Reinforce2021 recap session2

© 2021, Amazon Web Services, Inc. or its affiliates. All rights reserved.
AWS re:Inforce 2021 re:Cap 2

松本照吾(Shogo Matsumoto)
アマゾンウェブサービスジャパン株式会社セキュリティア
シュアランス本部本部長
セキュリティソリューションのプロダクトSEを経て、セキュリティ専業のコンサルティング会社
に転職。情報セキュリティ監査や事業継続計画（BCP）、PCI DSSの審査員
（QSA）等を担当。2015年にセキュリティコンサルタントとしてAWSJに入社、2019
年より現職
主な保有資格、活動
・ ISACA東京支部 CISA委員会委員長
・情報処理安全支援確保士集合講習講師
・ JASA（情報セキュリティ監査協会）クラウド監査実技WG リーダー
・ CISA、CISSP、公認情報セキュリティ主任監査人
・ MBA（University of Massachusetts Lowell)
・九州大学サイバーセキュリティ教育訓練プログラム（SECKUN）講師第一期修
了生

• Evolving beyond heroics for threat detection and incident
response
• Data protection & privacy Fireside
• Transforming compliance to meet the speed of digital
Agenda

Evolving beyond heroics for threat
detection and incident response
T D R 2 0 0 - L

Session overview
• External Security Servicesによる自動化を実現す
るためのベストプラクティス
• インシデント対応のためにお客様が利用できるリソースや、
現場で見られるセキュリティイベントの一般的な根本原因
とそれを回避するための方法
• AWSのカスタマーインシデントレスポンスチームによる知見
の共有

External security services
Amazon
GuardDuty
Amazon
Detective
AWS
Security Hub
Amazon
Inspector
Amazon
Macie

Additional AWS customer responsibilities
AWSサービスの
適切な設定
許可のない活動を含
むすべてのAWS上の
活動
通知に使われる
アカウントe-
mailの管理
アカウントやコンテンツの
保護やバックアップ等に
対する適切なアクション
クレデンシャルの第
三者への不適切な
開示の防止

Call to action – Top 10
1. クラウドに関する人材、プロセス、技術を含む、定義されたクラウドセキュリティ戦略とインシ
デント対応計画を確実に策定する
2. AWSからの通知に対応するため、AWSアカウントの連絡先としてビジネスメールの配信リ
ストを使用する
3. 重要なリソースとデータのためにAWS Backupでバックアップを構成し、バックアップのリスト
アとそのリストア順序の優先順位を定期的に検証する
4. セキュリティイベントを検出するために、GuardDuty、AWS Config、Security Hub、
CloudTrail、および監査ログを確実に有効化する
5. AWS Foundational Security Best Practicesを用いて、一般的なAWSリソースの誤
設定について、重要度や深刻度の高いリスクを継続的に評価する

Call to action – Top 10
6. AWS IAMの機能を利用して、最小権限でのアクセスを継続的に評価する
7. セキュリティイベントの影響や範囲のリスクを減らすために、長期間有効な認証情報を短期
間有効な認証情報に置き換える
8. コード内および AWS サービス（例：AWS WAF）を使用して、アプリケーションに
OWASP トップ 10（特に入力検証とレート制限）を実装する
9. OS、アプリケーション、および依存関係にある製品に対して、最新のセキュリティパッチを定
期的に適用する
10.クラウドセキュリティ事件・事故を想定したトレーニングとシミュレーションを定期的に実施し、
反復して改善する
セキュリティは一過性のものではなく反復していくもの

Leadership lessons learned
Cloud上やクラウド
を活用したインシデン
トレスポンスの理解
ビルダーのチームがよい
インシデントレスポンス
を実現する
調査のしやすい文化
の醸成（何を期待し
ているかを理解しても
らえる世界）
どのようにレスポン
スを実現するかを
教育する
エスカレーションがし
やすい文化の醸成

