PowerPoint Presentation

Transcription

1 AWS セキュリティの最新情報セキュリティサービスおよびコンプライアンス 梅谷晃宏 Office of The CISO, AWS Security

2 セキュリティ コンプライアンスの方向性 これまでは OR クラウド環境やサービスそのものが 安全であるかどうか?

3 セキュリティ コンプライアンスの方向性 いま現在は クラウド環境上のベストなセキュリティ をどう実現していくか?

4 お客様事例

5 金融業界の事例 ソニー銀行様 AWS Summit Tokyo ご講演資料より 勘定系 総勘定元帳 でのAWS活用を決定 2018年ご講演資料より 2017年ご講演資料より

6 医療 製薬 医療機器業界の事例 協和発酵キリン株式会社様 本番運用に向けて 経営層を含む社内の了承を取る必要がありましたが いちばん大きな説得力をもったのが国内 SIer 各社が作成した 金融機関向け AWS 対応セキュリティリファレンス の存在でした これは金融業界が AWS クラウドを採用してもセキュリティ的にはほぼ問題がないことを示したガイドラインでしたが 金融のように規制がきびしい業界においてもアウトソースできる環境なら 製造業界である自分たちのリソースを預ける場所として信頼できる という意識を社内で共有することができました

7 医療 製薬 医療機器業界の事例 東芝メディカルシステムズ株式会社様 医療機関で撮影したエックス線や CT MRI などの画像データを 東芝メディカルシステムズが提供する PACS (RapideyeCore ) の電子保存および運用管理技術と ( 株 ) 東芝が持つ ICT クラウド技術を組み合わせ AWS が提供するクラウドサービス ( 東京リージョン ) 上の Amazon Simple Storage Service (Amazon S3) に外部保存するサービスを開始 *2012 年時点

8 規制やガイドラインの動向 金融ケース

9 日本における規制 ガイドラインの動向 * 出典 : 公益財団法人金融情報システムセンター,

10 日本における規制 ガイドラインの動向 * 出典 : 公益財団法人金融情報システムセンター, * 出典 : 公益財団法人金融情報システムセンター,

11 AWS のセキュリティ コンプライアンスのポイント

12 AWS 環境とセキュリティを考える上でのポイント 包括的なセキュリティとコンプライアンス統制の継承 プライバシーとデータセキュリティ 優れた可視性と統制による安全な拡張 サービス連携によるセキュリティ自動化 セキュリティパートナーソリューションの広範なエコシステム

13 AWS の統制実施内容 責任共有モデル

14 AWS のインフラストラクチャーセキュリティ

15 AWS のインフラストラクチャーセキュリティ

16 AWS のインフラストラクチャーセキュリティ

17 グローバルの規制 基準 セキュリティ コンプライアンス

18 金融機関

19 FISC 安全対策基準

20 医療 製薬 医療機器

21 製薬 医療機器関連 :GxP 省令

22 医療情報関連 :3 省ガイドライン

23 日本の規制 基準 セキュリティ コンプライアンス 金融 2012 製薬 医療機器 2016 政府 省庁 2017 個人情報 2018 医療情報 2018 AWS のパートナー様を支援し お客様が対応する必要のある日本の主要なガイドライン コンプライアンスへの取り組みを強化

24 責任共有モデルとセキュリティ コンプライアンス要件 AWS が AWS 環境 サービスに対して認証 認定 監査をグローバルで取得お客様の世界中の規制当局のコンプライアンス要件への準拠負担を軽減

25 プライバシー データセキュリティ

26 プライバシー 個人情報 データレジデンシー要件の実現 データの格納場所は好きな AWS リージョンを選択可能 AWS は AWS 顧客が権利を持つデータを移動したり データにアクセスしない 拡張性のある暗号化 AWS Key Management Service (KMS) で暗号鍵を効率的に管理 FIPS Level 3 準拠のハードウェアセキュリティモジュール CloudHSM で暗号鍵を管理可能 地域のデータプライバシー法への準拠 データへのアクセス可否データライフサイクルデータ廃棄の統制 規制要件に準拠したインフラストラクチャー AWS のアクセス管理サービスやツールを利用して AWS 上に規制要件に準拠可能なシステムを構築

