Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
FISCから学ぶAWSセキュリティことはじめ.pdf
Search
iselegant
January 29, 2020
Technology
9
3.4k
FISCから学ぶAWSセキュリティことはじめ.pdf
iselegant
January 29, 2020
Tweet
Share
More Decks by iselegant
See All by iselegant
人工衛星管制システムにおけるCICD / CICD in satellite control systems
iselegant
8
1.1k
人工衛星の運用を支えるクラウドネイティブ民主化への取り組み / Efforts toward cloud-native democratization for satellite operations
iselegant
4
1.2k
サーバーレスファーストで考えるクレジットカードビジネスの最適化 / Business Optimization for Credit Card by Serverless
iselegant
6
1.9k
全AWSエンジニアに捧ぐ、CloudWatch 設計・運用 虎の巻 / CloudWatch design and operation bible
iselegant
43
16k
ECS Service Connectによるサービスの新しいつなぎ方 / A new way to connect services with ECS Service Connect
iselegant
13
6.6k
PCI DSS準拠から学ぶサステナブルなAWSクラウドネイティブの運用 / Sustainable PCIDSS operation on AWS
iselegant
14
6.6k
アーキテクトに求められるマインドとは / mindset for an architect
iselegant
23
9.9k
コンテナ・サーバレスがもたらす世界と開発者がAWS上で取り組むべきこと / Containers and Serverless Technology for Developers
iselegant
8
14k
SRE on AWSのことはじめ / SRE on AWS
iselegant
9
4.7k
Other Decks in Technology
See All in Technology
Prisma ORMを2年運用して培ったノウハウを共有する
tockn
19
5k
Oracle Cloud Infrastructureデータベース・クラウド:各バージョンのサポート期間
oracle4engineer
PRO
12
7.9k
1Q86
kawaguti
PRO
2
190
エンジニアゼロの組織から内製開発の DX をどう実現したのか / How did we achieve DX in in-house development in an organization with zero engineers?
genkiogasawara
7
3k
日本が誇るイタリアのダンスミュージック!? ユーロビートって何??
minorun365
PRO
2
220
使われないものを作るな!出口から作るデータ分析基盤 / Data Platform Development Starting from the User Needs
amaotone
16
4.6k
.NET GraphQL Client のリアル
sansantech
PRO
1
260
AI JIMY - 登壇(インストール編)
hanacchi
0
150
Taking Flight with Tailwind CSS
opdavies
0
4.3k
【TSkaigi】2024/05/11 当日スライド
kimitashoichi
14
4k
Databricksの生成AI戦略
taka_aki
1
370
Money-saving tips for the frugal serverless developer
theburningmonk
0
290
Featured
See All Featured
Why You Should Never Use an ORM
jnunemaker
PRO
51
8.7k
Fontdeck: Realign not Redesign
paulrobertlloyd
76
4.9k
A Modern Web Designer's Workflow
chriscoyier
689
190k
In The Pink: A Labor of Love
frogandcode
138
21k
[RailsConf 2023 Opening Keynote] The Magic of Rails
eileencodes
14
8.4k
Designing Dashboards & Data Visualisations in Web Apps
destraynor
226
51k
Refactoring Trust on Your Teams (GOTO; Chicago 2020)
rmw
26
2.3k
Making the Leap to Tech Lead
cromwellryan
125
8.6k
Responsive Adventures: Dirty Tricks From The Dark Corners of Front-End
smashingmag
245
20k
What the flash - Photography Introduction
edds
64
11k
Easily Structure & Communicate Ideas using Wireframe
afnizarnur
188
16k
Building Applications with DynamoDB
mza
88
5.7k
Transcript
FISCから学ぶ AWSセキュリティことはじめ 野村総合研究所 新井 雅也 JAWS-UG 初⼼者⽀部#22 Fin-JAWSコラボ会
*OUSPEVDUJPO @msy78
FISCから学ぶAWSセキュリティことはじめ FISCガイドラインをベースに AWSセキュリティ設計を俯瞰できる ! お伝えしないこと ! ・各AWSサービスの詳細内容や実装⽅法、テクニック (それを話すには時間が⾜りない…) 本⽇お伝えしたいこと
FISCから学ぶAWSセキュリティことはじめ ⾦融系ITサービスを提供する上でのFISCガイドライン AWSとFISCガイドラインの関係性 FISCガイドラインからセキュリティ項⽬を俯瞰する 本⽇のアジェンダ FISCガイドライン準拠の上でのユースケース まとめ
FISCから学ぶAWSセキュリティことはじめ 本⽇のアジェンダ ⾦融系ITサービスを提供する上でのFISCガイドライン AWSとFISCガイドラインの関係性 FISCガイドラインからセキュリティ項⽬を俯瞰する FISCガイドライン準拠の上でのユースケース まとめ
AWS x ⾦融と聞いて、 どのようなキーワードを思い浮かべますか?
