Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
金融業界にいる私から見た AWS re:Inforce 2023
Search
Yuta Kimi
June 29, 2023
Technology
0
2.4k
金融業界にいる私から見た AWS re:Inforce 2023
re:Inforce 2023に現地参加して体感したクラウドセキュリティの「当たり前」を金融目線でお話しました。
Yuta Kimi
June 29, 2023
Tweet
Share
More Decks by Yuta Kimi
See All by Yuta Kimi
[re:Invent 2022][Fin-JAWS #29]現地参加のみなさんがキラキラアップデートに目がくらんでいるスキに渋いアップデートをキャッチアップ!!
ykimi
1
1.2k
re:Invent で発表された新機能 "Amazon WorkSpaces Web" を使うと世界を変えられるか探ってみた話 @Fin-JAWS
ykimi
1
17k
[JAWS PANKRATION]Will AWS Control Tower take away my jobs as multi account administrator? (Control Towerはマルチアカウント管理者の仕事を奪ってくれるのか?)
ykimi
0
170
年間40回社内AWS勉強会を運営してみた
ykimi
0
1.1k
Other Decks in Technology
See All in Technology
[NIKKEI Tech Talk]Bias for Action!! 実践から学ぶための仕組とコミュニティ / Community for Practice and Learning
kanamasa
0
280
AOAI Dev Day LLMシステム開発 Tips集
hirosatogamo
15
3.8k
E2Eテスト自動化プラットフォームにおけるAIの活用
shift_evolve
0
190
JBUG岡山 #6 WordCamp男木島の チームビルディング
takeshifurusato
0
150
20240724_cm_odyssey_hibiyatech
hiashisan
0
110
[2024最新版]AWS Control Towerを使ったセキュアなマルチアカウント環境の作り方
hiashisan
0
270
ここがすごいよ! AWS Systems Manager!
saichan11
0
1.8k
スタートアップにおける組織設計とスクラムの長期戦略 / Scrum Fest Kanazawa 2024
yoshikiiida
13
3.6k
AWSで”最小権限の原則”を実現するための考え方 /20240722-ssmjp-aws-least-privilege
opelab
10
4.4k
データ分析を支える技術 生成AI再入門
ishikawa_satoru
0
380
ゆめみのアクセシビリティの現在地と今後
ryokatsuse
3
290
DDDにおける認可の扱いとKotlinにおける実装パターン / authorization-for-ddd-and-kotlin-implement-pattern
urmot
4
390
Featured
See All Featured
WebSockets: Embracing the real-time Web
robhawkes
59
7.2k
Easily Structure & Communicate Ideas using Wireframe
afnizarnur
189
16k
Fashionably flexible responsive web design (full day workshop)
malarkey
399
65k
How GitHub Uses GitHub to Build GitHub
holman
471
290k
Faster Mobile Websites
deanohume
303
30k
Fight the Zombie Pattern Library - RWD Summit 2016
marcelosomers
228
16k
A designer walks into a library…
pauljervisheath
201
24k
Keith and Marios Guide to Fast Websites
keithpitt
408
22k
Learning to Love Humans: Emotional Interface Design
aarron
269
39k
Documentation Writing (for coders)
carmenintech
63
4.2k
Java REST API Framework Comparison - PWX 2021
mraible
PRO
20
7.2k
Exploring the Power of Turbo Streams & Action Cable | RailsConf2023
kevinliebholz
12
3.8k
Transcript
1 © 2023 Japan Digital Design, Inc. 木美 雄太(Yuta Kimi)
2023.06.29 金融業界にいる私から見た AWS re:Inforce 2023 AWS re:Inforce 2023 re:Cap Seminar
2 © 2023 Japan Digital Design, Inc. あなたが使っているのは “クラウド” ですか?
3 © 2023 Japan Digital Design, Inc. NIST(*1)のクラウドコンピューティングの定義 - 基本的な特徴(*2)
“クラウド” の5つの特徴 この定義に則ると、 AWS自体は5つの特徴を満たす ⇒ AWS自体は“クラウド”である “クラウド” とは? オンデマンド・セルフサービス On-demand self-service クラウド運営者と会話・調整せずに自分自身で 1 幅広いネットワークアクセス Broad network access どこからでも 2 リソースの共用 Resource pooling 必要な時だけ 3 5 サービスが計測可能であること Measured Service 明朗会計・従量課金で利用量を計測・適正化できる (*1) NIST:アメリカ国立標準技術研究所 (*2) 『NISTによるクラウドコンピューティングの定義』を独自に意訳 スピーディな拡張性 Rapid elasticity 必要な分だけ即時に 4
4 © 2023 Japan Digital Design, Inc. あなたが使っているのは “クラウド”(=5つの特徴を満たす) ですか?
(特に規制業界のみなさま、自社のセキュリティルールによりAWS環境を ”クラウドではない” 状態にしていませんか)
5 © 2023 Japan Digital Design, Inc. 木美 雄太 Senior
Solution Architect Technology & Development Div. Photo Japan Digital Design 所属 「金融の新しい当たり前を創造し人々の成長に貢献する」を ミッションとするMUFGの子会社 1 通勤は片道3時間 自宅は兵庫県 姫路市、オフィスは東京都 日本橋 (もちろんリモート中心) 2 対外活動 金融×クラウドに微力ながら貢献したい 3 Fin-JAWS 運営メンバー Security & Identity 領域 書籍・ブログ執筆 https://imiky. hatenablog.com 弊社のデザイナーが作ったカッコいい名刺を 見てほしくて仕方がないのでぜひ名刺交換させてください!
6 © 2023 Japan Digital Design, Inc. 本日お伝えしたいこと 日本の金融系のみなさん、re:Inforce 2024でお会いしましょう!!
