金融業界にいる私から見た AWS re:Inforce 2023

by Yuta Kimi

Slide 1

Slide 1 text

Slide 2

Slide 2 text

Slide 3

Slide 3 text

3 © 2023 Japan Digital Design, Inc. NIST(*1)のクラウドコンピューティングの定義 - 基本的な特徴(*2) “クラウド” の5つの特徴この定義に則ると、 AWS自体は5つの特徴を満たす ⇒ AWS自体は“クラウド”である “クラウド” とは？オンデマンド・セルフサービス On-demand self-service クラウド運営者と会話・調整せずに自分自身で１幅広いネットワークアクセス Broad network access どこからでも 2 リソースの共用 Resource pooling 必要な時だけ 3 ５サービスが計測可能であること Measured Service 明朗会計・従量課金で利用量を計測・適正化できる (*1) NIST：アメリカ国立標準技術研究所 (*2) 『NISTによるクラウドコンピューティングの定義』を独自に意訳スピーディな拡張性 Rapid elasticity 必要な分だけ即時に 4

Slide 4

Slide 4 text

Slide 5

Slide 5 text

5 © 2023 Japan Digital Design, Inc. 木美雄太 Senior Solution Architect Technology & Development Div. Photo Japan Digital Design 所属「金融の新しい当たり前を創造し人々の成長に貢献する」をミッションとするMUFGの子会社１通勤は片道3時間自宅は兵庫県姫路市、オフィスは東京都日本橋（もちろんリモート中心） 2 対外活動金融×クラウドに微力ながら貢献したい 3 Fin-JAWS 運営メンバー Security & Identity 領域書籍・ブログ執筆 https://imiky. hatenablog.com 弊社のデザイナーが作ったカッコいい名刺を見てほしくて仕方がないのでぜひ名刺交換させてください！

Slide 6

Slide 6 text

Slide 7

Slide 7 text

7 © 2023 Japan Digital Design, Inc. 私がre:Inforce 2023 で感じた外の世界の「当たり前」外の世界の「当たり前」を体感すること現地でのセッションの様子や参加者との交流から外の世界の「当たり前」と自分たちのギャップを体感すること現地参加する目的は？ “どうやってクラウドでセキュリティを守るか” を越えていかにスケーラブルに守るかいかに開発者のスピードを速めるかいかに開発プロセスの早い段階で問題を修正するかに焦点を当てたセッションが多い IaC / パイプライン経由のインフラ構築、Shift-Leftの意識は「当たり前」それを前提としてどのような工夫をしているか

Slide 8

Slide 8 text

Slide 9

Slide 9 text

9 © 2023 Japan Digital Design, Inc. 自動化のレベルに比例して、セキュリティとリスクコントロールのレベルも向上する「自動化」すること私が参加した多くのセッションでセキュリティを高めるための要点として「自動化」が第一に挙げられていた。セキュリティチェックリストに項目を追加することでも、職務分離を名目に開発者から権限を奪うことでもない。ただし「自動化」だけで言うと、 re:Inforce 2019から強調されていた話。セキュリティ向上のためにすべきこと AWS re:Inforce 2023 - Managing risk in a regulated environment, feat. Japan Digital Agency (GRC302) - Youtube から引用

Slide 10

Slide 10 text

10 © 2023 Japan Digital Design, Inc. 開発の早い段階で自動的にフィードバックを提供する過去のre:Inforceでも、デプロイ後の話（ガードレール適用等）は多数取り扱われていた。 re:Inforce 2023ではインフラも含めてデプロイ前のプロセスに焦点を当てたセッションが増加した印象。一層注力すべき「自動化」セキュリティのオーナーシップは開発者が持つ At AWS, our builders have ownership of security of their services. - Keynote with CJ Moses (AWS CISO) 開発プロセスの早い段階で開発者が問題を修正できるように「自動的にフィードバックを提供」１課題やレビューから得られた案件ナレッジを「自動化プロセスに取り込む」２本番環境へのリリースは自動化された「レビュープロセスの通過を必須」にする 3 セキュリティ担当者は

Slide 11

Slide 11 text

11 © 2023 Japan Digital Design, Inc. IaC/パイプライン内で構成チェックは「当たり前」米国軍人向けの銀行・保険業を営むUSAAのセッションビジネスニーズに応じて常に変化する「データ境界」をスケーラブルに維持する方法具体的な事例をひとつ AWS re:Inforce 2023 - Establishing a data perimeter on AWS, featuring USAA (IAM301) - Youtube から引用

Slide 12

Slide 12 text

12 © 2023 Japan Digital Design, Inc. ビジネスニーズに応じて「適切なデータ境界」は常に変化するエンドポイントポリシーに着目データ境界のうちVPC内からデータ保管場所への接続口になるVPCエンドポイントに着目。セッション内ではデータ駆動で着目ポイントを決めているという解説もされている。具体的な事例をひとつ社外の提携先のバケット意図しないバケット社内の共有バケットエンドポイントポリシー “適切” が常に変化する中でどうやって持続的にチェックする？適切なデータ保管場所にだけアクセスできる接続口にしたい VPCエンドポイントの作成権限を開発者から奪う…！？

Slide 13

Slide 13 text

13 © 2023 Japan Digital Design, Inc. 数分の手動レビューを除いて、セルフサービス化・自動化開発者がセルフサービスで ”適切“なポリシーを適用パイプラインの中で構成がチェックされてから自動適用。「セルフサービス」がUSAAの強く信じている理念。 (クラウドの定義の1つ目) 具体的な手法を真似しましょうというよりも、理念や基本指針を学ぶことが大切。リポジトリエンドポイントポリシー具体的な事例をひとつ開発者 Pull Request 自動スキャン基本的な構成チェック (スキャン結果に応じて) 手動レビューセキュリティチーム信頼できるエンドポイントポリシートリガーポリシー適用エンドポイント作成/更新イベント Step Functions ポリシー取得アプリケーションA

Slide 14

Slide 14 text

14 © 2023 Japan Digital Design, Inc. NIST(*1)のクラウドコンピューティングの定義 - 基本的な特徴(*2) クラウドセキュリティの設計指針にもなる 5つの要素は「顧客体験に専念するためのプラットフォーム」に求められる要素。顧客が求める体験とデザインがずれることは当たり前。いかに速くユーザに届けて、いかに速く顧客のフィードバックを取り込むか。そのために必要な要素。この要素を欠いてもクラウドを使う意味を保てるか？改めてクラウドの定義を再考オンデマンド・セルフサービス On-demand self-service クラウド運営者と会話・調整せずに自分自身で１幅広いネットワークアクセス Broad network access どこからでも 2 リソースの共用 Resource pooling 必要な時だけ 3 ５サービスが計測可能であること Measured Service 明朗会計・従量課金で利用量を計測・適正化できる (*1) NIST：アメリカ国立標準技術研究所 (*2) 『NISTによるクラウドコンピューティングの定義』を独自に意訳スピーディな拡張性 Rapid elasticity 必要な分だけ即時に 4