プライベートブラウジングモードでGoogleのサジェストを⾒てみると…
プライベートブラウジングモードでGoogleのサジェストを⾒てみると… 法令遵守の観点が意識されている のか、準拠すべきルールがある? やはりセキュリティ要件を気にし ている?
準拠すべきシステムのガイドラインが存在 ・⾦融機関がITサービスを提供する際の健全性評価の指標として、 FISCが『⾦融機関等コンピュータシステムの安全対策基準』を提供 ⾦融系ITサービスを提供する上でのFISCガイドライン https://www.fisc.or.jp/ 参考: 設備関連 138項⽬ 技術関連 53項⽬
運⽤関連 115項⽬ ・セキュリティ対策などの技術項⽬に加え、設備や運⽤に関する基準を提供 FISCガイドライン (第8版+追補改訂版)
⾦融系サービスはFISCガイドラインの準拠が重要! (以前は⾦融庁の検査マニュアルにも記載があった)
FISCから学ぶAWSセキュリティことはじめ 本⽇のアジェンダ ⾦融系ITサービスを提供する上でのFISCガイドライン AWSとFISCガイドラインの関係性 FISCガイドラインからセキュリティ項⽬を俯瞰する FISCガイドライン準拠の上でのユースケース まとめ
セキュリティはAWSにとっても最重要項⽬の⼀つ AWSとFISCガイドラインの関係性 https://d1.awsstatic.com/International/ja_JP/Whitepapers/AWS_Security_Best_Practices.pdf ホワイトペーパー「 AWS セキュリティのベスト プラクティス ‒ 概要」より引⽤ アマゾン
ウェブ サービス (AWS) のお客様にとって最も重要なこと は、情報のセ キュリティです。セキュリティは、偶発的または意図 的な盗難、漏洩、不整合、 削除からミッションクリティカルな情報 を保護する機能要件の中核部分です
AWSからFISCガイドライン(第8版)に準拠したリファレンスガイドラインが提供 AWSとFISCガイドラインの関係性 https://aws.amazon.com/jp/compliance/fisc/ 参考:
https://d1.awsstatic.com/whitepapers/jp/security/FISC_Document_20120824JP.pdf 引⽤: AWSが提供しているセキュリティリファレンス(⼀部抜粋)
しかし、、
AWS利⽤者側も対応が必要な項⽬が多数あり AWSとFISCガイドラインの関係性 https://aws.amazon.com/jp/compliance/fisc/ 参考: FISC 安全対策基準・解説書では、設備、運⽤および技術といった広範囲にわたるシステムの 安全性に関する管理策が⽰されています。お客様がAWS環境をご利⽤になる際には、責任共有 モデルに基づき、AWSの対応、あるいはお客様の対応等という形で責任の範囲を明確にした上 で、各要件に応じた対策や確認を実施する必要があります。 https://aws.amazon.com/jp/compliance/shared-responsibility-model/
FISCから学ぶAWSセキュリティことはじめ 本⽇のアジェンダ ⾦融系ITサービスを提供する上でのFISCガイドライン AWSとFISCガイドラインの関係性 FISCガイドラインからセキュリティ項⽬を俯瞰する FISCガイドライン準拠の上でのユースケース まとめ
FISCガイドラインを俯瞰するとセキュリティ/運⽤実装のポイントが⾒えてくる FISCガイドラインからセキュリティ項⽬を俯瞰する ウイルス対策(脆弱性保護) FISCガイドライン (第8版+追補改定版) 本⼈確認 ファシリティ(建物/電源/空調/回線/⼊退室管理、等) 不正アクセス対策 運⽤体制や⼿順書の整備 データ保護(漏洩対策)
