅谷 晃宏様をお招きしてゼロトラストとセキュリティアーキテクチャの将来像というテーマでパネルディスカッションを実施しました。進行は AWS CISO オフィスの Mark Ryland が担当しました。パネルディスカッションの中で、ゼロトラストの定義、ゼロトラストの適用状況、クラウドとゼロトラストの関係、組織がゼロトラストをどのように向き合うべきかについて多くの知見が含まれたディスカッションが実施されました。パネルディスカッションにおいても、Steve Schmidt の基調講演で行ったご説明と同様に、ゼロトラストはネットワーク境界をアイデンティティ境界に置き換えるものではなく、両方を組み合わせる必要がある。そして、今までの技術を全て置き換えるような進化ではなく、既存の技術を組織が抱えるリスクに対して活用していくための実践的な考え方であり、企業や組織は学習する必要があるという意見が示されました。
パネルディスカッションのビデオをご覧になれます。
お客様講演
住信 SBI ネット銀行株式会社
システム運営部 副部長 渡邊 弘様より、住信 SBI ネット銀行様における AWS Private Link を活用した日本初の金融機関向けクラウド AI サービスの提供について事例をお話頂きました。AWS Private Link を利用することで金融機関が必要とする高いセキュリティと可用性を維持しながら、他の金融機関と安価に接続が出来る。新しいサービスの立ち上げに必要な迅速なつなぎこみに関して初期投資や設備工事が必要ないことがメリットになるという点をご説明いただきました。また、住信 SBI ネット銀行様では既に AWS のサービスを活用されていましたが、新しい AWS サービスを利用する際には、社内の稟議が必要で、どのように社内のコンセンサスを得たのかという過程についてもご説明頂きました。
住信 SBI ネット銀行株式会社 渡邊 弘様のご講演ビデオをご覧になれます。
Sansan 株式会社
CSIRT 松田 健様より、Sansan 様における Amazon Elasticsearch Service を利用したセキュリティログ分析基盤の構築と活用についてご説明頂きました。個人向け、法人向けの名刺管理アプリケーションを提供されているSansan様では、ログ量の急速な増加と、管理するためのコスト増加が課題となっていました。AWS Japan のセキュリティソリューションアーキテクトが開発したAmazon Elasticsearch Service を利用した SIEM on AWS というソリューションを Sansan 様にご紹介したところ、興味を持って頂き、ソリューションの開発、実装段階からご協力を頂き、Sansan 様の CSIRT チームでご活用頂いています。 ログの正規化、可視化、分析という機能は従来から市販の SIEM ソリューションで実装されていましたが、 Amazon Elasticsearch Service と SIEM on AWS は Amazon S3 などのAWS サービスの機能を活用することで、保管ログの可用性の高さや低廉なコストという特徴を持っています。Sansan 様からは、セキュリティエンジニア、セキュリティ部門として当たり前のことを AWS でというメッセージを最後に頂きました。
Sansan 様では、エンジニア向けの情報を Sansan Builders Box というサイトで発信されており、ログ分析基盤についても解説記事が掲載される予定なので、参照してみてください。
Sansan 株式会社 松田 健様のご講演ビデオをご覧になれます。
AWS Japan 講演
AWS Japan より、コンプライアンスに関する2つのセッションを提供させて頂きました。
まず、セキュリティ アシュアランス本部長 松本照吾より、コンプライアンス観点から見るクラウド設計と題して、リスクを最小化するためのクラウド上のシステム設計についてお話させて頂きました。最初に ISO/IEC 27001 や FISC 金融情報システムセンター ガイドライン、医療情報システムのガイドライン、政府における情報システムのセキュリティ評価制度（ISMAP）で言われているリスクベースのアプローチについて説明させて頂きました。ここで重要なのは、リスクはあるか無いかという議論ではなく、高いか低いかという議論が重要かつ、リスクコントロールのためには多層的な対策が必要ということです。次に AWS 上でリスクを可視化する方法として、利用者の皆様が自分で実行出来るセルフアセスメントツールのご紹介をしました。Prowler, ScoutSuite といったオープンソースのツールや AWS Security Hub をご紹介しました。最後に昨今発生している大規模な自然災害を例に、ビジネス視点、コスト視点のバランスを考慮した災害対策についてご説明しました。AWS Cloud Design Pattern によるコストの可視化、オンプレミスの災害対策としての CloudEndure Disaster Recovery を利用した AWS へのマイグレーション事例をご紹介しました。
AWS Japan 松本 照吾の講演ビデオ
2つ目のセッションとして、コンプライアンススペシャリスト 高野 敦史より、AWS コンプライアンス・プログラムの紹介のお話をさせて頂きました。AWS のグローバルコンプライアンス・プログラムへの準拠状況、日本における金融機関にとって必要となるFISC 金融情報システムセンター ガイドライン等への準拠の状況についてご説明させて頂きました。
AWS Japan 高野 敦史の講演ビデオ