27 AWS の GDPR 対応

28 可視化 自動化 統制

29 Infrastructure as Code: コーディング可能なインフラ Code Value API でインフラを定義

30 可視性 統制 サービス連携と自動化 ログイン成功 サーバー 1 新規作成ログイン失敗 サーバー 1 に管理用のタグを作成 Tag サーバー 2 新規作成 ログ管理サービス 構成管理サービス ネットワーク 1 新規作成サーバー 1 に紐づけ 権限を変更 ログイン成功 クラウド上の構成要素 を切り口に時系列ベースでロギング ユーザーアクティビティ を切り口に時系列ベースでロギング

31 可視性 統制 サービス連携と自動化 AWS CloudTrail S3 バケット アーカイブおよび監査 管理コンソール AWS リソース AWS CloudTrail トラブルシューティング アクセスアクティビティのモニタリング AWS CloudTrail Amazon CloudWatch モニタ アラーム および対処

32 可視性 統制 サービス連携と自動化 Amazon GuardDuty CloudTrail イベント アカウント 1 アカウント 2 VPC フローのログ アカウント 3 DNS のログ GuardDuty を有効にする 継続的に分析する 脅威をインテリジェントに検出する 処置を行う コンソールを数回クリックするだけで すべての AWS アカウントをモニタできます 追加のセキュリティソフトウェアまたはインフラストラクチャの導入や管理は不要です AWS アカウントを広範囲に継続してモニタリングして ネットワークおよびアカウントのアクティビティを規模に応じて自動的に分析できます GuardDuty は AWS セキュリティの管理ルールセット 脅威に関するインテリジェンスと サードパーティのインテリジェンスパートナー アノマリ検出法 および ML を組み合わせて 悪意のある行動や不正な行動をインテリジェントに検出します コンソールで詳細な検出事項を確認し イベント管理システムまたはワークフローシステムへの統合を行い また AWS Lambda で自動修復措置と予防措置を開始します

33 可視性 統制 サービス連携と自動化 GuardDuty CloudWatch Events Lambda Amazon GuardDuty Amazon CloudWatch CloudWatch Event AWS Lambda Lambda Function 脅威の検知インシデント通知インシデント対応 自動化された脅威への対応プロセス

34 AWS FinTech リファレンス アーキテクチャー FISC 関連基準 PCI DSS ISO AWS FinTech リファレンス テンプレート日本版 要求事項を整理 検討 要求事項を機能で実装 AWS FinTech リファレンス ガイド日本版 新サービスの追加や新しいガイドライン発行などに合わせて 継続して更新 対応予定

35 AWS セキュリティサービス

36 AWS セキュリティ ソリューション ID とアクセス管理 発見的対策 AWS 上のインフラストラクチャー保護 データ保護 インシデントレスポンス AWS Identity & Access Management (IAM) AWS Organizations AWS Cognito AWS Directory Service AWS Single Sign-On AWS CloudTrail AWS Config Amazon CloudWatch Amazon GuardDuty VPC Flow Logs AWS IoT Device Defender Amazon EC2 Systems Manager AWS Shield AWS Web Application Firewall (WAF) Amazon Inspector Amazon Virtual Private Cloud (VPC) AWS Key Management Service (KMS) AWS CloudHSM Amazon Macie Certificate Manager Server Side Encryption AWS Config Rules AWS Lambda AWS Systems Manager AWS Systems Manager

37 AWS セキュリティ ソリューション ID Identity とアクセス管理 & access management AWS のサービスやアクション リソースにアクセスできるユーザーの権限を定義 監査 AWS Identity and Access Management (IAM) AWS サービスとリソースへのアクセスをセキュアに管理 AWS Organizations 複数の AWS アカウントをポリシーベースで管理 Amazon Cognito ウェブアプリケーションやモバイルアプリにユーザーのサインアップ サインイン アクセスを管理する機能を追加 AWS Directory Service AWS クラウド内のマネージド型 Microsoft Active Directory AWS Single Sign-On 複数の AWS アカウントとビジネスアプリケーションへのシングルサインオン (SSO) アクセスの一元管理