障害の早期発⾒と回復 (運⽤監視) ⼤規模災害対策(⼆重化等) 暗号鍵の管理 ソフトウェア管理 データバック アップ運⽤ 履歴管理 (アクセスログ/ 作業ログ…) 準拠が必要 (AWSリソースで対応) 準拠が不要 (AWSリソース外で対応) 凡例 セキュリティ/運⽤カットで集約した項⽬ リソース管理 抑⽌ 予防 検出 回復 AWSセキュリティ リファレンス
FISCから学ぶAWSセキュリティことはじめ 本⽇のアジェンダ ⾦融系ITサービスを提供する上でのFISCガイドライン AWSとFISCガイドラインの関係性 FISCガイドラインからセキュリティ項⽬を俯瞰する FISCガイドライン準拠の上でのユースケース まとめ
シンプルなALB+EC2+RDS構成で各FISCガイドライン観点で考察してみます FISCガイドライン準拠のユースケース
NWやデータの暗号化はもちろん、データの内容によってはAppレベルで暗号化 FISCガイドライン準拠のユースケース データ保護(漏洩対策) ACM
暗号鍵はKMSに集約させるケースが多い。保護レベル要件に応じてCloudHSMも検討 FISCガイドライン準拠のユースケース 暗号鍵の管理
Systems Managerのインベントリ情報やリポジトリツールでSW全体を管理 FISCガイドライン準拠のユースケース ソフトウェア管理
CloudWatchメトリクスベースでリソース管理 FISCガイドライン準拠のユースケース リソース管理
AWSが提供する不正予防&検出系のサービスは割と⼿厚い印象 FISCガイドライン準拠のユースケース 不正アクセス対策
ウイルス対策ソフトウェアはサードパーティ製を利⽤ FISCガイドライン準拠のユースケース ウイルス対策
AWSレベルはIAM、Appレベルは⾃前で⽤意することが多い FISCガイドライン準拠のユースケース 本⼈確認
マルチAZは必須、データ保持要件次第でマルチリージョン化 FISCガイドライン準拠のユースケース ⼤規模災害対策
CloudTrail有効化は必須、他は要件に併せてCloudWatchやKinesis->S3など FISCガイドライン準拠のユースケース 履歴管理 (アクセスログ/作業ログ…)
CloudWatchアラームをベースに通知実装が可能 FISCガイドライン準拠のユースケース 障害の早期発⾒と回復 (運⽤監視)
FISCから学ぶAWSセキュリティことはじめ 本⽇のアジェンダ ⾦融系ITサービスを提供する上でのFISCガイドライン AWSとFISCガイドラインの関係性 FISCガイドラインからセキュリティ項⽬を俯瞰する FISCガイドライン準拠の上でのユースケース まとめ
まとめ ・⾦融系ITサービスの健全性指標としてFISCガイドライン ・AWSでも上記に準拠する形でリファレンスを提供 ・FISCガイドラインをベースにAWSセキュリティ設計を俯瞰できる パブリッククラウドはインターネット越しの利⽤が前提 # どのようにして多層防御を⾏うか まずは、実装可能な項⽬をすべて洗い出してみることも⼤切 # その後、コストとのバランスで採⽤可否を判断
FISCの最新版は第8版ではなく、実は第9版です! 最後に 2020年1⽉29⽇時点では、 AWSからFISCガイドライン第9版に関する リファレンスガイドが掲⽰されていない様⼦。 AWSさん、なにとぞ…!!
ほんの少しだけ宣伝させてください… 最後の最後に… https://booth.pm/ja/items/1563844 僕のAWS師匠である佐々⽊さんがIAMに特化した本を出しました。 IAMを踏み込んで理解したい⽅、是⾮お⼿に取ってみてください。
ご清聴いただきありがとうございました。