AWS クラウドへの移行とセキュリティ検討ポイント

世界で広く採用されているクラウドプラットフォーム、アマゾン ウェブ サービス(AWS)。セキュリティを最優先事項と捉えた設計のもと、様々なサービスとともに提供している。AWSジャパンの椨木(たぶき)正博氏が、クラウド活用時のセキュリティ検討ポイントについて解説する。

椨木 正博
アマゾン ウェブ サービス ジャパン合同会社
パブリックセクター 技術本部 ソリューションアーキテクト

AWSのクラウドは、「顧客が価値提供に集中できること」を主眼に、設計・サービス提供を行う。必要なときに必要なだけITリソースを確保でき、AWSが管理するマネージドサービスを使って顧客自身の管理負担を抑えた形で、セキュリティやコンプライアンス要件に素早く対応できるようになっている。

図1 クラウド側に任せて管理負担を減らす

オンプレミスで管理する必要のあったインフラのセキュリティ対策を、クラウド側にオフロードできる。建物やサーバー本体などの管理から解放されるのはAWSのメリットの一つだ

 

「自治体であれば、その先にいる市民に迅速にサービスを提供できるようにしています」と、AWSジャパン・パブリックセクター技術本部の椨木正博氏。

サービスを提供するインフラは現在、25の地域・リージョンに展開されている。各地域に点在するリージョンの中に複数のアベイラビリティゾーン(AZ)を持ち、互いに地震や水害の影響を同時に受けないような場所に配置。柔軟性、信頼性、拡張性、そしてセキュリティを兼ね備えたインフラストラクチャとなっている。

日本では以前からある東京リージョンに加え、2021年3月に新たに大阪リージョンを開設した。「西日本の方は、より近い場所からサービスをご利用いただけるようになり、複数AZだけでなく東西のリージョンを活用した災害対策も可能となりました」と椨木は胸を張る。

また、AWSは、2021年度のガバメントクラウド対象クラウドサービスに採択されている。GoogleのGCP(Google Cloud Platform)と併せ、ガバメントクラウドとして使用を検討できるクラウドサービスだ。

「AWSは、セキュリティを最優先事項と捉え、サービスを提供しています。ISO27017をはじめ、世界各国の様々なコンプライアンスプログラムに準拠する形で、データセンターを設計・運用しています」。

責任共有モデルで
セキュリティを担保

自治体では、オンプレミスのシステムをそのままクラウドへ移行することが多い。この移行に関し、AWSではいくつかのサービスや機能を提供している。例えば、サーバーを稼働させたまま徐々にデータを移行していく「AWS Application Migration Service」や仮想サーバーのイメージファイルをクラウドへ移行する「VM Import/Export」などだ。

オンプレミスでは、サーバーを置くための建物から、ラックの電源管理・重さ・空調、サーバーの交換やハイパーバイザーのバージョンアップなど、物理的な部分からアプリまで管理する必要があった。

「クラウドに移行することで、ハイパーバイザーより物理寄りの部分に関してはクラウド側に任せられますので、管理するべき部分が少なくなるという点で大きなメリットかと思います」。

AWSではこれを「責任共有モデル」として顧客に提示している。クラウド自体のセキュリティはAWSが担保し、その上で動くワークロードやデータのセキュリティは顧客側が管理する。こうすることで、一定レベルのセキュリティ担保をAWSに任せると共に、システムごとに適切なセキュリティレベルの設定が可能となっている。

AWSが責任を負うクラウド自体のセキュリティでは、物理的なデータセンターの保護が重要なポイントだ。

「AWSでは、顧客はもちろん、AWSジャパンに所属する私も、データセンターがどこにあるか知りません」。

データセンターのセキュリティに関しては、様々な国のコンプライアンスプログラムに適用できるよう運用・設計されている。その中にはISOやSOCレポートなどの国際的なプログラムから、ISMAPなど日本のコンプライアンスプログラムも含まれている。

セキュリティ、
5つの検討ポイント

一方で、顧客の責任範囲であるクラウド内のセキュリティに関しては、任せると言われても、どう考えればいいのか困惑する顧客も多い。

椨木氏は、セキュリティのベースラインを構築するための5つの検討ポイント、(1)ネットワークアクセス、(2)システム・構成の健全性、(3)データの暗号化、(4)不正な管理アクセス対策、(5)システムの破棄について、AWSの提供するサービスを紹介した。

図2  セキュリティの5つの検討ポイント

クラウド内のセキュリティでも、検討する観点はオンプレミスの場合とほぼ変わらない

 

(1)ネットワークアクセスについては、仮想ネットワークによる仮想的な閉域クラウドを提供。外部からクラウドに安全にアクセスする方法としてVPNと専用線接続を用意している。

(2)システム・構成の健全性については、気になる情報に対し、あらかじめアラート・可視化を設定することで、異常に気付きやすい環境を提供する。また、(3)のデータの暗号化では、暗号鍵を払い出すサービスを提供。暗号鍵を使用した暗号化を行うことで、安全なデータ削除も可能にする。

内部不正や管理アカウントの乗っ取りなど、(4)不正な管理アクセス対策としては、管理コンソールへのアクセスに対するルール設定とユーザーの権限を細かく設定することで、ユーザーやリソースに対し適切な権限、ポリシーを付与できるようにする。さらに(5)システムの破棄においては、利用者側でのデータの暗号化による秘匿性の向上に加えて、データセンター側のディスクの破棄プロセスは第三者機関の認証や監査プロセスで評価されている。システム稼働時から終了のタイミングまで、これらのサービスを組み合わせていくことで、セキュリティを担保できるようになっている。

方、AWSでは、マネージドサービスと呼ばれる、AWSが管理するレイヤーをより増やしたサービスも提供する。このようなサービスを活用することで、顧客側が管理する範囲を狭めると同時に、セキュリティ対策をAWS側へオフロードすることも可能となる。

「クラウドを使用する場合は、いかにマネージドサービスを活用するかを考えていただくことも、セキュリティの向上に繋がるかと思います」。

また、こうしたセキュリティを含むクラウドのガバナンスをAWSアカウントに効かせるためのサンプルを「BLEA」という名前でオープンソースとして提供している。

「AWSのサービスをどう使えば、ガバナンスの効いたAWS環境を提供できるかを、テキストベースの構成管理コードで記述して提供しています」。オープンソースであるBLEAを用いることで、CDKの使い方と同時にセキュアなAWS環境を作成するためのポイントやシステムの構築方法を学ぶことができる。「顧客の環境に合わせカスタマイズして使用することも可能ですので、ご利用ください」と椨木氏は講演を締めくくった。

 

お問い合わせ


アマゾン ウェブ サービス ジャパン合同会社
Mail:aws-jpps-qa@amazon.com
URL:https://aws.amazon.com/japan-public-sector