組織で横断的に AWS の展開を進めていくにあたり、クラウド環境の統制、セキュリティ対策、品質の確保にお悩みではありませんか？

組織で AWS の利用を拡大する際には、それぞれの環境において確実に統制を効かせ、適切なセキュリティ対策を行い、品質のばらつきを抑えることが欠かせません。その際に有効なアプローチが AWS 利用標準化ガイドライン（以下「ガイドライン」と記載）の活用です。本ブログではガイドラインを策定し、有効に活用するためのベストプラクティスをご紹介します。

はじめに

多くの企業や政府機関において、クラウドの活用を加速する動きが加速しています。しかし、その過程において以下のような課題に直面するケースがあります。

• 設計・運用方針がバラバラで統制が取れていない
• セキュリティ対策が十分に実装されていない
• 担当者によって品質にバラつきがある
• 基盤機能が重複しており非効率
• 情報セキュリティ基準など社内規定がクラウドを想定していない

上記の課題に対する施策としてお客様の AWS 環境で遵守すべきルールや、システムを開発・運用するにあたり標準となる事項を定めたガイドラインによって、利用目的や組織に沿った統制をかけながらクラウドの利用拡大に向けた足がかりを作ることができます。
我々 AWS Professional Services ではさまざまなバックグラウンドを持つお客様においてガイドライン策定をご支援してきました。その中で培った効果的なガイドラインを策定し活用するためのベストプラクティスを以下の5つの STEP でお伝えします。

STEP1：位置付け・目的を明確にする
STEP2：対象範囲を定める
STEP3：統制の方針を定める
STEP4：ガイドラインの運用を定める
STEP5：共通基盤を整備する
 

ガイドライン策定のベストプラクティス

STEP1 ：位置づけ・目的を明確にする

ステークホルダーの確認

ガイドラインを有効に活用するためには、クラウドの活用およびシステムの設計・開発・運用における関係者を適切なタイミング・役割で巻き込むことが重要です。クラウドの推進を行う CCoE（Cloud Center of Excellence）やシステムを構築する開発者だけでなく、運用部門、インフラ共通基盤部門、セキュリティ部門など様々なステークホルダーと連携を行う必要があります。また、各ステークホルダーの役割やタスクを整理し、必要に応じて検討の段階から巻き込み同意を形成します。

＜ステークホルダーの確認と整理イメージ（例）＞

スコープを明確にする

ガイドラインのスコープを明確にし、ステークホルダーと共有します。ガイドラインを作成することはゴールではなく、ガイドラインを活用し AWS 上で（または AWS サービスを活用して）システムを設計・開発・運用することが目標となります。そのために、ガイドラインの目的、適用範囲、対象読者、含める内容、利用方法等を明確にし、関係者で共有することが重要です。

＜ガイドラインのスコープ整理（例）＞

社内規定との関連

社内セキュリティ規定、運用規定、ネットワーク規定などクラウドの運用に影響する社内規定との関連やガイドラインの位置づけを明確にし、整合性を確保します。また、既存の社内規定がクラウドの利用を想定していない、あるいは十分に考慮されていない場合には、既存の社内規定を改訂する、あるいはガイドラインでクラウドの利用を前提として規定を補います。そしてガイドラインを社内の規定や開発プロセスに組み込むことで、AWS 環境におけるシステム開発プロジェクトで確実に適用されることを仕組み化します。

＜社内の文書体系との関連（例）＞
 

STEP2 ：対象範囲を定める

ガイドラインのスコープや AWS 活用を進める上での関心事に合わせ、取り扱う範囲を定めます。対象範囲は遵守すべき統制を定義する、システムの構成ルールを定める、標準的な設計方針により品質の均質化を図るなど、目的に沿って範囲を見定めます。
以下に AWS Professional Services がガイドライン策定のご支援の中でベースラインとして用いているガイドラインの章立てをご紹介します。

＜ガイドラインの章立て（例）＞

STEP3：統制の方針を定める

ガイドラインは全社や部門など対象とする範囲内で統制を効かせることが大きな目的となります。そこで、ガイドラインで定める統制の考え方について方針を定めます。統制の考え方としては、大きく以下に述べるレギュレーション型とガードレール型の2通りの考え方に大別されます。

• レギュレーション型：許可すること、禁止することを細かくルールとして定義し、事前に承認された利用のみを許可する
• ガードレール型：ポリシー違反につながるアクションを禁止する（予防）、あるいはポリシー違反を検出しアラートを提供（検出）するルールを環境に適用することで統制を実現する

