PCI DSS運用でラクをする/make_it_easy_for_pci-dss_operation_on_cloud

クラウド上での PCI DSS運⽤でラクをする 2020/09/25 ヒロヤマユタカ

about me • 廣⼭豊 • アイレット株式会社クラウドインテグレーション事業部副事業部⻑兼情報管理責任者
兼 PCI DSS管理責任者兼 Well Architected Lead • 2020 Japan APN AWS Ambassador • 組み込み開発SIer出⾝ • AWS * 7, GCP * 5, Azure * 1, 情報処理安全確保⽀援⼠、その他多数の認定資格を保有

Agenda • アイレットが取得しているコンピテンシー • ラクしよう • アイレットにおける解決事例 • Sumologicを活⽤したログ管理の最適化

about us

about us • クラウド導⼊実績1,900社以上 • 年間プロジェクト2,600以上 • AWSプレミアコンサルティングパートナー８年連続認定 •
APN Consulting Partner of the year 2019 • GCPプレミアサービスパートナー認定 • クラウドのインフラ運⽤を主軸に、デザインから開発までワンストップでサポート • 他拠点で運⽤

we have 2013年8⽉より、PCI DSS準拠の運⽤サービスを開始。現在、v3.2.1準拠。

why did we get PCI DSS セキュリティ基準について以下を実現できる。 • 第三者による証明
• 整理 • 維持

ラクしよう

「ラク」≠「サボる」

ラクをするためにスコープを⾒つめ直すツールの活⽤

スコープを⾒つめ直す • 扱っているデータは何か？（＝守るべきは何のか？） • データの在処およびアクセス経路 • 扱っている⼈たちは誰なのか？ • なにをクラウドベンダー任せにできるか？

ツールの活⽤集約と適材適所のバランス進化の追従

アイレットにおける解決事例

Sumologicを活⽤したログ管理の最適化

Sumologicを採⽤した理由 PCI DSSテンプレート設計をシンプルにできる

テンプレートのメリット • 完成度の⾼いダッシュボード • 準拠のために必要なログが⾒えやすい

Sumologicにいたるまでのログ管理初期 •Logstorage ＋Rundeck＋ Splunk 第⼀段 •Datadog＋S3 第⼆段 •Sumologic

リファクタリング前

Datadogによるコストスリム化

Sumologicによる集約管理

進化は続くよ、どこまでも

まとめ

まとめ PCI DSSで求められる運⽤要件は、セキュリティガイドラインとして有効スコープを明確にするその後の運⽤も視野にツールを活⽤するツールは定期的に⾒直す

PCI DSS運用でラクをする/make_it_easy_for_pci-dss_operat...