AWS上の
セキュリティ・ガバナンス向上

AWSでのセキュリティ対策について、「責任共有モデル」に基づきクラウドのセキュリティはAWS側が責任を持ち、ユーザーはクラウドにおけるセキュリティに責任があります。AWS上で稼働するシステムやアプリケーションはユーザー側でセキュリティ対策をする必要があります。AWSを利用するうえでユーザーが考えるべきセキュリティリスクに簡単にご紹介します。

クロスサイトスクリプティングやSQLインジェクションなどWebアプリケーションの脆弱性への攻撃についてはユーザー側で対策が必要です。脆弱性診断によるセキュリティリスクの洗い出し、見直しやWAFを利用した防御が有効です。

AWS上で保管されているデータの管理はユーザー側で対策が必要です。個人情報など重要なデータの持ち出しを防ぐことやデータの暗号化などでシステム上のセキュリティを強化するなどの対策が必要です。

利用ユーザーの権限やIDの管理もユーザー側で対策が必要です。不正アクセスを防止するためには適切なIDの発行・削除と権限の付与などアクセス管理を実施しましょう。

AWSでのセキュリティのベストプラクティスを実践するためには、Well-Architected Frameworkのセキュリティの柱を参考にするのがおすすめです。AWSでまず利用したい3つのサービスを紹介します。

AWS Identity and Access Management (IAM) はAWSサービスとリソースに対する権限とアクセス管理ができる基本的なサービスの一つです。ユーザーがAWSリソースの使用（認証）とリソースをどう利用するか（認可）を管理します。

AWS CloudTrailはAWSリソースの90日分の操作履歴を記録するサービスです。90日を超える場合はAmazon S3に証跡として保存できます。

ログを監視し、セキュリティの脅威を検知するマネージドサービスがAmazon GuardDutyです。ポートスキャンやアウトバウンドDDoS、不正なAPIの呼び出しなどを検知し、管理者に通知します。

AWS上のガバナンスを強化する3つのサービスを紹介します。

マルチアカウントの環境をAWSで運用する際に環境のセットアップと管理を行えるマネージドサービスです。セットアップではAWSで用意されているテンプレートを利用することもできるため、ベストプラクティスにそった環境構築を簡単に実現できます。

リソースの設定を評価、監査できるAWS Configの機能のひとつで、リソースの設定変更で予め決めたルールに違反した場合はアラートで通知します。また違反箇所の自動修復も可能です。

AWS Security Hubはクラウドセキュリティの体制管理サービスです。AWSのセキュリティサービスだけでなく、サードパーティ製品のデータを取得し、まとめて確認できます。AWSのベストプラクティスに則って設定されているかチェックを実施し、異常を検知した際のアラートを集約します。