Core references
1. Top 10 security items to improve in your AWS account
aws.amazon.com/blogs/security/top-10-security-items-to-improve-in-your-aws-account
2. Security Pillar – AWS Well-Architected Framework
docs.aws.amazon.com/wellarchitected/latest/security-pillar
3. AWS Security Reference Architecture (SRA)
docs.aws.amazon.com/prescriptive-guidance/latest/security-reference-architecture/welcome.html
4. AWS Security Incident Response Guide
docs.aws.amazon.com/whitepapers/latest/aws-security-incident-response-guide

Data protection & privacy
Fireside

Session overview
• データ保護とプライバシーに関して三名が対談形
式で紹介
• 過去20年でプライバシーに対する世間の意識は
大幅に変化
• 技術分野も変化がはげしい。暗号化は高価なソ
リューションであったが、よりシンプルに実現し選択
することが可能に。
• “パッチワークキルト”
特に米国では、分野や地域毎に管理項目が細分化

Amazonが実現したいもの：
信頼関係の構築
“お客様に価値をもたらすか”
お客様が考えること：
制限ではなく選択

データの利用と暗号化のトレードオフ：
クレデンシャルとデータの位置関係
鍵管理（耐久性）の重要性：
AWSによる選択肢

“all right, this key can be used for this data by
these people under these conditions”
“暗号鍵がどのデータを対象に誰が、どういう条件で使えるか”
を説明できること“
データだけでなく、鍵にもアクセスコントロールが明確になる

透明性をより高いものに

“Alexa, 今言ったことを消して”

Transforming compliance to
meet the speed of digital

Session Overview
• AWSがコンプライアンスをどのように実践してきたか
• セキュリティとコンプライアンスの融合の促進
• 監査対象となるサービスやビジネスの進化は定期的なス
ナップショットでは評価が困難
• AWSが実践しているイノベーションを伝えていく必要性

コンプライアンスをとりまく状況の
複雑化

AWSのアプローチ
１．内外のステークステークホルダーの理解
内部：コンプライアンスは面倒なプロセスではない
外部：お客様に対する透明性
２．コンプライアンス管理の全プロセスを担うチームの確立
３．スケールのための構築
サービス、認証の増加への対応
“組み込み型のコンプライアンス”への模索
ー＞Shift Left、Compliance as code的なアプローチ

Thought leadership
“セキュリティを実現する方法は、従来の考え方とは異な
るかもしれない。時には説明を工夫し、時には教え、導く
ことが大切”

AWSの教訓
１．Fail fast
分析に時間をかけすぎず、とりあえず“やってみる”
２．Engineers audits for engineers
イノベーションのスピードを妨げないためには、サービス自体をしっかりと理解し説明
３．Needed engineers enamored with compliance
コンプライアンスを理解し、実装できるエンジニアの必要性
４．The rise of the specialist auditor
より技術を使いこなせる“Technical auditor”の需要の高まり
５．Reduce redundancy
効率化にフォーカスし、冗長性を排除
６．Get serious with financial workloads
ニーズの高い金融分野の要望への真摯な対応

旅のはじめに：AWSからの推奨
１．統合された監査アプローチ
多様な監査を別のものとして考えずに、再現性（Ex.要求事項、証跡、言明）を考慮
２．エンジニアリングとオートメーション
自動化は後回しにされがちだが、同じ作業の繰りかえしに意味はない。
３．顧客監査（Customer audit）への対応
単なるチェックボックスを埋めるものではなく、教育的に説明するなどのより良い体験を

まとめにかえて

Thank you!

Reinforce2021 recap session2

Recomendados

Recomendados

Más contenido relacionado

La actualidad más candente

La actualidad más candente (20)

Similar a Reinforce2021 recap session2

Similar a Reinforce2021 recap session2 (20)

Más de Shogo Matsumoto

Más de Shogo Matsumoto (8)

Último

Último (9)

Reinforce2021 recap session2

Notas del editor