AWS では新サービスの提供や機能改善が頻繁に行われるため、レギュレーション型で細かくルールを設け事前に承認を与えることを前提とすると管理負荷が高くなることがあり、AWS の活用範囲が広がるにつれてルールの管理がボトルネックとなるケースも散見されます。クラウドが提供する価値を活かし柔軟かつスピード感を維持するため、最低限の規制と権限移譲をセットで進めるガードレール型の統制をできる限り取り入れることを推奨しています。
 

STEP4 ：ガイドラインの運用を定める

執筆・レビュー

ガイドラインは広い範囲をカバーし、ステークホルダーも多岐に渡るため、執筆とレビュー、承認のプロセスを事前に明確にします。まず、執筆、レビュー、承認の担当者とその役割を以下のように定義します。

＜役割の定義（例）＞

• 執筆：クラウドを推進する部門（ CCoE ）のメンバー
• レビュー：セキュリティ部門、運用部門などステークホルダー
• 承認：クラウドを推進する部門の責任者

また、レビューに向けてレビュー観点を明確にし、担当者間で認識を合わせます。

＜レビュー観点（例）＞

展開・運用

ガイドラインは社内のポータルサイトなどアクセスしやすい場所に最新版を公開します。また、フィードバックを受け付ける窓口と方法を周知し、質問や要望を吸い上げる仕組みを展開します。
さらにガイドラインの理解を促すため、利用システムの担当者やステークホルダーを対象とし説明会を開催します。説明会は AWS の利用システムの担当者には使用開始時に必ず実施するなど適切なタイミングで開催し、ガイドラインを確実に浸透させる手段として継続的に用います。

ガイドラインはお客様における AWS の利用状況や AWS サービスのアップデートに合わせ、継続的にメンテナンスを行います。そのためガイドラインの運用に関わる担当者と役割を明確にし、半年に一度は改訂版をリリースするなど運用ルールを定めます。

＜ガイドラインの運用ルール（例）＞

STEP5 ：共通基盤を整備する

ガイドラインではアカウントの展開、ログ集約、セキュリティ監視、共通運用機能、外部接続など、システム横断的に利用する共通機能の提供方針が含まれます。そこで、あらたに作成する、あるいは既存機能の拡張など共通基盤を整備するタスクが通常発生します。複数 AWS アカウントを利用するエンタープライズのお客様を想定した共通機能の例を以下にご紹介します。提供範囲はガイドラインの中で定義します。

＜共通基盤の整備タスク（例）＞

迅速に AWS 環境の利用を開始するため、ガイドライン作成と並行し共通基盤の整備を進めることをおすすめします。完全な形でなくとも、より早期に運用をスタートし、改善点をブラッシュアップしていくことが効率的です。

AWS 環境を利用するシステムの利用開始にあたり、AWS アカウントを払い出します。統制を徹底し、素早くベースラインの環境を提供するため、AWS Control Tower の活用などによりあらかじめ統制をガードレールとして適用したり共通基盤の機能を組み込んだ landing zone を整備しておくことが効果的です。
 

最後に

本ブログでは、AWS 利用標準化ガイドラインを作成・有効活用するための5つの STEP をご紹介しました。クラウドの展開は適切に統制を効かせ、セキュリティおよび設計の品質を担保することが重要です。ガイドラインによって遵守すべき統制を定義し、設計のベースラインを定めることは有効なアプローチです。
ガイドラインを実効性があるものとするためステークホルダーと位置付けや目的の共通認識を形成し、AWS の進化や組織の成熟度に合わせて継続的にガイドラインのメンテナンスを行う体制と運用を整備します。
ガイドラインの方針を具現化する共通基盤を整備し、利用システムに環境を速やかに提供し、本格移行をスタートさせます。
AWS Professional Services ではお客様のクラウド移行を加速させるガイドライン策定におけるノウハウやクラウド活用におけるベストプラクティスを多くのお客様のご支援を通じて蓄積しています。お客様が抱えておられる課題に応じて、必要とするご支援を各種取り揃えておりますのでご期待ください。
 

このブログの著者

野田 隼平（Jumpei Noda）
プロフェッショナルサービス本部 インフラストラクチャーアーキテクト

 
 
 
 
阿部 朝彦（Tomohiko Abe）
プロフェッショナルサービス本部 カスタマーデリバリーアーキテクト