なかしまともひろ / Tom Nakashima JAWS DAYS 2021 [Track_E][17:00-18:00]AWS社員による怒涛のLTチャレンジ! で使用した資料です。

1. © 2021, Amazon Web Services, Inc. or its Affiliates.
1
アマゾンウェブサービスジャパン株式会社
なかしまともひろ
セキュリティの要件に困ったら

2. © 2021, Amazon Web Services, Inc. or its Affiliates.
2
あらまし
「セキュリティって何をどこまでやればいいのかわからない」
そんな悩みの解決にちょっとだけ有用（かもしれない）お話をします。
ひと言でいうと、
というお話
その答えはみなさんの手の届くところにありますよ

3. © 2021, Amazon Web Services, Inc. or its Affiliates.
3
こんなことありませんか？
マルチアカウント構成って
どういう単位で分割すればよいの？
ログってどう管理したらいいですか？
いろいろあるS3のセキュリティ設定
どうするのが一番ですか？
なんとなくいろいろやってるけど、
本当にこれでいいのかわからない

4. © 2021, Amazon Web Services, Inc. or its Affiliates.
4
こんなことありませんか？
マルチアカウント構成って
どういう単位で分割すればよいの？
ログってどう管理したらいいですか？
いろいろあるS3のセキュリティ設定
どうするのが一番ですか？
なんとなくいろいろやってるけど、
本当にこれでいいのかわからない
いろいろ情報収集はしているけれど
納得感を得られない、周囲への説明に苦労する

5. © 2021, Amazon Web Services, Inc. or its Affiliates.
5
ISMSとISO27001
• 組織の情報セキュリティ管理の仕組みがISMS（= 情報セキュリティ管理システム）
• ISMSの規格の一つがISO27001
• ISO27001には管理目的とそれを実現するための管理策をまとめた附属書Aが存在
• ISO27001 に基づくISMSの継続性の評価の証がISO27001認証
管理策の例
アクセス制御 暗号 バックアップ
情報分類
ログ取得 監視 マルウェア
対策

6. © 2021, Amazon Web Services, Inc. or its Affiliates.
6
組織がISO27001に取り組んでいない場合でも・・・
• お取引先からしばしば回答を求められるセキュリティ質問票の意味するところ
• 委託先の統制状況を確認するための質問票
• 質問内容の元ネタのひとつはISO27001
• 特に日本はISO27001が普及している国
• 準ずる統制が行われていない組織との取引/サービス利用/委託は難しくなる
# 国 組織数
1 中国 7,199
2 日本 5,093
3 イギリス 2,444
4 インド 2,161
5 ドイツ 1,057
お取引先の多くはISO27001に準ずるセキュリティ管理を要求している
ISO27001取得組織数

7. © 2021, Amazon Web Services, Inc. or its Affiliates.
7
組織がISO27001に取り組んでいない場合でも・・・
• 取引先から回答を求められているセキュリティ質問票の意味するところ
• 委託先の統制状況を確認するための質問票
• 質問内容はISO27001をベースであることが多い
• 特に日本はISO27001が根付いている国
• 準ずるセキュリティ管理が行われていない組織への委託/サービス利用は難しい
# 国 組織数
1 中国 7,199
2 日本 5,093
3 イギリス 2,444
4 インド 2,161
5 ドイツ 1,057
お取引先の多くはISO27001に準ずるセキュリティ管理を期待している
ISO27001取得組織数
このような背景から
どのような組織にもISO27001にインフルエンスされた
管理規定をなんらか整備されていることが多い

8. © 2021, Amazon Web Services, Inc. or its Affiliates.
8
ISO27001からヒントを得る
• ISO27001そのものは出版物として販売†
• 附属書A 管理目的と管理策は、解説を含む情報がWebに多数存在
A.5 情報セキュリティのための方
針群
A.6 情報セキュリティのための組
織
A.7 人的資源のセキュリティ
A.8 資産の管理
A.9 アクセス制御
A.10 暗号
A.11 物理的及び環境的セキュリ
ティ
A.12 運用のセキュリティ
A.13 通信のセキュリティ
A.14 システムの取得、開発及び保
守
A.15 供給者管理
A.16 情報セキュリティインシデン
ト管理
A.17 事業継続マネジメントにおけ
る情報セキュリティの側面
A.18 順守
† https://webdesk.jsa.or.jp/
附属書A管理策

9. © 2021, Amazon Web Services, Inc. or its Affiliates.
9
管理策を見ていくと・・・
# 管理策
附属書A
との対応
AWSにおける具体的な実装例
1 開発・本番環境の分離 A.12.1.4 • AWSアカウント分離(開発・本番）
2 変更管理 A.12.1.2 • AWS Config有効化
3 ログ保全 A.12.4.x
• AWS Cloudtrail有効化
• 集中ロギング
（ログアーカイブアカウント）など
4 特権管理 A.9.2.x
• AWS SSOによる一元管理
など
「何をどこまでやればよいのか」の見え方が変わってくる
一般的な管理策と附属書Aとのマッピング（一部抜粋して例示）

10. © 2021, Amazon Web Services, Inc. or its Affiliates.
10
おわりに
• 日本はISO27001が普及していている国
• 国内の組織ではISO27001にインフルエンスされたセキュリティ管理規定が
なんらか存在することが多いので、まずはそれらを探し目を通しましょう
• 組織の管理規定やISO27001、附属書A管理策を通じて
「セキュリティって何をどこまでやればいいのか」の見え方が変わってきます
セキュリティの要件に困った際の答えは
実はみなさんの手の届くところにありました

11. © 2021, Amazon Web Services, Inc. or its Affiliates.
11
Thank you!