38 AWS セキュリティ ソリューション 発見的対策 AWS 上に構築されたシステムに関する事象を包括的に把握し 脅威検知や具体的な対応可能 AWS CloudTrail AWS アカウントのガバナンス コンプライアンス 運用 / リスク監査を有効 AWS Config AWS リソースの設定を評価 記録 コンプライアンス監査 セキュリティ分析 設定履歴 トラブルシューティングを Amazon CloudWatch AWS クラウドリソースと AWS 上のアプリケーションをモニタリングし メトリクスを収集し ログファイルをモニタリングし アラームを設定することでリソースの変更に自動的に反応 Amazon GuardDuty インテリジェントな脅威検出と継続的な監視で AWS アカウントとワークロードを保護 VPC Flow Logs VPC のネットワークインターフェイスとの間で行き来する IP トラフィックに関する情報をキャプチャできるようにする機能 フローログのデータは Amazon CloudWatch Logs を使用して保存

39 AWS セキュリティ ソリューション インフラストラクチャー保護 AWS 環境上に構築されたシステムのエッジ箇所の脅威に対応可能 Amazon Systems Manager AWS でご利用のインフラストラクチャを可視化し 制御 Systems Manager を使用すると 統合ユーザーインターフェイスで AWS のさまざまなサービスの運用データを確認 AWS リソース全体に関わる運用タスクを自動化 AWS Shield マネージド型の分散サービス妨害 (DDoS) に対する保護サービスで AWS で実行しているアプリケーションを保護 AWS Web Application Firewall (WAF) お客様のウェブアプリケーションを アプリケーションの可用性 セキュリティの侵害 リソースの過剰な消費などに影響を与えかねない一般的なウェブの弱点から保護するウェブアプリケーションファイアウォール Amazon Inspector AWS にデプロイされたアプリケーションのセキュリティとコンプライアンスを向上させるための 自動化されたセキュリティ評価サービス Amazon Virtual Private Cloud (VPC) AWS クラウドの論理的に分離されたセクションをプロビジョニングし お客様が定義した仮想ネットワーク内の AWS リソースを起動

40 AWS セキュリティ ソリューション データ保護 暗号化と暗号鍵管理 およびデータの秘匿性を維持可能 AWS Key Management Service (KMS) データの暗号化に使用する暗号化キーを簡単に作成および管理 AWS CloudHSM AWS クラウドのマネージド型のハードウェアセキュリティモジュール (HSM) Amazon Macie 機械学習によって AWS 内の機密データを自動的に検出 分類 保護するセキュリティサービス AWS Certificate Manager AWS の各種サービスで使用する Secure Sockets Layer/Transport Layer Security (SSL/TLS) 証明書のプロビジョニング 管理し 簡単にデプロイを実行 Server Side Encryption AWS KMS やお客様の暗号化キーを使ってフレキリブルにデータを暗号化するオプション

41 AWS セキュリティ ソリューション AWS Config Rules ルールを作成して ルールの条件に違反しているリソースの確認やリソース全体が最適な設定に準拠しているかどうかを調べ 準拠していない特定のリソースを特定し お客様のリソースの設定内容を自動的に評価 インシデントレスポンス インシデントに自動的に対応する インシデント前後のシステム状況の把握が可能 AWS Lambda Lambda を使用すれば サーバーのプロビジョニングや管理なしでコードを実行可能 お客様はインシデントに自動的にレスポンスをするようプログラムをスケール可能 AWS Systems Manager AWS Systems Manager では インスタンスのパッチ 設定 およびカスタムポリシーに対するスキャンを実行し セキュリティとコンプライアンスの維持に役立てることができます パッチのベースラインの定義 アンチウイルス定義の更新 ファイアウォールポリシーの適用が可能です また 大規模なサーバー群でも 各サーバーに手動でログインすることなく リモートで管理できます

42 AWS Security and Compliance 情報