今回は日本の金融関係の方はわずかしか参加していなかったらしく、 金融系のすみっこにいる私としてはとても残念でした…
7 © 2023 Japan Digital Design, Inc. 私がre:Inforce 2023 で感じた外の世界の「当たり前」
外の世界の「当たり前」を 体感すること 現地でのセッションの様子や 参加者との交流から外の世界の 「当たり前」と自分たちの ギャップを体感すること 現地参加する目的は? “どうやってクラウドでセキュリティを守るか” を越えて いかにスケーラブルに守るか いかに開発者のスピードを速めるか いかに開発プロセスの早い段階で問題を修正するか に焦点を当てたセッションが多い IaC / パイプライン経由のインフラ構築、Shift-Leftの意識は「当たり前」 それを前提としてどのような工夫をしているか
8 © 2023 Japan Digital Design, Inc. クラウドのセキュリティを高めるためにすべきことは何ですか?
9 © 2023 Japan Digital Design, Inc. 自動化のレベルに比例して、セキュリティとリスクコントロールの レベルも向上する 「自動化」すること
私が参加した多くのセッション でセキュリティを高めるための 要点として「自動化」が第一に 挙げられていた。 セキュリティチェックリストに 項目を追加することでも、 職務分離を名目に開発者から 権限を奪うことでもない。 ただし「自動化」だけで言うと、 re:Inforce 2019から強調されて いた話。 セキュリティ向上のためにすべきこと AWS re:Inforce 2023 - Managing risk in a regulated environment, feat. Japan Digital Agency (GRC302) - Youtube から引用
10 © 2023 Japan Digital Design, Inc. 開発の早い段階で自動的に フィードバックを提供する 過去のre:Inforceでも、デプロイ
後の話(ガードレール適用等) は多数取り扱われていた。 re:Inforce 2023ではインフラも 含めてデプロイ前のプロセスに 焦点を当てたセッションが 増加した印象。 一層注力すべき「自動化」 セキュリティのオーナーシップは開発者が持つ At AWS, our builders have ownership of security of their services. - Keynote with CJ Moses (AWS CISO) 開発プロセスの早い段階で開発者が問題を修正できるように 「自動的にフィードバックを提供」 1 課題やレビューから得られた案件ナレッジを 「自動化プロセスに取り込む」 2 本番環境へのリリースは自動化された 「レビュープロセスの通過を必須」にする 3 セキュリティ担当者は
11 © 2023 Japan Digital Design, Inc. IaC/パイプライン内で構成チェックは「当たり前」 米国軍人向けの銀行・保険業 を営むUSAAのセッション
ビジネスニーズに応じて常に 変化する「データ境界」を スケーラブルに維持する方法 具体的な事例をひとつ AWS re:Inforce 2023 - Establishing a data perimeter on AWS, featuring USAA (IAM301) - Youtube から引用
12 © 2023 Japan Digital Design, Inc. ビジネスニーズに応じて「適切なデータ境界」は常に変化する エンドポイントポリシーに 着目
データ境界のうちVPC内から データ保管場所への接続口にな るVPCエンドポイントに着目。 セッション内ではデータ駆動で 着目ポイントを決めているとい う解説もされている。 具体的な事例をひとつ 社外の提携先のバケット 意図しないバケット 社内の共有バケット エンドポイント ポリシー “適切” が常に変化する中で どうやって持続的にチェックする? 適切なデータ保管場所にだけ アクセスできる接続口にしたい VPCエンドポイントの作成権限を 開発者から奪う…!?
13 © 2023 Japan Digital Design, Inc. 数分の手動レビューを除いて、セルフサービス化・自動化 開発者がセルフサービスで ”適切“なポリシーを適用
パイプラインの中で構成が チェックされてから自動適用。 「セルフサービス」がUSAAの 強く信じている理念。 (クラウドの定義の1つ目) 具体的な手法を真似しましょう というよりも、理念や基本指針 を学ぶことが大切。 リポジトリ エンドポイント ポリシー 具体的な事例をひとつ 開発者 Pull Request 自動スキャン 基本的な 構成チェック (スキャン結果に応じて) 手動レビュー セキュリティ チーム 信頼できる エンドポイントポリシー トリガー ポリシー適用 エンドポイント 作成/更新イベント Step Functions ポリシー取得 アプリケーションA
14 © 2023 Japan Digital Design, Inc. NIST(*1)のクラウドコンピューティングの定義 - 基本的な特徴(*2)
クラウドセキュリティの 設計指針にもなる 5つの要素は「顧客体験に専念 するためのプラットフォーム」 に求められる要素。 顧客が求める体験とデザインが ずれることは当たり前。 いかに速くユーザに届けて、 いかに速く顧客のフィードバッ クを取り込むか。 そのために必要な要素。 この要素を欠いてもクラウドを 使う意味を保てるか? 改めてクラウドの定義を再考 オンデマンド・セルフサービス On-demand self-service クラウド運営者と会話・調整せずに自分自身で 1 幅広いネットワークアクセス Broad network access どこからでも 2 リソースの共用 Resource pooling 必要な時だけ 3 5 サービスが計測可能であること Measured Service 明朗会計・従量課金で利用量を計測・適正化できる (*1) NIST:アメリカ国立標準技術研究所 (*2) 『NISTによるクラウドコンピューティングの定義』を独自に意訳 スピーディな拡張性 Rapid elasticity 必要な分だけ即時に 4
15 © 2023 Japan Digital Design, Inc. 本日のお話 自分たちの「当たり前」とギャップがあった皆さん、 re:Inforce
2024でお会いしましょう!! 具体的な技術・知識よりも本日お話したような「当たり前」を持ち帰ることができます
Thank you. 16 © 2023 Japan Digital Design, Inc.